Juniper või Pulse lüüs: millist OpenConnecti protokolli kasutada

OpenConnecti jaoks protokolli valimine on sobitamisharjutus, mitte brändiotsing. Lüüs, mis sisselogimislehel ütleb Juniper, võib pakkuda Network Connecti, Pulse'i või mõlemat, ja kliendi vaikeväärtus ei ole kumbki neist. Oletamine maksab ebaõnnestunud sisselogimise ja, hullem, tugilõime, mis süüdistab mandaate protokolli mittevastavuses. Kinnitage teenus enne, kui sisestate profiili hostinime.

OpenConnect nimetab vanemat protokolli nc-ks ja uuemat pulse'iks ning mõlemad elavad samas binaarfailis. Valitud lipp muudab sisselogimisvahetust, mitte marsruutimist pärast edukat ühendust.

Kaks protokollinime jagavad üht tooteajalugu

Juniperi Network Connect ja hilisem Pulse Secure'i klient on erinevad protokollid, mida üks seadmepõlvkond on aja jooksul pakkunud. OpenConnect sai esimese jaoks nc-käsitleja ja teise jaoks pulse-käsitleja. Need on eraldi kooditeed eraldi päringuvormingutega, seega toe olemasolu ühes ei ütle teise kohta midagi.

Erinevus ilmneb kohe sisselogimisvestluses: lõpp-punktid, vormiväljad ja viis, kuidas klient teatab tagasilükatud teisest tegurist, erinevad kahe käsitleja vahel.

Käsureal valimine on ühe sõna muudatus: openconnect --protocol=nc vpn.example.com Network Connecti jaoks või openconnect --protocol=pulse vpn.example.com Pulse'i jaoks. Mõlemad katsed on tõelised ühenduskatsed, mis võivad marsruudid ja DNS-i ümber seadistada, seega käivitage need teadlikult. Ärge kunagi asetage parooli käsureale ega lülitage sertifikaadikontrolle välja, et protokolliveast mööda minna, sest see varjab mittevastavust selle parandamise asemel. Kui peate nägema, mida klient saadab, prindib --dump-http-traffic vahetuse, mis tavaliselt tuvastab käsitleja, mida lüüs ootab.

Sobitage protokoll sellega, mida lüüs pakub

Seade vastab ainult protokollile, mille jaoks see on seadistatud. Ainult Pulse'i teenus lükkab tagasi nc-sisselogimise ka kehtivate mandaatidega ning vanal Network Connecti teenusel pole pulse'i lõpp-punkti, millele vastata. Küsige administraatorilt, milline on lubatud, ja millist klienti nad toetavad. Ümbernimetatud seade, aegunud viki-leht ja tuttav veebiportaal on kõik nõrgad tõendid.

Kui protokoll on teada, kinnitage ümbritsevad nõuded: sertifikaadi või loa autentimine, autentimisrühma valik ja mis tahes lõpp-punkti vastavuskontroll. Need otsustavad, kas käsurea klient suudab sisselogimise üldse lõpetada.

Autentimine võib küsimuse enne protokolli lahendada

Juurutamine võib nõuda kliendisertifikaati, SAML-i ringkäiku brauseri kaudu või hostikontrollijat, mis kontrollib masinat enne juurdepääsu andmist. OpenConnecti pulse-käsitleja dokumenteerib mõne sellise voo ühilduvuspiirid ja nc-käsitlejal on omad lüngad. Brauseris töötav parool tõestab, et konto on kehtiv; see ei tõesta, et suvaline CLI või töölauaplugin suudab sama jada lõpetada. Kui hostikontrollija on mängus, vajab klient administraatori antud mähisskripti. Ilma selleta jääb sisselogimine pärast esimest vastust seisma ja näeb välja nagu protokollirike, kuigi tegelikult on puudu vastavussamm.

Autentimisrühma valik on teine tavaline komistuskoht, sest mitme rühmaga lüüs ootab, et klient ühe nimetaks.

Käsureal annab --authgroup="Employees" selle valiku ja selle ärajätmine võib sessiooni viia vaikerühma, mis konto tagasi lükkab. Sertifikaatidega osutab --certificate kliendisertifikaadile ja võtmele ning lüüs võib pärast ikkagi luba nõuda. Testige kogu jada üks kord üksikasjaliku väljundiga, enne kui midagi selle ümber automatiseerite.

Kui töölaua liides ei suuda valikut väljendada

Graafilised liidesed kannavad oma funktsioonikomplekte, ja vanem plugin võib olla vajalikust protokollist varasem. NetworkManageri OpenConnecti integratsioon salvestab valiku oma ühenduse andmetesse, seega saab nmcli connection modify "Office VPN" vpn.data "protocol=pulse" seada seda, mida redaktor ei näita. Kontrollige, kas paigaldatud plugina versioon toetab seda võtit, enne kui eeldate, et muudatus jõustus.

Kui menüü pakub ainult PPTP-d või L2TP-d, ei muuda ühe valimine Pulse'i teenust selleks protokolliks. Paigaldage kinnitatud integratsioon, selle asemel et lülituda sellele, mida menüü juhtub loetlema.

Mida registreerida, kui sisselogimine ikka ebaõnnestub

Registreerige neli asja: valitud protokoll, kliendi ja plugina versioonid, oodatud autentimisvoog ja esimene viga, mis tuli tagasi olekukoodiga, mitte aegumisega. See komplekt eristab vale käsitleja puuduvast sertifikaadist, tagasilükatud autentimisrühmast või blokeeritud vastavuskontrollist. Üksikasjalik väljund tasub alles hoida samal põhjusel, sest see näitab ebaõnnestunud päringut, mitte ainult sümptomit.

Hoidke töötav käsk või profiil lüüsi nime kõrval, kui see õnnestub. Muidu kordab järgmine ühenduja sama brändi-versus-protokolli oletust.