Clients VPN retirés : identifiez d’abord le protocole de la passerelle

Les programmes d’installation de clients VPN arrivés en fin de vie il y a des années fonctionnent encore, demandent encore un profil, puis terminent une connexion qui ne laisse jamais passer un paquet. La machine est à jour et les identifiants sont corrects, pourtant la passerelle est le même équipement que l’entreprise a acheté il y a dix ans. Remplacer le client est le bon geste, mais seulement une fois que vous savez quel protocole cette passerelle publie. Les quatre clients retirés de ce coin ne parlent pas le même.

Pourquoi le nom de marque ne dit pas le protocole

Une même famille d’équipements peut terminer plusieurs protocoles d’accès distant, et le nom commercial sur la boîte ne dit rien du protocole qu’utilise votre compte. Le matériel Cisco a transporté en même temps IPsec avec XAuth et SSL VPN via AnyConnect ; les boîtiers SonicWall proposent Global VPN Client sur IPsec et NetExtender sur SSL VPN ; les déploiements Juniper peuvent exposer Network Connect ou le protocole Pulse plus récent. Installer le successeur qui paraît le plus moderne est une devinette. Le mauvais choix échoue soit à se connecter, soit authentifie une session qui ne transporte aucun trafic.

Le chargement d’une page de portail dans un navigateur prouve qu’un service web répond, pas qu’un client donné négociera avec lui. Traitez ces deux points comme des faits distincts.

Demandez à la passerelle ce qu’elle parle

Le moyen le moins coûteux de réduire les options est de lire ce que renvoie le point de terminaison, puis de nommer explicitement un protocole lorsque vous essayez un client. Aucune des deux étapes ne change quoi que ce soit sur le serveur.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Les en-têtes de réponse et le chemin de connexion indiquent si un portail SSL VPN réside à cette adresse, ce qui oriente vers AnyConnect, NetExtender ou Pulse plutôt que vers un client IPsec. openconnect place le choix du protocole sur la ligne de commande, si bien qu’un échec nomme un protocole et non un produit ; remplacez-le par --protocol=npulse lorsque le déploiement est Juniper. Arrêtez-vous à la première invite qui demande des identifiants que l’on ne vous a pas délivrés, car un tunnel fonctionnel a toujours besoin d’un compte approuvé. Notez le protocole et le chemin dans le ticket de changement pour la machine suivante.

Peser quatre candidats au remplacement

Quatre voies couvrent presque tous les cas, et elles ne sont pas interchangeables. Un successeur de l’éditeur est la voie prise en charge lorsque l’organisation possède la passerelle et compte la licencier. OpenConnect est le client ouvert pratique, car il parle AnyConnect, Network Connect et Pulse lorsque vous nommez le protocole au lieu de le laisser deviner.

strongSwan traite le cas IPsec avec XAuth pour les organisations qui autorisent des clients tiers, et il contourne entièrement le code IPsec abandonné de Cisco. Le client Shrew Soft continue de lire les fichiers de profil Cisco et fonctionne sur certaines versions de Windows, mais sa dernière publication date de 2013. Traitez-le comme une solution provisoire le temps qu’une voie prise en charge soit organisée.

Choisir entre réparation et remplacement

Certaines pannes sont locales : une bibliothèque manquante, un adaptateur virtuel obsolète ou un programme d’installation qui a besoin de l’option de réparation de l’éditeur. Elles valent un essai tant que le client reste pris en charge, car elles coûtent quelques minutes. Le calcul change lorsque le binaire n’est plus pris en charge et que la panne est arrivée avec une mise à niveau du système d’exploitation, car les règles de signature des pilotes et des extensions du noyau ont évolué depuis l’écriture de ces clients. Un client qui se connecte alors que le compteur du tunnel affiche zéro session établie est généralement au-delà de la réparation, et non à une réinstallation près.

Ne gardez l’ancien client installé que le temps d’exporter son profil, puis retirez-le. Deux clients VPN qui se disputent les mêmes routes produisent des symptômes qui ne ressemblent à aucun des deux.

Écrivez l’ordre dans le ticket : protocole et client approuvé par le propriétaire, un successeur pris en charge s’il s’installe, un client ouvert testé sur une seule machine sinon, et une voie d’accès prise en charge si aucun des deux ne fonctionne. Cette séquence évite à la personne suivante de télécharger un autre binaire retiré.