Juniper- vai Pulse-yhdyskäytävä: mitä OpenConnect-protokollaa käyttää

Protokollan valinta OpenConnectille on sovitusharjoitus, ei brändihaku. Yhdyskäytävä, joka kirjautumissivulla sanoo Juniper, voi tarjota Network Connectia, Pulsea tai molempia, eikä asiakasohjelman oletus ole kumpikaan niistä. Arvaaminen maksaa epäonnistuneen kirjautumisen ja, pahempaa, tukiketjun, joka syyttää tunnuksia protokollan yhteensopimattomuudesta. Vahvista palvelu ennen kuin kirjoitat isäntänimen profiiliin.

OpenConnect nimeää vanhemman protokollan nc:ksi ja uudemman pulseksi, ja molemmat elävät samassa binääritiedostossa. Valitsemasi lippu muuttaa kirjautumisvaihtoa, ei onnistuneen yhteyden jälkeistä reititystä.

Kaksi protokollan nimeä jakavat yhden tuotehistorian

Juniperin Network Connect ja myöhempi Pulse Secure -asiakasohjelma ovat eri protokollia, joita yksi laiteperhe on tarjonnut ajan mittaan. OpenConnect sai nc-käsittelijän ensimmäiselle ja pulse-käsittelijän toiselle. Ne ovat erillisiä koodipolkuja erillisillä pyyntömuodoilla, joten tuki toisessa ei kerro mitään toisesta.

Ero näkyy heti kirjautumiskeskustelussa: päätepisteet, lomakekentät ja tapa, jolla asiakasohjelma ilmoittaa hylätystä toisesta tekijästä, vaihtelevat kahden käsittelijän välillä.

Komentorivillä valinta on yhden sanan muutos: openconnect --protocol=nc vpn.example.com Network Connectille tai openconnect --protocol=pulse vpn.example.com Pulselle. Molemmat yritykset ovat todellisia yhteysyrityksiä, jotka voivat määrittää reitit ja DNS:n uudelleen, joten suorita ne tarkoituksella. Älä koskaan aseta salasanaa komentoriville äläkä poista varmenteen tarkistuksia käytöstä protokollavirheen ohittamiseksi, koska se piilottaa yhteensopimattomuuden sen korjaamisen sijaan. Jos sinun on nähtävä, mitä asiakasohjelma lähettää, --dump-http-traffic tulostaa vaihdon, mikä yleensä tunnistaa käsittelijän, jota yhdyskäytävä odottaa.

Sovita protokolla siihen, mitä yhdyskäytävä tarjoaa

Laite vastaa vain sille määritetylle protokollalle. Pelkkä Pulse-palvelu hylkää nc-kirjautumisen jopa kelvollisilla tunnuksilla, eikä vanhalla Network Connect -palvelulla ole pulse-päätepistettä, johon vastata. Kysy järjestelmänvalvojalta, kumpi on käytössä, ja mitä asiakasohjelmaa he tukevat. Uudelleen nimetty laite, vanhentunut wiki-sivu ja tuttu verkkoportaali ovat kaikki heikkoja todisteita.

Kun tiedät protokollan, vahvista ympäröivät vaatimukset: varmenne- tai token-todennus, todennusryhmän valinta ja mahdollinen päätepisteen vaatimustenmukaisuustarkistus. Ne ratkaisevat, voiko komentoriviasiakasohjelma ylipäätään suorittaa kirjautumisen loppuun.

Todennus voi ratkaista kysymyksen ennen protokollaa

Käyttöönotto voi vaatia asiakasvarmenteen, SAML-kierroksen selaimen kautta tai isäntätarkistimen, joka tutkii koneen ennen pääsyn myöntämistä. OpenConnectin pulse-käsittelijä dokumentoi yhteensopivuusrajat joillekin näistä virroista, ja nc-käsittelijällä on omat puutteensa. Selaimessa toimiva salasana todistaa, että tili on kelvollinen; se ei todista, että mielivaltainen CLI tai työpöytälaajennus voi suorittaa saman sarjan. Kun isäntätarkistin on mukana, asiakasohjelma tarvitsee järjestelmänvalvojan toimittaman kääreskriptin. Ilman sitä kirjautuminen pysähtyy ensimmäisen vastauksen jälkeen ja näyttää protokollavialta, vaikka kyse on todella puuttuvasta vaatimustenmukaisuusvaiheesta.

Todennusryhmän valinta on toinen tavallinen kompastuskivi, koska usean ryhmän yhdyskäytävä odottaa asiakasohjelman nimeävän yhden.

Komentorivillä --authgroup="Employees" tarjoaa tuon valinnan, ja sen pois jättäminen voi jättää istunnon oletusryhmään, joka hylkää tilin. Varmenteilla --certificate osoittaa asiakasvarmenteeseen ja avaimeen, ja yhdyskäytävä voi silti vaatia tokenin jälkeenpäin. Testaa koko sarja kerran yksityiskohtaisella tulosteella ennen kuin automatisoit mitään sen ympärillä.

Kun työpöytäkäyttöliittymä ei voi ilmaista valintaa

Graafiset käyttöliittymät tuovat omat ominaisuutensa, ja vanhempi laajennus voi olla vanhempi kuin tarvitsemasi protokolla. NetworkManagerin OpenConnect-integraatio tallentaa valinnan yhteystietoihinsa, joten nmcli connection modify "Office VPN" vpn.data "protocol=pulse" voi asettaa sen, mitä editori ei näytä. Tarkista, että asennettu laajennusversio tukee avainta, ennen kuin oletat muokkauksen tulleen voimaan.

Jos valikko tarjoaa vain PPTP:n tai L2TP:n, toisen valitseminen ei muuta Pulse-palvelua siksi protokollaksi. Asenna hyväksytty integraatio sen sijaan, että vaihtaisit siihen, mitä valikko sattuu luettelemaan.

Mitä kirjata, kun kirjautuminen yhä epäonnistuu

Kirjaa neljä asiaa: valitsemasi protokolla, asiakasohjelman ja laajennuksen versiot, odotettu todennusvirta ja ensimmäinen virhe, joka palasi tilakoodilla eikä aikakatkaisulla. Tämä joukko erottaa väärän käsittelijän puuttuvasta varmenteesta, hylätystä todennusryhmästä tai estetystä vaatimustenmukaisuustarkistuksesta. Yksityiskohtainen tuloste kannattaa säilyttää samasta syystä, koska se näyttää epäonnistuneen pyynnön eikä vain oireen.

Pidä toimiva komento tai profiili yhdyskäytävän nimen vieressä, kun se onnistuu. Muuten seuraava yhdistäjä toistaa saman brändi vastaan protokolla -arvauksen.