Juniper ili Pulse gateway: koji OpenConnect protokol koristiti

Odabir protokola za OpenConnect je vježba uparivanja, a ne traženje brenda. Gateway koji na stranici za prijavu piše Juniper može izlagati Network Connect, Pulse ili oboje, a zadana vrijednost klijenta nije nijedno od toga. Nagađanje košta neuspješnu prijavu i, još gore, nit podrške koja okrivljuje akreditive za nesklad protokola. Potvrdite uslugu prije nego što u profil upišete ime hosta.

OpenConnect stariji protokol naziva nc, a noviji pulse, i oba žive u istom binarnom zapisu. Zastavica koju odaberete mijenja razmjenu pri prijavi, ne usmjeravanje nakon uspješnog povezivanja.

Dva naziva protokola dijele istoriju jednog proizvoda

Juniperov Network Connect i kasniji klijent Pulse Secure različiti su protokoli koje je jedna porodica uređaja izlagala tokom vremena. OpenConnect je dobio nc obrađivač za prvi i pulse obrađivač za drugi. To su odvojeni kodni putevi s odvojenim formatima zahtjeva, pa podrška u jednom ne govori ništa o drugom.

Razlika se odmah vidi u razgovoru pri prijavi: krajnje točke, polja obrasca i način na koji klijent prijavljuje odbijeni drugi faktor razlikuju se između dva obrađivača.

Odabir na komandnoj liniji promjena je od jedne riječi: openconnect --protocol=nc vpn.example.com za Network Connect ili openconnect --protocol=pulse vpn.example.com za Pulse. Oba pokušaja stvarni su pokušaji povezivanja koji mogu prekonfigurisati rute i DNS, pa ih izvodite namjerno. Nikada ne stavljajte lozinku na komandnu liniju i ne isključujte provjere certifikata da biste zaobišli grešku protokola, jer to skriva nesklad umjesto da ga popravi. Ako trebate vidjeti šta klijent šalje, --dump-http-traffic ispisuje razmjenu, što obično identificira obrađivač koji gateway očekuje.

Uskladite protokol s onim što gateway izlaže

Uređaj odgovara samo na protokol za koji je konfigurisan. Usluga samo s Pulseom odbija nc prijavu čak i s važećim akreditivima, a stara Network Connect usluga nema pulse krajnju točku za odgovor. Pitajte administratora koji je omogućen i koji klijent podržavaju. Preimenovani uređaj, zastarjela wiki stranica i poznati web portal sve su slabi dokazi.

Kad znate protokol, potvrdite okolne zahtjeve: provjeru certifikata ili tokena, odabir auth grupe i svaku provjeru usklađenosti krajnje točke. One odlučuju može li klijent s komandne linije uopće završiti prijavu.

Provjera identiteta može riješiti pitanje prije protokola

Postavljanje može zahtijevati klijentski certifikat, SAML krug kroz preglednik ili provjerivač hosta koji pregleda mašinu prije davanja pristupa. OpenConnectov pulse obrađivač dokumentira ograničenja kompatibilnosti za neke od tih tokova, a nc obrađivač ima vlastite praznine. Lozinka koja radi u pregledniku dokazuje da je račun važeći; ne dokazuje da proizvoljni CLI ili desktop dodatak može završiti isti slijed. Kad je u igri provjerivač hosta, klijentu treba omotna skripta koju daje administrator. Bez nje prijava staje nakon prvog odgovora i izgleda kao kvar protokola, a zapravo je nedostajući korak usklađenosti.

Odabir auth grupe druga je česta prepreka, jer gateway s nekoliko grupa očekuje da klijent jednu imenuje.

Na komandnoj liniji --authgroup="Employees" daje taj odabir, a njegovo izostavljanje može smjestiti sesiju u zadanu grupu koja odbija račun. S certifikatima --certificate pokazuje na klijentski certifikat i ključ, a gateway poslije može još tražiti token. Testirajte cijeli slijed jednom s detaljnim izlazom prije nego što bilo šta oko njega automatizujete.

Kad desktop sučelje ne može izraziti odabir

Grafička sučelja nose vlastite skupove funkcija, a stariji dodatak može prethoditi protokolu koji vam treba. NetworkManagerova OpenConnect integracija sprema odabir u svoje podatke veze, pa nmcli connection modify "Office VPN" vpn.data "protocol=pulse" može postaviti ono što editor ne prikazuje. Provjerite podržava li instalirana verzija dodatka taj ključ prije nego što pretpostavite da je izmjena stupila na snagu.

Ako meni nudi samo PPTP ili L2TP, odabir jednog ne pretvara Pulse uslugu u taj protokol. Instalirajte odobrenu integraciju umjesto da prelazite na ono što meni slučajno navodi.

Šta zabilježiti kad prijava i dalje ne uspije

Zabilježite četiri stvari: protokol koji ste odabrali, verzije klijenta i dodatka, očekivani tok provjere identiteta i prvu grešku koja se vratila sa statusnim kodom, a ne s istekom vremena. Taj skup razdvaja pogrešan obrađivač od nedostajućeg certifikata, odbijene auth grupe ili blokirane provjere usklađenosti. Detaljni izlaz vrijedi sačuvati iz istog razloga, jer pokazuje zahtjev koji je pao, a ne samo simptom.

Držite radnu komandu ili profil uz ime gatewaya kad uspije. Inače će sljedeća osoba koja se spaja ponoviti isto nagađanje brenda naspram protokola.