לקוחות VPN שפרשו: זהו קודם את פרוטוקול השער

מתקיני לקוחות VPN שהגיעו לסוף חייהם לפני שנים עדיין פועלים, עדיין מבקשים פרופיל, ואז משלימים התחברות שלעולם אינה מעבירה אף מנות. המחשב עדכני והפרטים נכונים, ובכל זאת השער הוא אותו מכשיר שהחברה קנתה לפני עשור. החלפת הלקוח היא הצעד הנכון, אבל רק אחרי שתדעו איזה פרוטוקול השער הזה מפרסם. ארבעת הלקוחות שפרשו בפינה הזאת אינם מדברים באותו פרוטוקול.

למה שם המותג לא אומר את הפרוטוקול

משפחת מכשירים אחת יכולה לסיים כמה פרוטוקולי גישה מרחוק, והשם השיווקי על הקופסה לא אומר דבר על זה שהחשבון שלכם משתמש בו. ציוד Cisco נשא בו-זמנית IPsec עם XAuth וגם SSL VPN דרך AnyConnect; תיבות SonicWall מציעות Global VPN Client מעל IPsec ו-NetExtender מעל SSL VPN; פריסות Juniper יכולות לחשוף Network Connect או פרוטוקול Pulse החדש יותר. התקנת המחליף שנראה המודרני ביותר היא ניחוש. הניחוש השגוי או נכשל בהתחברות או מאמת לסשן שאינו נושא תעבורה.

טעינת עמוד פורטל בדפדפן מוכיחה ששירות אינטרנט עונה, לא שלקוח מסוים ינהל איתו משא ומתן. התייחסו לשני אלה כעובדות נפרדות.

שאלו את השער במה הוא מדבר

הדרך הזולה ביותר לצמצם את האפשרויות היא לקרוא מה נקודת הקצה מחזירה, ואז לנקוב בשם פרוטוקול במפורש כשאתם מנסים לקוח. אף אחד משני השלבים לא משנה דבר בשרת.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

כותרות התגובה ונתיב ההתחברות מראים אם יש פורטל SSL VPN בכתובת הזאת, מה שמצביע על AnyConnect, NetExtender או Pulse ולא על לקוח IPsec. openconnect שם את בחירת הפרוטוקול על שורת הפקודה, כך שכשל נוקב בשם פרוטוקול ולא מוצר; החליפו אותו ב---protocol=npulse כשהפריסה היא Juniper. עצרו בהנחיה הראשונה שמבקשת פרטי התחברות שלא הונפקו לכם, כי מנהרה עובדת עדיין זקוקה לחשבון מאושר. רשמו את הפרוטוקול והנתיב בכרטיס השינוי למכונה הבאה.

שקלו ארבעה מחליפים אפשריים

ארבעה מסלולים מכסים כמעט כל מקרה, והם אינם ניתנים להחלפה. מחליף של היצרן הוא המסלול הנתמך כשהארגון מחזיק בשער וירצה לרשאותו. OpenConnect הוא הלקוח הפתוח המעשי, כי הוא מדבר AnyConnect, Network Connect ו-Pulse כשאתם נוקבים בשם הפרוטוקול במקום לתת לו לנחש.

strongSwan מטפל במקרה של IPsec עם XAuth לארגונים שמתירים לקוחות צד שלישי, והוא עוקף לחלוטין את קוד ה-IPsec הנטוש של Cisco. לקוח Shrew Soft ממשיך לקרוא קובצי פרופיל של Cisco ורץ בכמה גרסאות Windows, אבל מהדורתו האחרונה הייתה 2013. התייחסו אליו כפתרון זמני עד שיסודר מסלול נתמך.

החליטו בין תיקון להחלפה

כמה כשלים מקומיים: ספרייה חסרה, מתאם וירטואלי מיושן, או מתקין שזקוק לאפשרות התיקון של היצרן. אלה שווים ניסיון אחד כל עוד הלקוח נתמך, כי הם עולים דקות. החישוב משתנה כשהקובץ הבינארי מחוץ לתמיכה והתקלה הגיעה עם שדרוג מערכת ההפעלה, מאחר שכללי חתימת מנהלי התקנים והרחבות ליבה השתנו מאז שנכתבו הלקוחות האלה. לקוח שמתחבר בזמן שמונה המנהרה מציג אפס סשנים שהוקמו הוא בדרך כלל מעבר לתיקון, ולא במרחק התקנה מחדש אחת.

השאירו את הלקוח הישן מותקן רק כל עוד דרוש לייצוא הפרופיל שלו, ואז הסירו אותו. שני לקוחות VPN שמתחרים על אותם מסלולים מייצרים תסמינים שאינם דומים לאף אחד מהם.

כתבו את הסדר בכרטיס: פרוטוקול ולקוח מאושר מהבעלים, מחליף נתמך אם הוא מותקן, לקוח פתוח אחד שנבדק במכונה אחת אם לא, ומסלול גישה נתמך אם אף אחד מהם לא עובד. הסדר הזה מונע מהאדם הבא להוריד עוד קובץ בינארי שפרש.