Juniper aŭ Pulse pordego: kiun OpenConnect-protokolon uzi

Elekti protokolon por OpenConnect estas kunagorda ekzerco, ne marka serĉado. Pordego, kiu sur la ensaluta paĝo diras Juniper, povas elmontri Network Connect, Pulse aŭ ambaŭ, kaj la defaŭlto de la kliento estas neniu el ili. Diveni kostas malsukcesan ensaluton kaj, pli malbone, subtenan fadenon, kiu kulpigas la akreditaĵojn pri protokola malkongruo. Konfirmu la servon antaŭ ol entajpi hostnomon en profilon.

OpenConnect nomas la pli malnovan protokolon nc kaj la pli novan pulse, kaj ambaŭ loĝas en la sama binara dosiero. La flago, kiun vi elektas, ŝanĝas la ensalutan interŝanĝon, ne la enrudigadon post sukcesa konekto.

La du protokolaj nomoj havas komunan produkthan historion

Network Connect de Juniper kaj la posta kliento Pulse Secure estas malsamaj protokoloj, kiujn unu aparatarfamilio elmontris laŭlonge de la tempo. OpenConnect akiris nc-traktilon por la unua kaj pulse-traktilon por la dua. Ili estas apartaj kodvojoj kun apartaj petformatoj, do subteno en unu diras nenion pri la alia.

La diferenco tuj videblas en la ensaluta konversacio: finpunktoj, formkampoj kaj la maniero, kiel la kliento raportas malakceptitan duan faktoron, varias inter la du traktiloj.

Elekti sur la komandlinio estas ŝanĝo de unu vorto: openconnect --protocol=nc vpn.example.com por Network Connect, aŭ openconnect --protocol=pulse vpn.example.com por Pulse. Ambaŭ provoj estas veraj konekto-provoj, kiuj povas reagordi vojojn kaj DNS, do plenumu ilin konscie. Neniam metu pasvorton sur la komandlinion aŭ malŝaltu atestilajn kontrolojn por preterpasi protokolan eraron, ĉar tio kaŝas la malkongruon anstataŭ ripari ĝin. Se vi bezonas vidi, kion la kliento sendas, --dump-http-traffic presas la interŝanĝon, kiu kutime identigas la traktilon, kiun la pordego atendas.

Agordi la protokolon al tio, kion la pordego elmontras

La aparato respondas nur al la protokolo, por kiu ĝi estas agordita. Pulse-nura servo malakceptas nc-ensaluton eĉ kun validaj akreditaĵoj, kaj malnova Network Connect-servo havas neniun pulse-finpunkton por respondi. Demandu la administranton, kiu estas ebligita, kaj demandu, kiun klienton ili subtenas. Alinomita aparato, kaduka vikipaĝo kaj konata retportalo estas ĉiuj malfortaj pruvoj.

Kiam vi scias la protokolon, konfirmu la ĉirkaŭajn postulojn: atestila aŭ ĵetona aŭtentikigo, elekto de aŭtentiga grupo kaj ajna finpunkta konformec-kontrolo. Tiuj decidas, ĉu komandlinia kliento povas entute fini la ensaluton.

Aŭtentikigo povas solvi la demandon antaŭ la protokolo

Displejado povas postuli klientan atestilon, SAML-vojaĝon tra retumilo aŭ hostan kontrolilon, kiu inspektas la maŝinon antaŭ ol doni aliron. La pulse-traktilo de OpenConnect dokumentas kongruec-limojn por kelkaj el tiuj fluoj, kaj la nc-traktilo havas siajn proprajn mankojn. Pasvorto, kiu funkcias en la retumilo, pruvas, ke la konto validas; ĝi ne pruvas, ke arbitra CLI aŭ labortabla kromaĵo povas fini la saman sinsekvon. Kiam hosta kontrolilo estas en la ludo, la kliento bezonas ĉirkaŭskripton provizitan de la administranto. Sen ĝi la ensaluto haltas post la unua respondo kaj aspektas kiel protokola fiasko, kvankam ĝi vere estas mankanta konformec-paŝo.

Elekto de aŭtentiga grupo estas la alia ofta falpunkto, ĉar pordego kun pluraj grupoj atendas, ke la kliento nomu unu.

Sur la komandlinio --authgroup="Employees" provizas tiun elekton, kaj preterlasi ĝin povas lasi la seancon en defaŭlta grupo, kiu malakceptas la konton. Kun atestiloj --certificate montras al la klienta atestilo kaj ŝlosilo, kaj la pordego eble poste ankoraŭ postulos ĵetonon. Testu la plenan sinsekvon unufoje kun detala eligo antaŭ ol aŭtomatigi ion ajn ĉirkaŭ ĝi.

Kiam la labortabla fasado ne povas esprimi la elekton

Grafikaj fasadoj portas siajn proprajn trajtojn, kaj pli malnova kromaĵo povas antaŭdati la protokolon, kiun vi bezonas. La OpenConnect-integriĝo de NetworkManager konservas la elekton en siaj konektaj datumoj, do nmcli connection modify "Office VPN" vpn.data "protocol=pulse" povas agordi tion, kion la redaktilo ne montras. Kontrolu, ĉu la instalita kromaĵa versio subtenas la ŝlosilon, antaŭ ol supozi, ke la redakto ekefikis.

Se menuo ofertas nur PPTP aŭ L2TP, elekti unu ne konvertas Pulse-servon en tiun protokolon. Instalu la aprobitan integriĝon anstataŭ ŝalti al tio, kion la menuo hazarde listigas.

Kion registri, kiam la ensaluto ankoraŭ malsukcesas

Registru kvar aferojn: la protokolon, kiun vi elektis, la versiojn de kliento kaj kromaĵo, la atenditan aŭtentikigan fluon kaj la unuan eraron, kiu revenis kun statuskodo anstataŭ tempolimo. Tiu aro apartigas malĝustan traktilon de mankanta atestilo, malakceptita aŭtentiga grupo aŭ blokita konformec-kontrolo. Detala eligo indas esti konservata pro la sama kialo, ĉar ĝi montras la malsukcesan peton anstataŭ nur la simptomon.

Konservu la funkciantan komandon aŭ profilon apud la pordega nomo, kiam ĝi sukcesos. Alie la sekva persono, kiu konektiĝos, ripetos la saman marko-kontraŭ-protokolo-divenon.