Juniper vagy Pulse átjáró: melyik OpenConnect protokollt használjuk

Protokollt választani az OpenConnecthez párosítási gyakorlat, nem márkakeresés. Egy átjáró, amely a bejelentkezési oldalon Juniper-t ír, kínálhat Network Connectet, Pulse-t vagy mindkettőt, az ügyfél alapértelmezése pedig egyik sem. A találgatás egy sikertelen bejelentkezésbe és, ami rosszabb, egy támogatási szálba kerül, amely a hitelesítő adatokat okolja a protokoll-eltérésért. A profilba való gépnév beírása előtt erősítse meg a szolgáltatást.

Az OpenConnect a régebbi protokollt nc-nek, az újabbat pulse-nak nevezi, és mindkettő ugyanabban a binárisban él. A választott kapcsoló a bejelentkezési párbeszédet változtatja meg, nem a sikeres kapcsolat utáni útválasztást.

A két protokollnév egy terméktörténetet oszt meg

A Juniper Network Connect és a későbbi Pulse Secure ügyfél különböző protokollok, amelyeket egy készülékcsalád az idők során kínált. Az OpenConnect nc-kezelőt fejlesztett az elsőhöz és pulse-kezelőt a másodikhoz. Ezek külön kódutak külön kérésformátumokkal, ezért az egyik támogatása semmit sem mond a másikról.

A különbség azonnal látszik a bejelentkezési beszélgetésben: a végpontok, az űrlapmezők és az, ahogy az ügyfél egy elutasított második tényezőt jelent, eltér a két kezelő között.

A parancssori választás egyetlen szó változása: openconnect --protocol=nc vpn.example.com a Network Connecthez vagy openconnect --protocol=pulse vpn.example.com a Pulse-hoz. Mindkét kísérlet valódi kapcsolódási kísérlet, amely átállíthatja az útvonalakat és a DNS-t, ezért szándékosan futtassa őket. Soha ne tegyen jelszót a parancssorba, és ne kapcsolja ki a tanúsítvány-ellenőrzéseket egy protokollhiba megkerüléséhez, mert ez elrejti az eltérést ahelyett, hogy kijavítaná. Ha látnia kell, mit küld az ügyfél, a --dump-http-traffic kinyomtatja a párbeszédet, amely rendszerint azonosítja az átjáró által várt kezelőt.

Igazítsa a protokollt ahhoz, amit az átjáró nyújt

A készülék csak arra a protokollra válaszol, amelyre be van állítva. Egy csak Pulse-t kínáló szolgáltatás érvényes hitelesítő adatokkal is elutasítja az nc-bejelentkezést, a régi Network Connect szolgáltatásnak pedig nincs pulse-végpontja, amely válaszolna. Kérdezze meg a rendszergazdát, melyik van engedélyezve, és melyik ügyfelet támogatják. Az átnevezett készülék, az elavult wiki-oldal és az ismerős webportál mind gyenge bizonyíték.

Ha ismeri a protokollt, erősítse meg a környező követelményeket: tanúsítvány- vagy token-hitelesítés, auth csoport kiválasztása és bármilyen végpont-megfelelőségi ellenőrzés. Ezek döntik el, hogy egy parancssori ügyfél egyáltalán be tudja-e fejezni a bejelentkezést.

A hitelesítés a protokoll előtt eldöntheti a kérdést

Egy telepítés kérhet ügyféltanúsítványt, böngészőn keresztüli SAML-körutazást vagy egy hosztellenőrt, amely a hozzáférés megadása előtt megvizsgálja a gépet. Az OpenConnect pulse-kezelője dokumentálja a kompatibilitási korlátokat e folyamatok egy részéhez, és az nc-kezelőnek megvannak a maga hiányosságai. A böngészőben működő jelszó bizonyítja, hogy a fiók érvényes; nem bizonyítja, hogy egy tetszőleges CLI vagy asztali bővítmény be tudja fejezni ugyanazt a sorrendet. Ha hosztellenőr van a játékban, az ügyfélnek a rendszergazda által biztosított burkolószkriptre van szüksége. Nélküle a bejelentkezés az első válasz után megakad, és protokollhibának látszik, miközben valójában egy hiányzó megfelelőségi lépés.

Az auth csoport kiválasztása a másik gyakori botlási pont, mert a több csoporttal rendelkező átjáró elvárja, hogy az ügyfél megnevezzen egyet.

A parancssorban a --authgroup="Employees" biztosítja ezt a választást, és ennek elhagyása olyan alapértelmezett csoportba teheti a munkamenetet, amely elutasítja a fiókot. Tanúsítványokkal a --certificate az ügyféltanúsítványra és a kulcsra mutat, és az átjáró utána még tokent kérhet. Tesztelje a teljes sorrendet egyszer részletes kimenettel, mielőtt bármit automatizálna körülötte.

Amikor az asztali felület nem tudja kifejezni a választást

A grafikus felületek saját funkciókészleteket hoznak, és egy régebbi bővítmény megelőzheti a szükséges protokollt. A NetworkManager OpenConnect-integrációja a kapcsolat adataiban tárolja a választást, így a nmcli connection modify "Office VPN" vpn.data "protocol=pulse" beállíthatja azt, amit a szerkesztő nem mutat. Ellenőrizze, hogy a telepített bővítményverzió támogatja-e a kulcsot, mielőtt feltételezné, hogy a módosítás hatályba lépett.

Ha egy menü csak PPTP-t vagy L2TP-t kínál, az egyik kiválasztása nem alakítja a Pulse szolgáltatást azzá a protokollá. Telepítse a jóváhagyott integrációt ahelyett, hogy arra váltana, amit a menü éppen felsorol.

Mit kell rögzíteni, ha a bejelentkezés továbbra is sikertelen

Rögzítsen négy dolgot: a választott protokollt, az ügyfél és a bővítmény verzióit, a várt hitelesítési folyamatot és az első hibát, amely állapotkóddal tért vissza, nem időtúllépéssel. Ez a készlet elválasztja a rossz kezelőt a hiányzó tanúsítványtól, az elutasított auth csoporttól vagy a blokkolt megfelelőségi ellenőrzéstől. A részletes kimenetet ugyanezen okból érdemes megőrizni, mert a sikertelen kérést mutatja, nem csak a tünetet.

Tartsa a működő parancsot vagy profilt az átjáró neve mellett, amint sikerrel jár. Különben a következő csatlakozó ugyanazt a márka kontra protokoll találgatást ismétli meg.