Pasarela Juniper ou Pulse: que protocolo OpenConnect usar

Escoller un protocolo para OpenConnect é un exercicio de emparellamento, non unha busca de marca. Unha pasarela que di Juniper na páxina de inicio de sesión pode expor Network Connect, Pulse ou ambos, e o valor predeterminado do cliente non é ningún deles. Adiviñar custa un inicio de sesión fallido e, peor, un fío de soporte que culpa as credenciais dunha discrepancia de protocolo. Confirme o servizo antes de escribir un nome de host nun perfil.

OpenConnect chama nc ao protocolo máis antigo e pulse ao máis recente, e ambos viven no mesmo binario. O indicador que escolla cambia o intercambio de inicio de sesión, non o encamiñamento posterior a unha conexión correcta.

Os dous nomes de protocolo comparten unha historia de produto

O Network Connect de Juniper e o cliente posterior Pulse Secure son protocolos distintos que unha familia de dispositivos expuxo co tempo. OpenConnect incorporou un xestor nc para o primeiro e un xestor pulse para o segundo. Son camiños de código separados con formatos de solicitude separados, así que o soporte nun non di nada do outro.

A diferenza vese de inmediato na conversa de inicio de sesión: os puntos finais, os campos do formulario e a forma en que o cliente informa dun segundo factor rexeitado varían entre os dous xestores.

Escoller na liña de ordes é un cambio dunha palabra: openconnect --protocol=nc vpn.example.com para Network Connect, ou openconnect --protocol=pulse vpn.example.com para Pulse. Ambos intentos son intentos de conexión reais que poden reconfigurar rutas e DNS, así que execúteos deliberadamente. Nunca poña un contrasinal na liña de ordes nin desactive as comprobacións de certificados para sortear un erro de protocolo, porque iso oculta a discrepancia en lugar de corrixila. Se necesita ver que envía o cliente, --dump-http-traffic imprime o intercambio, que normalmente identifica o xestor que espera a pasarela.

Axuste o protocolo ao que expón a pasarela

O dispositivo responde só ao protocolo para o que está configurado. Un servizo só de Pulse rexeita un inicio de sesión nc mesmo con credenciais válidas, e un servizo antigo de Network Connect non ten ningún punto final pulse ao que responder. Pregunte ao administrador cal está habilitado e que cliente admiten. Un dispositivo renomeado, unha páxina wiki desactualizada e un portal web coñecido son todas probas débiles.

Unha vez que coñeza o protocolo, confirme os requisitos da contorna: autenticación por certificado ou token, unha selección de grupo de autenticación e calquera comprobación de cumprimento do punto final. Esas deciden se un cliente de liña de ordes pode completar o inicio de sesión.

A autenticación pode resolver a pregunta antes que o protocolo

Un despregamento pode esixir un certificado de cliente, unha viaxe SAML a través do navegador ou un verificador de host que inspecciona a máquina antes de conceder acceso. O xestor pulse de OpenConnect documenta límites de compatibilidade para algúns destes fluxos, e o xestor nc ten as súas propias lagoas. Un contrasinal que funciona no navegador demostra que a conta é válida; non demostra que unha CLI ou un complemento de escritorio arbitrario poida completar a mesma secuencia. Cando hai un verificador de host, o cliente necesita un script envolvente proporcionado polo administrador. Sen el, o inicio de sesión detense tras a primeira resposta e parece un fallo de protocolo cando en realidade é un paso de cumprimento que falta.

A selección de grupo de autenticación é o outro punto de tropezo habitual, porque unha pasarela con varios grupos espera que o cliente nomee un.

Na liña de ordes, --authgroup="Employees" proporciona esa elección, e omitila pode deixar a sesión nun grupo predeterminado que rexeita a conta. Con certificados, --certificate apunta ao certificado e á clave do cliente, e a pasarela aínda pode esixir un token despois. Probe a secuencia completa unha vez con saída detallada antes de automatizar nada ao seu redor.

Cando a interface de escritorio non pode expresar a elección

As interfaces gráficas traen os seus propios conxuntos de funcións, e un complemento antigo pode ser anterior ao protocolo que necesita. A integración de OpenConnect de NetworkManager garda a elección nos seus datos de conexión, así que nmcli connection modify "Office VPN" vpn.data "protocol=pulse" pode establecer o que o editor non mostra. Comprobe que a versión instalada do complemento admite a clave antes de supoñer que a edición xa fixo efecto.

Se un menú só ofrece PPTP ou L2TP, escoller un non converte un servizo Pulse nese protocolo. Instale a integración aprobada en lugar de cambiar ao que o menú enumere por casualidade.

Que rexistrar cando o inicio de sesión segue fallando

Rexistre catro cousas: o protocolo que seleccionou, as versións do cliente e do complemento, o fluxo de autenticación previsto e o primeiro erro que volveu cun código de estado en lugar dun tempo de espera. Ese conxunto separa un xestor equivocado dun certificado ausente, un grupo de autenticación rexeitado ou unha comprobación de cumprimento bloqueada. A saída detallada merece conservarse polo mesmo motivo, porque mostra a solicitude que fallou en lugar de só o síntoma.

Garde a orde ou o perfil que funciona xunto ao nome da pasarela cando o consiga. Se non, a seguinte persoa que se conecte repetirá a mesma conxectura de marca contra protocolo.