Αποσυρμένα προγράμματα-πελάτες VPN: προσδιορίστε πρώτα το πρωτόκολλο της πύλης

Τα προγράμματα εγκατάστασης πελατών VPN που έφτασαν στο τέλος ζωής τους πριν χρόνια εξακολουθούν να εκτελούνται, εξακολουθούν να ζητούν προφίλ και έπειτα ολοκληρώνουν μια σύνδεση που δεν περνά ποτέ ούτε ένα πακέτο. Το μηχάνημα είναι σύγχρονο και τα διαπιστευτήρια σωστά, ωστόσο η πύλη είναι η ίδια συσκευή που αγόρασε η εταιρεία πριν από μια δεκαετία. Η αντικατάσταση του πελάτη είναι η σωστή κίνηση, αλλά μόνο όταν γνωρίζετε ποιο πρωτόκολλο δημοσιεύει αυτή η πύλη. Οι τέσσερις αποσυρμένοι πελάτες σε αυτή τη γωνία δεν μιλούν το ίδιο.

Γιατί το όνομα της μάρκας δεν λέει το πρωτόκολλο

Μια οικογένεια συσκευών μπορεί να τερματίζει πολλά πρωτόκολλα απομακρυσμένης πρόσβασης, και το εμπορικό όνομα στο κουτί δεν λέει τίποτα για το ποιο χρησιμοποιεί ο λογαριασμός σας. Ο εξοπλισμός Cisco έχει μεταφέρει ταυτόχρονα IPsec με XAuth και SSL VPN μέσω AnyConnect· οι συσκευές SonicWall προσφέρουν Global VPN Client πάνω από IPsec και NetExtender πάνω από SSL VPN· οι εγκαταστάσεις Juniper μπορούν να εκθέσουν Network Connect ή το νεότερο πρωτόκολλο Pulse. Το να εγκαταστήσετε τον διάδοχο που φαίνεται πιο σύγχρονος είναι εικασία. Η λάθος εικασία είτε αποτυγχάνει να συνδεθεί είτε πιστοποιείται σε μια συνεδρία που δεν μεταφέρει καθόλου κίνηση.

Το ότι μια σελίδα πύλης φορτώνει σε ένα πρόγραμμα περιήγησης αποδεικνύει ότι μια υπηρεσία ιστού απαντά, όχι ότι ένας συγκεκριμένος πελάτης θα διαπραγματευτεί μαζί της. Αντιμετωπίστε τα ως δύο ξεχωριστά γεγονότα.

Ρωτήστε την πύλη τι μιλάει

Ο φθηνότερος τρόπος να περιορίσετε τις επιλογές είναι να διαβάσετε τι επιστρέφει το τελικό σημείο και μετά να ονομάσετε ρητά ένα πρωτόκολλο όταν δοκιμάζετε έναν πελάτη. Κανένα από τα δύο βήματα δεν αλλάζει τίποτα στον διακομιστή.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Οι κεφαλίδες απόκρισης και η διαδρομή σύνδεσης δείχνουν αν υπάρχει πύλη SSL VPN σε αυτή τη διεύθυνση, κάτι που δείχνει προς AnyConnect, NetExtender ή Pulse και όχι προς πελάτη IPsec. Το openconnect βάζει την επιλογή πρωτοκόλλου στη γραμμή εντολών, ώστε μια αποτυχία να ονομάζει πρωτόκολλο και όχι προϊόν· αντικαταστήστε το με --protocol=npulse όταν η εγκατάσταση είναι Juniper. Σταματήστε στο πρώτο μήνυμα που ζητά διαπιστευτήρια που δεν σας δόθηκαν, γιατί μια λειτουργική σήραγγα χρειάζεται ακόμη εγκεκριμένο λογαριασμό. Καταγράψτε το πρωτόκολλο και τη διαδρομή στο δελτίο αλλαγής για το επόμενο μηχάνημα.

Ζυγίστε τέσσερις υποψήφιους αντικαταστάτες

Τέσσερις διαδρομές καλύπτουν σχεδόν κάθε περίπτωση και δεν είναι εναλλάξιμες. Ο διάδοχος του κατασκευαστή είναι η υποστηριζόμενη διαδρομή όταν ο οργανισμός κατέχει την πύλη και θα την αδειοδοτήσει. Το OpenConnect είναι ο πρακτικός ανοιχτός πελάτης, γιατί μιλάει AnyConnect, Network Connect και Pulse όταν ονομάζετε το πρωτόκολλο αντί να το αφήνετε να μαντέψει.

Το strongSwan χειρίζεται την περίπτωση IPsec με XAuth για οργανισμούς που επιτρέπουν πελάτες τρίτων, και παρακάμπτει εντελώς τον εγκαταλελειμμένο κώδικα Cisco IPsec. Ο πελάτης Shrew Soft συνεχίζει να διαβάζει αρχεία προφίλ Cisco και τρέχει σε μερικές εκδόσεις Windows, αλλά η τελευταία του έκδοση ήταν το 2013. Αντιμετωπίστε τον ως προσωρινή λύση μέχρι να οργανωθεί υποστηριζόμενη διαδρομή.

Αποφασίστε μεταξύ επισκευής και αντικατάστασης

Μερικές αστοχίες είναι τοπικές: μια βιβλιοθήκη που λείπει, ένας παρωχημένος εικονικός προσαρμογέας ή ένα πρόγραμμα εγκατάστασης που χρειάζεται την επιλογή επισκευής του κατασκευαστή. Αξίζουν μια προσπάθεια όσο ο πελάτης υποστηρίζεται, γιατί κοστίζουν λεπτά. Ο υπολογισμός αλλάζει όταν το δυαδικό είναι εκτός υποστήριξης και η βλάβη ήρθε με αναβάθμιση λειτουργικού συστήματος, αφού οι κανόνες υπογραφής προγραμμάτων οδήγησης και επεκτάσεων πυρήνα έχουν αλλάξει από τότε που γράφτηκαν αυτοί οι πελάτες. Ένας πελάτης που συνδέεται ενώ ο μετρητής σήραγγας δείχνει μηδέν εγκατεστημένες συνεδρίες είναι συνήθως πέρα από επισκευή, όχι μια επανεγκατάσταση μακριά.

Κρατήστε τον παλιό πελάτη εγκατεστημένο μόνο όσο χρειάζεται για να εξαγάγετε το προφίλ του και μετά αφαιρέστε τον. Δύο πελάτες VPN που ανταγωνίζονται για τις ίδιες διαδρομές παράγουν συμπτώματα που δεν μοιάζουν με κανέναν από τους δύο.

Γράψτε τη σειρά στο δελτίο: πρωτόκολλο και εγκεκριμένος πελάτης από τον ιδιοκτήτη, υποστηριζόμενος διάδοχος αν εγκαθίσταται, ένας ανοιχτός πελάτης δοκιμασμένος σε ένα μηχάνημα αν δεν εγκαθίσταται, και υποστηριζόμενη διαδρομή πρόσβασης αν δεν λειτουργεί κανένα. Αυτή η σειρά εμποδίζει τον επόμενο να κατεβάσει άλλο ένα αποσυρμένο δυαδικό.