Gateway Juniper atau Pulse: protokol OpenConnect mana yang dipakai

Memilih protokol untuk OpenConnect adalah latihan pencocokan, bukan pencarian merek. Gateway yang bertuliskan Juniper di halaman login bisa mengekspos Network Connect, Pulse, atau keduanya, dan nilai bawaan klien bukan salah satunya. Menebak berbiaya login yang gagal dan, lebih buruk, utas dukungan yang menyalahkan kredensial atas ketidakcocokan protokol. Pastikan layanannya sebelum Anda mengetik nama host ke profil.

OpenConnect menyebut protokol lama nc dan yang lebih baru pulse, dan keduanya tinggal di biner yang sama. Flag yang Anda pilih mengubah pertukaran login, bukan perutean setelah koneksi berhasil.

Kedua nama protokol berbagi satu riwayat produk

Network Connect dari Juniper dan klien Pulse Secure yang lebih baru adalah protokol berbeda yang pernah diekspos satu keluarga perangkat sepanjang waktu. OpenConnect menumbuhkan penangan nc untuk yang pertama dan penangan pulse untuk yang kedua. Keduanya jalur kode terpisah dengan format permintaan terpisah, jadi dukungan di satu tidak menjelaskan apa pun tentang yang lain.

Perbedaannya langsung terlihat dalam percakapan login: titik akhir, bidang formulir, dan cara klien melaporkan faktor kedua yang ditolak semuanya berbeda antara dua penangan.

Memilih di baris perintah adalah perubahan satu kata: openconnect --protocol=nc vpn.example.com untuk Network Connect, atau openconnect --protocol=pulse vpn.example.com untuk Pulse. Kedua upaya adalah upaya koneksi nyata yang dapat mengonfigurasi ulang rute dan DNS, jadi jalankan dengan sengaja. Jangan pernah menaruh kata sandi di baris perintah atau mematikan pemeriksaan sertifikat untuk melewati kesalahan protokol, karena itu menyembunyikan ketidakcocokan alih-alih memperbaikinya. Jika perlu melihat apa yang dikirim klien, --dump-http-traffic mencetak pertukarannya, yang biasanya mengidentifikasi penangan yang diharapkan gateway.

Cocokkan protokol dengan apa yang diekspos gateway

Perangkat hanya menjawab protokol yang dikonfigurasi untuk dilayaninya. Layanan khusus Pulse menolak login nc bahkan dengan kredensial yang valid, dan layanan Network Connect lama tidak memiliki titik akhir pulse untuk dijawab. Tanyakan kepada administrator mana yang diaktifkan, dan klien mana yang mereka dukung. Perangkat yang diganti nama, halaman wiki yang basi, dan portal web yang familier semuanya bukti lemah.

Setelah tahu protokolnya, pastikan persyaratan di sekitarnya: autentikasi sertifikat atau token, pemilihan grup auth, dan pemeriksaan kepatuhan titik akhir apa pun. Itu menentukan apakah klien baris perintah dapat menyelesaikan login sama sekali.

Autentikasi dapat menjawab pertanyaan sebelum protokol

Penerapan dapat menuntut sertifikat klien, perjalanan SAML melalui peramban, atau pemeriksa host yang memeriksa mesin sebelum memberi akses. Penangan pulse OpenConnect mendokumentasikan batas kompatibilitas untuk sebagian alur ini, dan penangan nc punya celahnya sendiri. Kata sandi yang berfungsi di peramban membuktikan akun itu valid; itu tidak membuktikan bahwa CLI atau plugin desktop sembarang dapat menyelesaikan urutan yang sama. Saat pemeriksa host terlibat, klien memerlukan skrip pembungkus yang disediakan administrator. Tanpanya, login macet setelah respons pertama dan tampak seperti kegagalan protokol padahal sebenarnya langkah kepatuhan yang hilang.

Pemilihan grup auth adalah titik tersandung umum lainnya, karena gateway dengan beberapa grup mengharapkan klien menyebutkan satu.

Di baris perintah, --authgroup="Employees" menyediakan pilihan itu, dan menghilangkannya dapat membuat sesi mendarat di grup bawaan yang menolak akun. Dengan sertifikat, --certificate menunjuk sertifikat dan kunci klien, dan gateway mungkin masih meminta token sesudahnya. Uji seluruh urutan sekali dengan keluaran rinci sebelum mengotomatiskan apa pun di sekitarnya.

Saat frontend desktop tidak dapat menyatakan pilihan

Frontend grafis membawa kumpulan fiturnya sendiri, dan plugin lama mungkin mendahului protokol yang Anda butuhkan. Integrasi OpenConnect NetworkManager menyimpan pilihan di data koneksinya, jadi nmcli connection modify "Office VPN" vpn.data "protocol=pulse" dapat menyetel apa yang tidak ditampilkan editor. Periksa bahwa versi plugin yang terpasang mendukung kunci itu sebelum menganggap suntingan berlaku.

Jika menu hanya menawarkan PPTP atau L2TP, memilih salah satunya tidak mengubah layanan Pulse menjadi protokol itu. Pasang integrasi yang disetujui alih-alih beralih ke apa pun yang kebetulan dicantumkan menu.

Apa yang dicatat saat login masih gagal

Catat empat hal: protokol yang Anda pilih, versi klien dan plugin, alur autentikasi yang diharapkan, dan kesalahan pertama yang kembali dengan kode status alih-alih waktu habis. Kumpulan itu memisahkan penangan yang salah dari sertifikat yang hilang, grup auth yang ditolak, atau pemeriksaan kepatuhan yang diblokir. Keluaran rinci layak disimpan karena alasan yang sama, karena menunjukkan permintaan yang gagal, bukan hanya gejalanya.

Simpan perintah atau profil yang berfungsi di samping nama gateway begitu berhasil. Kalau tidak, orang berikutnya yang terhubung akan mengulangi tebakan merek versus protokol yang sama.