Juniper- of Pulse-gateway: hokker OpenConnect-protokol te brûken

In protokol kieze foar OpenConnect is in oefening yn matsen, gjin merksykjen. In gateway dy't op 'e oanmeldingsside Juniper seit, kin Network Connect, Pulse of beide oanbiede, en de standert fan 'e klient is gjin fan beide. Rieden kostet in mislearre oanmelding en, slimmer, in stipe-rigel dy't de oanmeldgegevens de skuld jout foar in protokol-misrin. Befêstigje de tsjinst foardat jo in hostnamme yn in profyl typje.

OpenConnect neamt it âldere protokol nc en it nijere pulse, en beide libje yn deselde binêre triem. De flag dy't jo kieze feroaret de oanmeldingsútwikseling, net de rûtebepaling efter in slagge ferbining.

De beide protokolnammen diele in produktsskiednis

Network Connect fan Juniper en de lettere Pulse Secure-klient binne ferskillende protokollen dy't ien apparaatfamylje yn 'e rin fan 'e tiid oanbean hat. OpenConnect krige in nc-handler foar de earste en in pulse-handler foar de twadde. It binne aparte koadepaden mei aparte oanfraachformaten, dat stipe yn 'e iene seit neat oer de oare.

It ferskil is daliks te sjen yn it oanmeldingspetear: einpunten, formulierfjilden en de manier wêrop de klient in ôfwiisd twadde faktor rapportearret, ferskille tusken de beide handlers.

Kieze op 'e opdrachtline is in feroaring fan ien wurd: openconnect --protocol=nc vpn.example.com foar Network Connect, of openconnect --protocol=pulse vpn.example.com foar Pulse. Beide pogingen binne echte ferbiningspogingen dy't rûtes en DNS opnij ynstelle kinne, dus fiere se bewust út. Pleatst nea in wachtwurd op 'e opdrachtline en skeakelje gjin sertifikaatkontrôles út om in protokolfout te omzeilen, want dat ferberget de misrin ynstee fan it te reparearjen. As jo sjen moatte wat de klient stjoert, printsje --dump-http-traffic de útwikseling, wat meastentiids de handler identifisearret dy't de gateway ferwachtet.

Matsje it protokol oan wat de gateway oanbiedt

It apparaat antwurdet allinnich op it protokol dêr't it foar konfigurearre is. In Pulse-only-tsjinst wiist in nc-oanmelding ôf sels mei jildige oanmeldgegevens, en in âlde Network Connect-tsjinst hat gjin pulse-einpunt om op te antwurden. Freegje de behearder hokker ynskeakele is, en hokker klient se stypje. In omneamd apparaat, in ferâldere wiki-side en in fertroud webportaal binne allegear swak bewiis.

As jo it protokol witte, befêstigje dan de omkriten easken: sertifikaat- of token-ferifikaasje, in kar fan in auth-groep en elke einpuntnalevingskontrôle. Dy beslute oft in opdrachtline-klient de oanmelding hielendal ôfmeitsje kin.

Ferifikaasje kin de fraach foar it protokol besljochtsje

In ymplemintaasje kin in kliïntsertifikaat freegje, in SAML-rûnreis troch in browser, of in hostkontrolleur dy't de masine ynspektearret foardat tagong jûn wurdt. De pulse-handler fan OpenConnect dokumintearret kompatibiliteitslimits foar guon fan dizze streamen, en de nc-handler hat syn eigen gatten. In wachtwurd dat yn 'e browser wurket, bewiist dat it akkount jildich is; it bewiist net dat in willekeurige CLI of desktop-plug-in deselde sekwinsje ôfmeitsje kin. As in hostkontrolleur yn it spul is, hat de klient in wrapper-skript nedich dat de behearder leveret. Sûnder dat stûket de oanmelding nei it earste antwurd en liket it op in protokolfout wylst it eins in ûntbrekkende nalevingsstap is.

Kar fan auth-groep is it oare gewoane strupelblok, want in gateway mei ferskate groepen ferwachtet dat de klient ien neamt.

Op 'e opdrachtline leveret --authgroup="Employees" dy kar, en it weilitten kin de sesje yn in standertgroep lanne litte dy't it akkount ôfwiist. Mei sertifikaten wiist --certificate nei it kliïntsertifikaat en de kaai, en de gateway kin dêrnei noch altyd in token easkje. Test de folsleine sekwinsje ien kear mei wiidweidige útfier foardat jo eat deromhinne automatisearje.

As de desktop-frontend de kar net útdrukke kin

Grafyske frontends drage har eigen funksjesets, en in âlder plug-in kin it protokol dat jo nedich hawwe foarôfgeane. De OpenConnect-ynbou fan NetworkManager bewarret de kar yn syn ferbiningsgegevens, dus nmcli connection modify "Office VPN" vpn.data "protocol=pulse" kin ynstelle wat de bewurker net toant. Kontrolearje dat de ynstallearre plug-inferzje de kaai stipet foardat jo oannimme dat de bewurking effekt hân hat.

As in menu allinnich PPTP of L2TP biedt, makket it kiezen fan ien gjin Pulse-tsjinst fan dat protokol. Ynstallearje de goedkarde yntegraasje ynstee fan oer te skeakeljen nei wat it menu tafallich listet.

Wat te registrearjen as de oanmelding noch altyd mislearret

Registrearje fjouwer dingen: it protokol dat jo keazen, de ferzjes fan klient en plug-in, de ferwachte ferifikaasjestream en de earste flater dy't weromkaam mei in statuskoade ynstee fan in time-out. Dat set skiedt in ferkearde handler fan in ûntbrekkend sertifikaat, in ôfwiisde auth-groep of in blokkearre nalevingskontrôle. Wiidweidige útfier is om deselde reden de muoite wurdich om te bewarjen, want it toant de oanfraach dy't mislearre ynstee fan allinnich it symptoom.

Hâld it wurkjende kommando of profyl njonken de gatewaynamme as it slagget. Oars sil de folgjende persoan dy't ferbynt deselde merk-tsjin-protokol-riednis werhelje.