Clientes VPN retirados: identifique primeiro o protocolo da pasarela

Os instaladores de clientes VPN que chegaron ao final da súa vida útil hai anos seguen executándose, seguen pedindo un perfil e logo completan un inicio de sesión que nunca deixa pasar un paquete. O equipo é actual e as credenciais son correctas, pero a pasarela é o mesmo aparello que a empresa comprou hai unha década. Substituír o cliente é o movemento correcto, pero só cando sabe que protocolo publica esa pasarela. Os catro clientes retirados deste recuncho non falan o mesmo.

Por que o nome da marca non di o protocolo

Unha familia de aparellos pode rematar varios protocolos de acceso remoto, e o nome comercial da caixa non di nada sobre cal usa a súa conta. O equipamento Cisco levou á vez IPsec con XAuth e SSL VPN mediante AnyConnect; as caixas SonicWall ofrecen Global VPN Client sobre IPsec e NetExtender sobre SSL VPN; os despregamentos Juniper poden expoñer Network Connect ou o protocolo Pulse máis recente. Instalar o sucesor que pareza máis moderno é adiviñar. A conxectura equivocada ou ben non conecta ou ben autentica unha sesión que non transporta tráfico.

Que unha páxina de portal cargue nun navegador demostra que un servizo web responde, non que un cliente concreto vaia negociar con el. Trate esas dúas cousas como feitos separados.

Pregunte á pasarela que fala

A forma máis barata de estreitar as opcións é ler que devolve o punto final e despois nomear un protocolo explicitamente ao probar un cliente. Ningún dos dous pasos cambia nada no servidor.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

As cabeceiras de resposta e a ruta de inicio de sesión mostran se hai un portal SSL VPN nese enderezo, o que apunta a AnyConnect, NetExtender ou Pulse en lugar de a un cliente IPsec. openconnect pon a elección de protocolo na liña de ordes, así que un fallo nomea un protocolo e non un produto; cámbieo por --protocol=npulse cando o despregamento sexa Juniper. Deter no primeiro aviso que pida credenciais que non lle entregaron, porque un túnel funcional segue necesitando unha conta aprobada. Anote o protocolo e a ruta no tícket de cambio para a próxima máquina.

Sopesar catro candidatos de substitución

Catro rutas cobren case todos os casos, e non son intercambiables. Un sucesor do fabricante é a vía con soporte cando a organización é dona da pasarela e vai licenciala. OpenConnect é o cliente aberto práctico, porque fala AnyConnect, Network Connect e Pulse cando vostede nomea o protocolo en lugar de deixalo adiviñar.

strongSwan xestiona o caso IPsec con XAuth para organizacións que permiten clientes de terceiros, e evita por completo o código IPsec abandonado de Cisco. O cliente Shrew Soft segue lendo ficheiros de perfil de Cisco e funciona nalgunhas compilacións de Windows, pero a súa última versión foi de 2013. Tráteo como unha solución provisional mentres se organiza unha vía con soporte.

Decidir entre reparar e substituír

Algunhas fallas son locais: unha biblioteca que falta, un adaptador virtual obsoleto ou un instalador que necesita a opción de reparación do fabricante. Merecen un intento mentres o cliente siga tendo soporte, porque custan minutos. O cálculo cambia cando o binario está fóra de soporte e a avaría chegou cunha actualización do sistema operativo, xa que as regras de sinatura de controladores e de extensións do núcleo cambiaron desde que se escribiron estes clientes. Un cliente que conecta mentres o contador do túnel mostra cero sesións establecidas adoita estar máis aló da reparación, non a unha reinstalación de distancia.

Manteña o cliente antigo instalado só o tempo suficiente para exportar o seu perfil e logo retíreo. Dous clientes VPN que compiten polas mesmas rutas producen síntomas que non se parecen a ningún dos dous.

Escriba a orde no tícket: protocolo e cliente aprobado polo propietario, un sucesor con soporte se se instala, un cliente aberto probado nunha soa máquina se non, e unha vía de acceso con soporte se ningún dos dous funciona. Esa secuencia evita que a seguinte persoa descargue outro binario retirado.