Poistetut VPN-asiakasohjelmat: tunnista ensin yhdyskäytävän protokolla

Vuosia sitten käytöstä poistettujen VPN-asiakasohjelmien asentajat toimivat edelleen, kysyvät edelleen profiilia ja viimeistelevät sitten kirjautumisen, joka ei koskaan päästä läpi yhtään pakettia. Kone on nykyaikainen ja tunnistetiedot oikein, silti yhdyskäytävä on sama laite, jonka yritys osti vuosikymmen sitten. Asiakasohjelman vaihtaminen on oikea liike, mutta vasta kun tiedät, mitä protokollaa tuo yhdyskäytävä julkaisee. Tämän kulman neljä poistettua asiakasohjelmaa eivät puhu samaa.

Miksi tuotemerkki ei kerro protokollaa

Yksi laiteperhe voi päättää useita etäkäyttöprotokollia, eikä laatikon markkinointinimi kerro mitään siitä, mitä protokollaa tilisi käyttää. Cisco-laitteet ovat kantaneet samaan aikaan IPseciä XAuthin kanssa ja SSL VPN AnyConnectin kautta; SonicWall-laatikot tarjoavat Global VPN Clientin IPsecin yli ja NetExtenderin SSL VPN:n yli; Juniper-asennukset voivat paljastaa Network Connectin tai uudemman Pulse-protokollan. Nykyaikaisimmalta näyttävän seuraajan asentaminen on arvailua. Väärä arvaus joko epäonnistuu yhteydessä tai todentaa istuntoon, joka ei kuljeta lainkaan liikennettä.

Portaalisivun latautuminen selaimessa todistaa, että verkkopalvelu vastaa, ei että tietty asiakasohjelma neuvottelee sen kanssa. Käsittele näitä kahtena erillisenä tosiasiana.

Kysy yhdyskäytävältä, mitä se puhuu

Halvin tapa kaventaa vaihtoehtoja on lukea, mitä päätepiste palauttaa, ja nimetä sitten protokolla nimenomaisesti, kun kokeilet asiakasohjelmaa. Kumpikaan vaihe ei muuta palvelimella mitään.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Vastausotsakkeet ja kirjautumispolku näyttävät, onko tuossa osoitteessa SSL VPN -portaali, mikä viittaa AnyConnectiin, NetExtenderiin tai Pulseen eikä IPsec-asiakasohjelmaan. openconnect asettaa protokollavalinnan komentoriville, joten epäonnistuminen nimeää protokollan eikä tuotetta; vaihda tilalle --protocol=npulse, kun asennus on Juniper. Pysähdy ensimmäiseen kehotteeseen, joka pyytää tunnistetietoja, joita sinulle ei annettu, koska toimiva tunneli tarvitsee silti hyväksytyn tilin. Kirjaa protokolla ja polku muutostikettiin seuraavaa konetta varten.

Punnitse neljää korvausvaihtoehtoa

Neljä reittiä kattaa lähes kaikki tapaukset, eivätkä ne ole keskenään vaihdettavissa. Toimittajan seuraaja on tuettu reitti, kun organisaatio omistaa yhdyskäytävän ja lisensoi sen. OpenConnect on käytännöllinen avoin asiakasohjelma, koska se puhuu AnyConnectia, Network Connectia ja Pulsea, kun nimeät protokollan sen sijaan että antaisit sen arvata.

strongSwan hoitaa IPsec-XAuth-tapauksen organisaatioille, jotka sallivat kolmannen osapuolen asiakasohjelmat, ja väistää kokonaan hylätyn Cisco IPsec -koodin. Shrew Soft -asiakasohjelma lukee edelleen Cisco-profiilitiedostoja ja toimii joissakin Windows-versioissa, mutta sen viimeinen julkaisu oli vuonna 2013. Käsittele sitä väliaikaisratkaisuna, kunnes tuettu reitti järjestetään.

Valitse korjauksen ja vaihdon välillä

Osa vioista on paikallisia: puuttuva kirjasto, vanhentunut virtuaaliadapteri tai asentaja, joka tarvitsee toimittajan korjausvaihtoehdon. Ne ovat yhden yrityksen arvoisia, kun asiakasohjelma on vielä tuettu, koska ne maksavat minuutteja. Laskelma muuttuu, kun binääri on tuen ulkopuolella ja rikko tuli käyttöjärjestelmän päivityksen mukana, sillä ajurien allekirjoituksen ja ytimen laajennusten säännöt ovat muuttuneet näiden asiakasohjelmien kirjoittamisen jälkeen. Asiakasohjelma, joka yhdistää, kun tunnelilaskuri näyttää nolla muodostettua istuntoa, on yleensä korjauksen tuolla puolen, ei yhden uudelleenasennuksen päässä.

Pidä vanha asiakasohjelma asennettuna vain sen aikaa, että voit viedä sen profiilin, ja poista se sitten. Kaksi VPN-asiakasohjelmaa, jotka kilpailevat samoista reiteistä, tuottavat oireita, jotka eivät muistuta kumpaakaan niistä.

Kirjoita järjestys tikettiin: protokolla ja hyväksytty asiakasohjelma omistajalta, tuettu seuraaja jos se asentuu, yksi avoin asiakasohjelma yhdellä koneella testattuna jos ei, ja tuettu käyttöpolku jos kumpikaan ei toimi. Tämä järjestys estää seuraavaa henkilöä lataamasta vielä yhtä poistettua binääriä.