Πύλη Juniper ή Pulse: ποιο πρωτόκολλο OpenConnect να χρησιμοποιήσετε

Η επιλογή πρωτοκόλλου για το OpenConnect είναι άσκηση αντιστοίχισης, όχι αναζήτηση επωνυμίας. Μια πύλη που λέει Juniper στη σελίδα σύνδεσης μπορεί να εκθέτει Network Connect, Pulse ή και τα δύο, και η προεπιλογή του πελάτη δεν είναι κανένα από αυτά. Η εικασία κοστίζει μια αποτυχημένη σύνδεση και, χειρότερα, ένα νήμα υποστήριξης που κατηγορεί τα διαπιστευτήρια για ασυμφωνία πρωτοκόλλου. Επιβεβαιώστε την υπηρεσία πριν πληκτρολογήσετε ένα όνομα κεντρικού υπολογιστή σε προφίλ.

Το OpenConnect ονομάζει το παλαιότερο πρωτόκολλο nc και το νεότερο pulse, και τα δύο ζουν στο ίδιο δυαδικό αρχείο. Η σημαία που επιλέγετε αλλάζει την ανταλλαγή σύνδεσης, όχι τη δρομολόγηση μετά από μια επιτυχημένη σύνδεση.

Τα δύο ονόματα πρωτοκόλλων μοιράζονται μια ιστορία προϊόντος

Το Network Connect της Juniper και ο μεταγενέστερος πελάτης Pulse Secure είναι διαφορετικά πρωτόκολλα που μια οικογένεια συσκευών έχει εκθέσει με τον καιρό. Το OpenConnect απέκτησε χειριστή nc για το πρώτο και χειριστή pulse για το δεύτερο. Είναι ξεχωριστές διαδρομές κώδικα με ξεχωριστές μορφές αιτημάτων, οπότε η υποστήριξη στο ένα δεν λέει τίποτα για το άλλο.

Η διαφορά φαίνεται αμέσως στη συζήτηση σύνδεσης: τα τελικά σημεία, τα πεδία της φόρμας και ο τρόπος που ο πελάτης αναφέρει έναν απορριφθέντα δεύτερο παράγοντα διαφέρουν μεταξύ των δύο χειριστών.

Η επιλογή στη γραμμή εντολών είναι αλλαγή μιας λέξης: openconnect --protocol=nc vpn.example.com για Network Connect ή openconnect --protocol=pulse vpn.example.com για Pulse. Και οι δύο προσπάθειες είναι πραγματικές απόπειρες σύνδεσης που μπορούν να επαναρυθμίσουν διαδρομές και DNS, οπότε εκτελέστε τις συνειδητά. Μην τοποθετείτε ποτέ κωδικό πρόσβασης στη γραμμή εντολών και μην απενεργοποιείτε τους ελέγχους πιστοποιητικών για να παρακάμψετε σφάλμα πρωτοκόλλου, γιατί αυτό κρύβει την ασυμφωνία αντί να τη διορθώσει. Αν χρειάζεται να δείτε τι στέλνει ο πελάτης, το --dump-http-traffic εκτυπώνει την ανταλλαγή, που συνήθως προσδιορίζει τον χειριστή που περιμένει η πύλη.

Αντιστοιχίστε το πρωτόκολλο με αυτό που εκθέτει η πύλη

Η συσκευή απαντά μόνο στο πρωτόκολλο για το οποίο είναι ρυθμισμένη. Μια υπηρεσία μόνο Pulse απορρίπτει σύνδεση nc ακόμη και με έγκυρα διαπιστευτήρια, και μια παλιά υπηρεσία Network Connect δεν έχει τελικό σημείο pulse για να απαντήσει. Ρωτήστε τον διαχειριστή ποιο είναι ενεργό και ποιον πελάτη υποστηρίζουν. Μια μετονομασμένη συσκευή, μια παρωχημένη σελίδα wiki και μια γνώριμη διαδικτυακή πύλη είναι όλα αδύναμα στοιχεία.

Αφού μάθετε το πρωτόκολλο, επιβεβαιώστε τις γύρω απαιτήσεις: έλεγχο ταυτότητας με πιστοποιητικό ή διακριτικό, επιλογή ομάδας ταυτοποίησης και οποιονδήποτε έλεγχο συμμόρφωσης τελικού σημείου. Αυτά καθορίζουν αν ένας πελάτης γραμμής εντολών μπορεί να ολοκληρώσει καθόλου τη σύνδεση.

Ο έλεγχος ταυτότητας μπορεί να λύσει το ερώτημα πριν από το πρωτόκολλο

Μια ανάπτυξη μπορεί να απαιτεί πιστοποιητικό πελάτη, μια διαδρομή SAML μέσω προγράμματος περιήγησης ή έναν ελεγκτή κεντρικού υπολογιστή που επιθεωρεί το μηχάνημα πριν παραχωρήσει πρόσβαση. Ο χειριστής pulse του OpenConnect τεκμηριώνει όρια συμβατότητας για μερικές από αυτές τις ροές, και ο χειριστής nc έχει δικά του κενά. Ένας κωδικός που λειτουργεί στο πρόγραμμα περιήγησης αποδεικνύει ότι ο λογαριασμός ισχύει· δεν αποδεικνύει ότι ένα αυθαίρετο CLI ή πρόσθετο επιφάνειας εργασίας μπορεί να ολοκληρώσει την ίδια ακολουθία. Όταν υπάρχει ελεγκτής κεντρικού υπολογιστή, ο πελάτης χρειάζεται ένα σενάριο περιτυλίγματος που παρέχει ο διαχειριστής. Χωρίς αυτό, η σύνδεση κολλάει μετά την πρώτη απάντηση και μοιάζει με αποτυχία πρωτοκόλλου, ενώ στην πραγματικότητα είναι ένα βήμα συμμόρφωσης που λείπει.

Η επιλογή ομάδας ταυτοποίησης είναι το άλλο συνηθισμένο εμπόδιο, γιατί μια πύλη με πολλές ομάδες περιμένει ο πελάτης να ονομάσει μία.

Στη γραμμή εντολών, το --authgroup="Employees" παρέχει αυτή την επιλογή, και η παράλειψή του μπορεί να ρίξει τη συνεδρία σε προεπιλεγμένη ομάδα που απορρίπτει τον λογαριασμό. Με πιστοποιητικά, το --certificate δείχνει το πιστοποιητικό και το κλειδί του πελάτη, και η πύλη μπορεί ακόμη να απαιτήσει διακριτικό μετά. Δοκιμάστε ολόκληρη την ακολουθία μία φορά με λεπτομερή έξοδο πριν αυτοματοποιήσετε οτιδήποτε γύρω της.

Όταν το περιβάλλον εργασίας δεν μπορεί να εκφράσει την επιλογή

Οι γραφικές διεπαφές φέρουν τα δικά τους σύνολα λειτουργιών, και ένα παλαιότερο πρόσθετο μπορεί να προηγείται του πρωτοκόλλου που χρειάζεστε. Η ενσωμάτωση OpenConnect του NetworkManager αποθηκεύει την επιλογή στα δεδομένα σύνδεσής της, οπότε το nmcli connection modify "Office VPN" vpn.data "protocol=pulse" μπορεί να ορίσει ό,τι δεν δείχνει ο επεξεργαστής. Ελέγξτε ότι η εγκατεστημένη έκδοση του πρόσθετου υποστηρίζει το κλειδί πριν υποθέσετε ότι η αλλαγή τέθηκε σε ισχύ.

Αν ένα μενού προσφέρει μόνο PPTP ή L2TP, η επιλογή ενός δεν μετατρέπει μια υπηρεσία Pulse σε αυτό το πρωτόκολλο. Εγκαταστήστε την εγκεκριμένη ενσωμάτωση αντί να αλλάξετε σε ό,τι τυχαίνει να απαριθμεί το μενού.

Τι να καταγράψετε όταν η σύνδεση εξακολουθεί να αποτυγχάνει

Καταγράψτε τέσσερα πράγματα: το πρωτόκολλο που επιλέξατε, τις εκδόσεις πελάτη και πρόσθετου, τη ροή ταυτοποίησης που αναμενόταν και το πρώτο σφάλμα που επέστρεψε με κωδικό κατάστασης αντί για λήξη χρόνου. Αυτό το σύνολο διαχωρίζει έναν λάθος χειριστή από ένα πιστοποιητικό που λείπει, μια απορριφθείσα ομάδα ταυτοποίησης ή έναν μπλοκαρισμένο έλεγχο συμμόρφωσης. Η λεπτομερής έξοδος αξίζει να διατηρηθεί για τον ίδιο λόγο, γιατί δείχνει το αίτημα που απέτυχε αντί μόνο το σύμπτωμα.

Κρατήστε την εντολή ή το προφίλ που λειτουργεί δίπλα στο όνομα της πύλης μόλις πετύχει. Αλλιώς το επόμενο άτομο που θα συνδεθεί θα επαναλάβει την ίδια εικασία επωνυμίας εναντίον πρωτοκόλλου.