Klien VPN yang sudah dipensiunkan: kenali protokol gateway lebih dulu

Penginstal klien VPN yang sudah habis masa pakainya bertahun-tahun lalu masih berjalan, masih meminta profil, lalu menyelesaikan login yang tidak pernah melewatkan satu paket pun. Mesinnya mutakhir dan kredensialnya benar, namun gateway-nya adalah perangkat yang sama yang dibeli perusahaan satu dekade lalu. Mengganti klien adalah langkah yang tepat, tetapi hanya setelah Anda tahu protokol mana yang diterbitkan gateway itu. Empat klien pensiunan di sudut ini tidak berbicara protokol yang sama.

Mengapa nama merek tidak memberi tahu protokolnya

Satu keluarga perangkat dapat menerminasi beberapa protokol akses jarak jauh, dan nama pemasaran di kotaknya tidak mengatakan apa pun tentang mana yang dipakai akun Anda. Perangkat Cisco pernah mengangkut IPsec dengan XAuth dan SSL VPN melalui AnyConnect pada saat yang sama; kotak SonicWall menawarkan Global VPN Client di atas IPsec dan NetExtender di atas SSL VPN; penerapan Juniper dapat mengekspos Network Connect atau protokol Pulse yang lebih baru. Memasang penerus yang tampak paling modern adalah menebak. Tebakan yang salah entah gagal terhubung atau mengautentikasi ke sesi yang tidak membawa lalu lintas.

Halaman portal yang dimuat di peramban membuktikan bahwa layanan web menjawab, bukan bahwa klien tertentu akan bernegosiasi dengannya. Perlakukan keduanya sebagai dua fakta terpisah.

Tanyakan kepada gateway apa yang ia ucapkan

Cara termurah untuk mempersempit pilihan adalah membaca apa yang dikembalikan endpoint, lalu menyebut protokol secara eksplisit saat mencoba klien. Tak satu pun dari kedua langkah itu mengubah apa pun di server.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Header respons dan jalur login menunjukkan apakah ada portal SSL VPN di alamat itu, yang mengarah ke AnyConnect, NetExtender, atau Pulse alih-alih klien IPsec. openconnect menaruh pilihan protokol di baris perintah, sehingga kegagalan menyebut protokol, bukan produk; ganti dengan --protocol=npulse saat penerapannya Juniper. Berhenti pada prompt pertama yang meminta kredensial yang tidak diberikan kepada Anda, karena terowongan yang berfungsi tetap memerlukan akun yang disetujui. Catat protokol dan jalurnya di tiket perubahan untuk mesin berikutnya.

Timbang empat kandidat pengganti

Empat jalur mencakup hampir semua kasus, dan semuanya tidak dapat dipertukarkan. Penerus dari vendor adalah jalur yang didukung bila organisasi memiliki gateway dan akan melisensinya. OpenConnect adalah klien terbuka yang praktis, karena ia berbicara AnyConnect, Network Connect, dan Pulse saat Anda menyebut protokolnya alih-alih membiarkannya menebak.

strongSwan menangani kasus IPsec dengan XAuth bagi organisasi yang mengizinkan klien pihak ketiga, dan menghindari kode IPsec Cisco yang ditinggalkan sepenuhnya. Klien Shrew Soft terus membaca berkas profil Cisco dan berjalan di sebagian build Windows, tetapi rilis terakhirnya adalah 2013. Perlakukan sebagai solusi sementara selagi jalur yang didukung diatur.

Putuskan antara perbaikan dan penggantian

Sebagian kegagalan bersifat lokal: pustaka yang hilang, adaptor virtual yang usang, atau penginstal yang memerlukan opsi perbaikan dari vendor. Itu layak dicoba sekali selama klien masih didukung, karena hanya memakan beberapa menit. Perhitungannya berubah ketika biner sudah di luar dukungan dan kerusakannya datang bersama peningkatan sistem operasi, sebab aturan penandatanganan driver dan ekstensi kernel telah berubah sejak klien ini ditulis. Klien yang terhubung sementara penghitung terowongan menunjukkan nol sesi terbentuk biasanya sudah melewati perbaikan, bukan tinggal satu pemasangan ulang.

Biarkan klien lama terpasang hanya cukup lama untuk mengekspor profilnya, lalu hapus. Dua klien VPN yang bersaing memperebutkan rute yang sama menghasilkan gejala yang tidak menyerupai keduanya.

Tulis urutannya di tiket: protokol dan klien yang disetujui dari pemilik, penerus yang didukung bila terpasang, satu klien terbuka yang diuji di satu mesin bila tidak, dan jalur akses yang didukung bila keduanya tidak berhasil. Urutan itu mencegah orang berikutnya mengunduh biner pensiunan lain.