Udtjente VPN-klienter: identificér gateway-protokollen først

Installationsprogrammer til VPN-klienter, der blev taget ud af drift for år tilbage, kører stadig, spørger stadig efter en profil og fuldfører derefter et login, der aldrig sender en pakke igennem. Maskinen er tidssvarende, og legitimationsoplysningerne er korrekte, men gatewayen er den samme enhed, som virksomheden købte for et årti siden. At udskifte klienten er det rigtige træk, men først når du ved, hvilken protokol den gateway offentliggør. De fire udtjente klienter i dette hjørne taler ikke den samme.

Hvorfor mærkenavnet ikke fortæller protokollen

Én enhedsfamilie kan afslutte flere fjernadgangsprotokoller, og markedsføringsnavnet på æsken siger intet om, hvilken din konto bruger. Cisco-udstyr har båret IPsec med XAuth og SSL VPN via AnyConnect på samme tid; SonicWall-bokse tilbyder Global VPN Client over IPsec og NetExtender over SSL VPN; Juniper-installationer kan udstille Network Connect eller den nyere Pulse-protokol. At installere den efterfølger, der ser mest moderne ud, er gætværk. Det forkerte gæt enten mislykkes i at forbinde eller godkender en session, der ikke bærer trafik.

At en portalside indlæses i en browser beviser, at en webtjeneste svarer, ikke at en bestemt klient vil forhandle med den. Behandl det som to adskilte fakta.

Spørg gatewayen, hvad den taler

Den billigste måde at indsnævre mulighederne er at læse, hvad endepunktet returnerer, og derefter navngive en protokol eksplicit, når du prøver en klient. Ingen af trinnene ændrer noget på serveren.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Svarheadere og login-stien viser, om der findes en SSL VPN-portal på den adresse, hvilket peger på AnyConnect, NetExtender eller Pulse snarere end på en IPsec-klient. openconnect lægger protokolvalget på kommandolinjen, så en fejl navngiver en protokol i stedet for et produkt; skift til --protocol=npulse, når installationen er Juniper. Stop ved den første prompt, der beder om legitimationsoplysninger, du ikke har fået, fordi en fungerende tunnel stadig kræver en godkendt konto. Notér protokollen og stien i ændringssagen til den næste maskine.

Vej fire kandidater til udskiftning

Fire ruter dækker næsten alle tilfælde, og de kan ikke udskiftes med hinanden. En efterfølger fra leverandøren er den understøttede vej, når organisationen ejer gatewayen og vil licensere den. OpenConnect er den praktiske åbne klient, fordi den taler AnyConnect, Network Connect og Pulse, når du navngiver protokollen i stedet for at lade den gætte.

strongSwan håndterer tilfældet IPsec med XAuth for organisationer, der tillader tredjepartsklienter, og den omgår helt den forladte Cisco IPsec-kode. Shrew Soft-klienten bliver ved med at læse Cisco-profilfiler og kører på nogle Windows-builds, men dens sidste udgivelse var i 2013. Behandl den som en midlertidig løsning, mens en understøttet vej arrangeres.

Vælg mellem reparation og udskiftning

Nogle fejl er lokale: et manglende bibliotek, en forældet virtuel adapter eller et installationsprogram, der har brug for leverandørens reparationsvalg. De er et forsøg værd, så længe klienten er understøttet, fordi de koster minutter. Regnestykket ændrer sig, når binæren er uden for support, og bruddet kom med en opgradering af styresystemet, fordi reglerne for driversignering og kerneudvidelser har ændret sig, siden disse klienter blev skrevet. En klient, der forbinder, mens tunnel-tælleren viser nul etablerede sessioner, er normalt forbi reparation, ikke en geninstallation væk.

Hold den gamle klient installeret lige længe nok til at eksportere dens profil, og fjern den derefter. To VPN-klienter, der konkurrerer om de samme ruter, giver symptomer, der ikke ligner nogen af dem.

Skriv rækkefølgen i sagen: protokol og godkendt klient fra ejeren, en understøttet efterfølger, hvis den installerer, én åben klient testet på en enkelt maskine, hvis den ikke gør, og en understøttet adgangsvej, hvis ingen af dem virker. Den rækkefølge forhindrer den næste person i at downloade endnu en udtjent binær.