Kasutusest kõrvaldatud VPN-kliendid: tehke kindlaks lüüsi protokoll

Aastaid tagasi kasutuselt kõrvaldatud VPN-klientide paigaldajad töötavad endiselt, küsivad endiselt profiili ja lõpetavad seejärel sisselogimise, mis ei lase ühtegi paketti läbi. Masin on kaasaegne ja mandaadid õiged, kuid lüüs on sama seade, mille ettevõte ostis kümme aastat tagasi. Kliendi vahetamine on õige samm, aga alles siis, kui teate, millist protokolli see lüüs avaldab. Neli kasutusest kõrvaldatud klienti selles nurgas ei räägi sama protokolli.

Miks brändinimi protokolli ei ütle

Üks seadmeperekond võib lõpetada mitut kaugjuurdepääsuprotokolli ning karbil olev turundusnimi ei ütle midagi selle kohta, millist teie konto kasutab. Cisco seadmed on korraga kandnud IPsec koos XAuthiga ja SSL VPN AnyConnecti kaudu; SonicWall karbid pakuvad Global VPN Clienti üle IPsec ja NetExtenderit üle SSL VPN; Juniperi juurutusvõimalused võivad avada Network Connecti või uuema Pulse'i protokolli. Kõige kaasaegsemana näiva järeltulija paigaldamine on oletus. Vale oletus kas ei ühenda või autendib sessiooni, mis ei kanna mingit liiklust.

Portaalilehe laadimine brauseris tõestab, et veebiteenus vastab, mitte et konkreetne klient sellega läbirääkimisi peab. Käsitlege neid kahe eraldi faktina.

Küsige lüüsilt, mida see räägib

Odavaim viis valikute kitsendamiseks on lugeda, mida lõpp-punkt tagastab, ja seejärel klienti proovides protokoll selgelt nimetada. Kumbki samm ei muuda serveris midagi.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Vastuse päised ja sisselogimise tee näitavad, kas sellel aadressil asub SSL VPN portaal, mis viitab AnyConnectile, NetExtenderile või Pulse'ile, mitte IPsec-kliendile. openconnect paneb protokollivaliku käsureale, nii et tõrge nimetab protokolli, mitte toodet; asendage see --protocol=npulse-ga, kui juurutus on Juniper. Peatuge esimese viiba juures, mis küsib mandaate, mida teile ei antud, sest töötav tunnel vajab siiski kinnitatud kontot. Märkige protokoll ja tee muudatustaotlusse järgmise masina jaoks.

Kaaluge nelja asenduskandidaati

Neli teed katavad peaaegu iga juhtumi ja need ei ole omavahel vahetatavad. Tarnija järeltulija on toetatud tee, kui organisatsioonile kuulub lüüs ja ta litsentsib selle. OpenConnect on praktiline avatud klient, sest see räägib AnyConnecti, Network Connecti ja Pulse'iga, kui nimetate protokolli, selle asemel et lasta sellel oletada.

strongSwan käsitleb IPsec-XAuthi juhtumit organisatsioonide jaoks, kes lubavad kolmandate osapoolte kliente, ja väldib täielikult mahajäetud Cisco IPsec koodi. Shrew Softi klient loeb endiselt Cisco profiilifaile ja töötab mõnedel Windowsi versioonidel, kuid selle viimane väljalase oli 2013. Käsitlege seda ajutise lahendusena, kuni toetatud tee on korraldatud.

Otsustage parandamise ja vahetamise vahel

Mõned tõrked on kohalikud: puuduv teek, vananenud virtuaalne adapter või paigaldaja, mis vajab tarnija parandusvalikut. Need on väärt ühte katset, kuni klient on veel toetatud, sest need võtavad minuteid. Arvutus muutub, kui binaarfail on toetusest väljas ja rike saabus operatsioonisüsteemi uuendusega, sest draiverite allkirjastamise ja kerneli laienduste reeglid on nende klientide kirjutamisest saati muutunud. Klient, mis ühendub, samal ajal kui tunneli loendur näitab null loodud sessiooni, on tavaliselt parandusest möödas, mitte ühe ümberpaigalduse kaugusel.

Hoidke vana klient paigaldatud vaid nii kaua, et selle profiil eksportida, seejärel eemaldage see. Kaks VPN-klienti, mis võistlevad samade marsruutide pärast, tekitavad sümptomeid, mis ei sarnane kummagagi neist.

Kirjutage järjekord piletile: protokoll ja kinnitatud klient omanikult, toetatud järeltulija, kui see paigaldub, üks avatud klient, mida testitakse ühel masinal, kui ei paigaldu, ja toetatud juurdepääsutee, kui kumbki ei tööta. See järjekord hoiab ära, et järgmine inimene laadib alla veel ühe kasutusest kõrvaldatud binaarfaili.