دروازه Juniper یا Pulse: کدام پروتکل OpenConnect را به کار ببریم

انتخاب پروتکل برای OpenConnect یک تمرین تطبیق است، نه جست‌وجوی برند. دروازه‌ای که در صفحه ورود می‌گوید Juniper ممکن است Network Connect، Pulse یا هر دو را ارائه دهد، و پیش‌فرض کارخواه هیچ‌کدام نیست. حدس زدن به قیمت ورود ناموفق تمام می‌شود و بدتر از آن، رشته‌ای در پشتیبانی که اعتبارنامه‌ها را برای ناسازگاری پروتکل سرزنش می‌کند. پیش از نوشتن نام میزبان در یک نمایه، سرویس را تأیید کنید.

OpenConnect پروتکل قدیمی‌تر را nc و جدیدتر را pulse می‌نامد و هر دو در همان فایل دودویی زندگی می‌کنند. پرچمی که برمی‌گزینید تبادل ورود را تغییر می‌دهد، نه مسیریابی پس از اتصال موفق را.

دو نام پروتکل یک تاریخچه محصول مشترک دارند

Network Connect از Juniper و کارخواه بعدی Pulse Secure دو پروتکل متفاوت‌اند که یک خانواده دستگاه در طول زمان ارائه کرده است. OpenConnect یک گرداننده nc برای اولی و یک گرداننده pulse برای دومی ساخت. این‌ها مسیرهای کد جداگانه با قالب‌های درخواست جداگانه‌اند، پس پشتیبانی در یکی چیزی درباره دیگری نمی‌گوید.

تفاوت بی‌درنگ در گفت‌وگوی ورود دیده می‌شود: نقاط پایانی، فیلدهای فرم و شیوه‌ای که کارخواه عامل دوم ردشده را گزارش می‌کند میان دو گرداننده فرق می‌کند.

انتخاب روی خط فرمان تغییری یک‌کلمه‌ای است: openconnect --protocol=nc vpn.example.com برای Network Connect، یا openconnect --protocol=pulse vpn.example.com برای Pulse. هر دو تلاش، تلاش‌های واقعی اتصال‌اند و می‌توانند مسیرها و DNS را بازتنظیم کنند، پس آن‌ها را آگاهانه اجرا کنید. هرگز گذرواژه را روی خط فرمان قرار ندهید و بررسی گواهی‌ها را برای عبور از خطای پروتکل خاموش نکنید، زیرا این کار ناسازگاری را پنهان می‌کند نه اینکه آن را درست کند. اگر باید ببینید کارخواه چه می‌فرستد، --dump-http-traffic تبادل را چاپ می‌کند که معمولاً گرداننده‌ای را که دروازه انتظار دارد مشخص می‌کند.

پروتکل را با آنچه دروازه ارائه می‌دهد هماهنگ کنید

دستگاه فقط به پروتکلی پاسخ می‌دهد که برای ارائه آن پیکربندی شده است. سرویس فقط Pulse حتی با اعتبارنامه معتبر، ورود nc را رد می‌کند، و سرویس قدیمی Network Connect هیچ نقطه پایانی pulse برای پاسخ ندارد. از مدیر بپرسید کدام فعال است و کدام کارخواه را پشتیبانی می‌کنند. دستگاه تغییرنام‌یافته، صفحه ویکی قدیمی و دروازه وب آشنا همه شواهد ضعیفی هستند.

وقتی پروتکل را دانستید، الزامات پیرامون را تأیید کنید: احراز هویت با گواهی یا توکن، انتخاب گروه احراز هویت و هر بررسی انطباق نقطه پایانی. این‌ها تعیین می‌کنند که آیا کارخواه خط فرمان اصلاً می‌تواند ورود را کامل کند.

احراز هویت می‌تواند مسئله را پیش از پروتکل حل کند

یک استقرار ممکن است گواهی کارخواه، یک سفر SAML از طریق مرورگر، یا بررسی‌کننده میزبانی بخواهد که ماشین را پیش از دادن دسترسی بازرسی می‌کند. گرداننده pulse در OpenConnect محدودیت‌های سازگاری را برای برخی از این جریان‌ها مستند می‌کند و گرداننده nc کمبودهای خودش را دارد. گذرواژه‌ای که در مرورگر کار می‌کند ثابت می‌کند حساب معتبر است؛ ثابت نمی‌کند که یک CLI یا افزونه دسکتاپ دلخواه می‌تواند همان توالی را کامل کند. وقتی بررسی‌کننده میزبان در کار است، کارخواه به یک اسکریپت پوششی نیاز دارد که مدیر ارائه می‌کند. بدون آن، ورود پس از نخستین پاسخ متوقف می‌شود و مانند خطای پروتکل به نظر می‌رسد، در حالی که در واقع یک گام انطباق گمشده است.

انتخاب گروه احراز هویت دیگر نقطه لغزش رایج است، زیرا دروازه‌ای با چند گروه انتظار دارد کارخواه یکی را نام ببرد.

روی خط فرمان، --authgroup="Employees" آن انتخاب را فراهم می‌کند و حذف آن می‌تواند نشست را در گروه پیش‌فرضی بیندازد که حساب را رد می‌کند. با گواهی‌ها، --certificate به گواهی و کلید کارخواه اشاره می‌کند و دروازه ممکن است پس از آن هنوز توکن بخواهد. پیش از خودکارسازی هر چیز پیرامونش، کل توالی را یک‌بار با خروجی مفصل آزمایش کنید.

وقتی رابط دسکتاپ نمی‌تواند انتخاب را بیان کند

رابط‌های گرافیکی مجموعه ویژگی‌های خودشان را دارند و یک افزونه قدیمی ممکن است پیش از پروتکلی باشد که نیاز دارید. یکپارچگی OpenConnect در NetworkManager انتخاب را در داده‌های اتصالش ذخیره می‌کند، پس nmcli connection modify "Office VPN" vpn.data "protocol=pulse" می‌تواند چیزی را تنظیم کند که ویرایشگر نشان نمی‌دهد. پیش از فرض اینکه ویرایش اثر کرده، بررسی کنید که نسخه نصب‌شده افزونه از آن کلید پشتیبانی می‌کند.

اگر منویی فقط PPTP یا L2TP ارائه دهد، انتخاب یکی سرویس Pulse را به آن پروتکل تبدیل نمی‌کند. یکپارچگی تأییدشده را نصب کنید، نه اینکه به هر چیزی که منو تصادفاً فهرست می‌کند روی آورید.

وقتی ورود هنوز شکست می‌خورد چه چیزی را ثبت کنیم

چهار چیز را ثبت کنید: پروتکلی که انتخاب کردید، نسخه‌های کارخواه و افزونه، جریان احراز هویتی که انتظار می‌رفت، و نخستین خطایی که با کد وضعیت بازگشت نه با پایان مهلت. این مجموعه گرداننده اشتباه را از گواهی گمشده، گروه احراز هویت ردشده، یا بررسی انطباق مسدودشده جدا می‌کند. خروجی مفصل به همین دلیل ارزش نگه‌داشتن دارد، زیرا درخواستی را که شکست خورد نشان می‌دهد نه فقط نشانه را.

فرمان یا نمایه کارآمد را پس از موفقیت کنار نام دروازه نگه دارید. وگرنه نفر بعدی که متصل می‌شود همان حدس برند در برابر پروتکل را تکرار می‌کند.