Ausgemusterte VPN-Clients: zuerst das Gateway-Protokoll bestimmen

Installationsprogramme für VPN-Clients, deren Lebenszyklus vor Jahren endete, laufen weiterhin, fragen weiterhin nach einem Profil und schließen dann eine Anmeldung ab, die nie ein Paket durchlässt. Der Rechner ist aktuell und die Zugangsdaten stimmen, doch das Gateway ist dasselbe Gerät, das die Firma vor einem Jahrzehnt gekauft hat. Den Client zu ersetzen ist der richtige Schritt, aber erst wenn Sie wissen, welches Protokoll dieses Gateway veröffentlicht. Die vier ausgemusterten Clients in dieser Ecke sprechen nicht dasselbe.

Warum der Markenname das Protokoll nicht verrät

Eine Gerätefamilie kann mehrere Fernzugriffsprotokolle terminieren, und der Marketingname auf der Schachtel sagt nichts darüber aus, welches Ihr Konto verwendet. Cisco-Hardware hat gleichzeitig IPsec mit XAuth und SSL VPN über AnyConnect geführt; SonicWall-Boxen bieten Global VPN Client über IPsec und NetExtender über SSL VPN; Juniper-Installationen können Network Connect oder das neuere Pulse-Protokoll bereitstellen. Den Nachfolger zu installieren, der am modernsten aussieht, ist Raten. Die falsche Vermutung scheitert entweder beim Verbinden oder authentifiziert in eine Sitzung, die keinen Datenverkehr trägt.

Dass eine Portalseite im Browser lädt, beweist, dass ein Webdienst antwortet, nicht dass ein bestimmter Client mit ihm verhandeln wird. Behandeln Sie das als zwei getrennte Fakten.

Fragen Sie das Gateway, was es spricht

Der billigste Weg, die Optionen einzugrenzen, ist zu lesen, was der Endpunkt zurückgibt, und dann ein Protokoll ausdrücklich zu benennen, wenn Sie einen Client ausprobieren. Keiner der beiden Schritte ändert etwas am Server.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Antwort-Header und der Anmeldepfad zeigen, ob an dieser Adresse ein SSL VPN-Portal liegt, was auf AnyConnect, NetExtender oder Pulse deutet und nicht auf einen IPsec-Client. openconnect legt die Protokollwahl auf die Kommandozeile, sodass ein Fehlschlag ein Protokoll statt eines Produkts nennt; ersetzen Sie es durch --protocol=npulse, wenn die Installation Juniper ist. Halten Sie beim ersten Prompt an, der nach Zugangsdaten fragt, die Ihnen nicht ausgehändigt wurden, denn ein funktionierender Tunnel braucht trotzdem ein genehmigtes Konto. Notieren Sie Protokoll und Pfad im Change-Ticket für den nächsten Rechner.

Vier Ersatzkandidaten abwägen

Vier Wege decken fast jeden Fall ab, und sie sind nicht austauschbar. Ein Nachfolger des Herstellers ist der unterstützte Weg, wenn die Organisation das Gateway besitzt und es lizenzieren will. OpenConnect ist der praktische offene Client, weil er AnyConnect, Network Connect und Pulse spricht, wenn Sie das Protokoll benennen, statt ihn raten zu lassen.

strongSwan behandelt den Fall IPsec mit XAuth für Organisationen, die Drittanbieter-Clients zulassen, und umgeht den aufgegebenen Cisco-IPsec-Code ganz. Der Shrew-Soft-Client liest weiterhin Cisco-Profildateien und läuft auf einigen Windows-Builds, aber seine letzte Veröffentlichung war 2013. Behandeln Sie ihn als Übergangslösung, während ein unterstützter Weg eingerichtet wird.

Zwischen Reparatur und Ersatz entscheiden

Manche Fehler sind lokal: eine fehlende Bibliothek, ein veralteter virtueller Adapter oder ein Installationsprogramm, das die Reparaturfunktion des Herstellers braucht. Diese sind einen Versuch wert, solange der Client unterstützt wird, weil sie Minuten kosten. Die Rechnung ändert sich, wenn die Binärdatei aus der Unterstützung ist und der Bruch mit einem Betriebssystem-Upgrade kam, da sich Regeln für Treibersignierung und Kernel-Erweiterungen geändert haben, seit diese Clients geschrieben wurden. Ein Client, der verbindet, während der Tunnel-Zähler null aufgebaute Sitzungen zeigt, ist meist jenseits der Reparatur, nicht eine Neuinstallation entfernt.

Lassen Sie den alten Client nur so lange installiert, wie Sie sein Profil exportieren müssen, und entfernen Sie ihn dann. Zwei VPN-Clients, die um dieselben Routen konkurrieren, erzeugen Symptome, die keinem von beiden ähneln.

Schreiben Sie die Reihenfolge ins Ticket: Protokoll und freigegebener Client vom Eigentümer, ein unterstützter Nachfolger, wenn er sich installieren lässt, ein offener Client, getestet auf einem einzigen Rechner, wenn nicht, und ein unterstützter Zugangsweg, wenn keiner davon funktioniert. Diese Reihenfolge hält die nächste Person davon ab, eine weitere ausgemusterte Binärdatei herunterzuladen.