Clientes VPN retirados: identifique primero el protocolo de la puerta de enlace

Los instaladores de clientes VPN que llegaron al final de su vida útil hace años siguen ejecutándose, siguen pidiendo un perfil y luego completan un inicio de sesión que nunca deja pasar un paquete. El equipo es actual y las credenciales son correctas, pero la puerta de enlace es el mismo aparato que la empresa compró hace una década. Sustituir el cliente es el movimiento correcto, pero solo cuando sabe qué protocolo publica esa puerta de enlace. Los cuatro clientes retirados de este rincón no hablan el mismo.

Por qué el nombre de la marca no dice el protocolo

Una familia de aparatos puede terminar varios protocolos de acceso remoto, y el nombre comercial de la caja no dice nada sobre cuál usa su cuenta. El equipo Cisco ha llevado a la vez IPsec con XAuth y SSL VPN mediante AnyConnect; las cajas SonicWall ofrecen Global VPN Client sobre IPsec y NetExtender sobre SSL VPN; los despliegues Juniper pueden exponer Network Connect o el protocolo Pulse más reciente. Instalar el sucesor que parezca más moderno es adivinar. La conjetura equivocada o bien no conecta o bien autentica una sesión que no transporta tráfico.

Que una página de portal cargue en un navegador demuestra que un servicio web responde, no que un cliente concreto vaya a negociar con él. Trate esas dos cosas como hechos separados.

Pregunte a la puerta de enlace qué habla

La forma más barata de estrechar las opciones es leer qué devuelve el punto final y luego nombrar un protocolo explícitamente al probar un cliente. Ninguno de los dos pasos cambia nada en el servidor.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Las cabeceras de respuesta y la ruta de inicio de sesión muestran si hay un portal SSL VPN en esa dirección, lo que apunta a AnyConnect, NetExtender o Pulse en lugar de a un cliente IPsec. openconnect pone la elección de protocolo en la línea de comandos, así que un fallo nombra un protocolo y no un producto; cámbielo por --protocol=npulse cuando el despliegue sea Juniper. Deténgase en el primer aviso que pida credenciales que no le entregaron, porque un túnel funcional sigue necesitando una cuenta aprobada. Anote el protocolo y la ruta en el ticket de cambio para la próxima máquina.

Sopesar cuatro candidatos de sustitución

Cuatro rutas cubren casi todos los casos, y no son intercambiables. Un sucesor del fabricante es la vía con soporte cuando la organización es dueña de la puerta de enlace y va a licenciarla. OpenConnect es el cliente abierto práctico, porque habla AnyConnect, Network Connect y Pulse cuando usted nombra el protocolo en lugar de dejar que adivine.

strongSwan maneja el caso IPsec con XAuth para organizaciones que permiten clientes de terceros, y evita por completo el código IPsec abandonado de Cisco. El cliente Shrew Soft sigue leyendo archivos de perfil de Cisco y funciona en algunas compilaciones de Windows, pero su última versión fue de 2013. Trátelo como un apaño mientras se organiza una vía con soporte.

Decidir entre reparar y sustituir

Algunas fallas son locales: una biblioteca que falta, un adaptador virtual obsoleto o un instalador que necesita la opción de reparación del fabricante. Merecen un intento mientras el cliente siga teniendo soporte, porque cuestan minutos. El cálculo cambia cuando el binario está fuera de soporte y la avería llegó con una actualización del sistema operativo, ya que las reglas de firma de controladores y de extensiones del núcleo han cambiado desde que se escribieron estos clientes. Un cliente que conecta mientras el contador del túnel muestra cero sesiones establecidas suele estar más allá de la reparación, no a una reinstalación de distancia.

Mantenga el cliente antiguo instalado solo el tiempo suficiente para exportar su perfil y luego retírelo. Dos clientes VPN que compiten por las mismas rutas producen síntomas que no se parecen a ninguno de los dos.

Escriba el orden en el ticket: protocolo y cliente aprobado por el propietario, un sucesor con soporte si se instala, un cliente abierto probado en una sola máquina si no, y una vía de acceso con soporte si ninguno funciona. Esa secuencia evita que la siguiente persona descargue otro binario retirado.