Juniper կամ Pulse դարպաս՝ որ OpenConnect արձանագրությունն օգտագործել

OpenConnect-ի համար արձանագրություն ընտրելը զուգորդման վարժություն է, ոչ թե ապրանքանիշի որոնում։ Դարպասը, որը մուտքի էջում ասում է Juniper, կարող է առաջարկել Network Connect, Pulse կամ երկուսն էլ, իսկ հաճախորդի լռելյայնը դրանցից ոչ մեկն է։ Գուշակությունը արժենում է ձախողված մուտք և, ավելի վատ, աջակցության թել, որը մեղադրում է հավատարմագրերը արձանագրության անհամապատասխանության մեջ։ Հաստատեք ծառայությունը նախքան պրոֆիլում հոսթի անուն գրելը։

OpenConnect-ը հին արձանագրությունն անվանում է nc, իսկ նորը՝ pulse, և երկուսն էլ ապրում են նույն բինարում։ Ընտրված դրոշիչը փոխում է մուտքի փոխանակումը, ոչ թե հաջող միացումից հետո երթուղավորումը։

Երկու արձանագրության անունները կիսում են մեկ արտադրանքի պատմություն

Juniper-ի Network Connect-ը և ավելի ուշ Pulse Secure հաճախորդը տարբեր արձանագրություններ են, որոնք մեկ սարքերի ընտանիք ժամանակի ընթացքում առաջարկել է։ OpenConnect-ը առաջինի համար ստեղծեց nc մշակիչ և երկրորդի համար՝ pulse մշակիչ։ Դրանք առանձին կոդային ուղիներ են՝ առանձին հարցումների ձևաչափերով, ուստի մեկում աջակցությունը ոչինչ չի ասում մյուսի մասին։

Տարբերությունը անմիջապես երևում է մուտքի զրույցում. վերջնակետերը, ձևաթղթի դաշտերը և այն, թե ինչպես է հաճախորդը հաղորդում մերժված երկրորդ գործոնի մասին, տարբերվում են երկու մշակիչների միջև։

Հրամանային տողում ընտրությունը մեկ բառի փոփոխություն է. openconnect --protocol=nc vpn.example.com-ը՝ Network Connect-ի համար, կամ openconnect --protocol=pulse vpn.example.com-ը՝ Pulse-ի։ Երկու փորձերն էլ իրական միացման փորձեր են, որոնք կարող են վերակարգավորել երթուղիներն ու DNS-ը, ուստի գործարկեք դրանք գիտակցաբար։ Երբեք գաղտնաբառ մի դրեք հրամանային տողում և չանջատեք վկայագրերի ստուգումները՝ արձանագրության սխալը շրջանցելու համար, քանի որ դա թաքցնում է անհամապատասխանությունը՝ փոխանակ այն ուղղելու։ Եթե պետք է տեսնեք, թե ինչ է ուղարկում հաճախորդը, --dump-http-traffic-ը տպում է փոխանակումը, ինչը սովորաբար նույնացնում է այն մշակիչը, որին սպասում է դարպասը։

Համապատասխանեցրեք արձանագրությունը դարպասի առաջարկածին

Սարքը պատասխանում է միայն այն արձանագրությանը, որի համար կարգավորված է։ Միայն Pulse ծառայությունը մերժում է nc մուտքը նույնիսկ վավեր հավատարմագրերով, իսկ հին Network Connect ծառայությունը pulse վերջնակետ չունի՝ պատասխանելու համար։ Հարցրեք ադմինիստրատորին, թե որն է միացված, և որ հաճախորդին են աջակցում։ Վերանվանված սարքը, հնացած վիքի էջը և ծանոթ վեբ պորտալը բոլորը թույլ ապացույցներ են։

Երբ արձանագրությունը հայտնի է, հաստատեք շրջակա պահանջները. վկայագրով կամ նշանով նույնականացում, նույնականացման խմբի ընտրություն և ցանկացած վերջնակետային համապատասխանության ստուգում։ Դրանք որոշում են, թե արդյոք հրամանային տողի հաճախորդը կարող է ընդհանրապես ավարտել մուտքը։

Նույնականացումը կարող է հարցը լուծել արձանագրությունից առաջ

Տեղակայումը կարող է պահանջել հաճախորդի վկայագիր, SAML շրջագայություն բրաուզերի միջով կամ հոսթի ստուգիչ, որը զննում է մեքենան նախքան մուտք տալը։ OpenConnect-ի pulse մշակիչը փաստագրում է համատեղելիության սահմաններն այս հոսքերից մի քանիսի համար, իսկ nc մշակիչն ունի իր բացթողումները։ Բրաուզերում աշխատող գաղտնաբառը ապացուցում է, որ հաշիվը վավեր է՝ այն չի ապացուցում, որ կամայական CLI կամ աշխատասեղանի ընդլայնում կարող է ավարտել նույն հաջորդականությունը։ Երբ հոսթի ստուգիչը ներգրավված է, հաճախորդին անհրաժեշտ է ադմինիստրատորի տրամադրած փաթաթող սկրիպտ։ Առանց դրա մուտքը կանգ է առնում առաջին պատասխանից հետո և թվում է արձանագրության ձախողում, մինչդեռ իրականում բացակայում է համապատասխանության քայլը։

Նույնականացման խմբի ընտրությունը հերթական սովորական սայթաքելու տեղն է, քանի որ մի քանի խումբ ունեցող դարպասը ակնկալում է, որ հաճախորդը մեկը կնշի։

Հրամանային տողում --authgroup="Employees"-ը տալիս է այդ ընտրությունը, և դրա բաց թողնելը կարող է նստաշրջանը թողնել լռելյայն խմբում, որը մերժում է հաշիվը։ Վկայագրերի դեպքում --certificate-ը ցույց է տալիս հաճախորդի վկայագիրն ու բանալին, և դարպասը կարող է հետո դեռ նշան պահանջել։ Փորձարկեք ամբողջ հաջորդականությունը մեկ անգամ մանրամասն արտածմամբ՝ նախքան դրա շուրջ ինչ-որ բան ավտոմատացնելը։

Երբ աշխատասեղանի ինտերֆեյսը չի կարող արտահայտել ընտրությունը

Գրաֆիկական ինտերֆեյսները բերում են իրենց ֆունկցիաների հավաքածուները, և հին ընդլայնումը կարող է ավելի հին լինել, քան ձեզ անհրաժեշտ արձանագրությունը։ NetworkManager-ի OpenConnect ինտեգրումը պահում է ընտրությունը իր միացման տվյալների մեջ, ուստի nmcli connection modify "Office VPN" vpn.data "protocol=pulse"-ը կարող է սահմանել այն, ինչ խմբագրիչը չի ցուցադրում։ Ստուգեք, որ տեղադրված ընդլայնման տարբերակը աջակցում է այդ բանալուն, նախքան ենթադրելը, որ փոփոխությունը ուժի մեջ է մտել։

Եթե ընտրացանկը առաջարկում է միայն PPTP կամ L2TP, դրանցից մեկի ընտրությունը Pulse ծառայությունը չի վերածում այդ արձանագրության։ Տեղադրեք հաստատված ինտեգրումը՝ փոխանակ անցնելու այն ամենին, ինչ ընտրացանկը պատահաբար թվարկում է։

Ինչ գրանցել, երբ մուտքը դեռ ձախողվում է

Գրանցեք չորս բան. ձեր ընտրած արձանագրությունը, հաճախորդի և ընդլայնման տարբերակները, սպասված նույնականացման հոսքը և առաջին սխալը, որը վերադարձել է կարգավիճակի կոդով, ոչ թե ժամկետի սպառմամբ։ Այս հավաքածուն առանձնացնում է սխալ մշակիչը բացակայող վկայագրից, մերժված նույնականացման խմբից կամ արգելափակված համապատասխանության ստուգումից։ Մանրամասն արտածումը արժե պահել նույն պատճառով, քանի որ այն ցույց է տալիս ձախողված հարցումը, ոչ միայն ախտանիշը։

Աշխատող հրամանը կամ պրոֆիլը պահեք դարպասի անվան կողքին, երբ այն հաջողվի։ Հակառակ դեպքում հաջորդ միացողը կկրկնի նույն ապրանքանիշն ընդդեմ արձանագրության գուշակությունը։