Client VPN ritirati: identificate prima il protocollo del gateway

I programmi di installazione di client VPN arrivati a fine vita anni fa funzionano ancora, chiedono ancora un profilo e poi completano un accesso che non lascia mai passare un pacchetto. La macchina è aggiornata e le credenziali sono corrette, eppure il gateway è lo stesso apparato che l’azienda ha comprato dieci anni fa. Sostituire il client è la mossa giusta, ma solo dopo aver capito quale protocollo pubblica quel gateway. I quattro client ritirati di questo angolo non parlano lo stesso.

Perché il nome del marchio non dice il protocollo

Una famiglia di apparati può terminare diversi protocolli di accesso remoto, e il nome commerciale sulla scatola non dice nulla su quale usi il vostro account. L’hardware Cisco ha trasportato insieme IPsec con XAuth e SSL VPN tramite AnyConnect; le scatole SonicWall offrono Global VPN Client su IPsec e NetExtender su SSL VPN; le installazioni Juniper possono esporre Network Connect o il più recente protocollo Pulse. Installare il successore che sembra più moderno è un tirare a indovinare. L’ipotesi sbagliata o non si connette o autentica una sessione che non trasporta traffico.

Il caricamento di una pagina di portale nel browser dimostra che un servizio web risponde, non che un determinato client negozierà con esso. Trattate questi come due fatti distinti.

Chiedete al gateway che cosa parla

Il modo più economico per restringere le opzioni è leggere che cosa restituisce l’endpoint, poi nominare esplicitamente un protocollo quando provate un client. Nessuno dei due passaggi cambia nulla sul server.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Le intestazioni di risposta e il percorso di accesso mostrano se a quell’indirizzo c’è un portale SSL VPN, il che indica AnyConnect, NetExtender o Pulse anziché un client IPsec. openconnect mette la scelta del protocollo sulla riga di comando, così un errore nomina un protocollo e non un prodotto; sostituitelo con --protocol=npulse quando l’installazione è Juniper. Fermatevi al primo prompt che chiede credenziali che non vi sono state rilasciate, perché un tunnel funzionante ha comunque bisogno di un account approvato. Annotate protocollo e percorso nel ticket di modifica per la macchina successiva.

Pesare quattro candidati alla sostituzione

Quattro percorsi coprono quasi ogni caso, e non sono intercambiabili. Un successore del fornitore è la via supportata quando l’organizzazione possiede il gateway e intende licenziarlo. OpenConnect è il client aperto pratico, perché parla AnyConnect, Network Connect e Pulse quando nominate il protocollo invece di lasciarlo indovinare.

strongSwan gestisce il caso IPsec con XAuth per le organizzazioni che consentono client di terze parti, e aggira del tutto il codice IPsec abbandonato di Cisco. Il client Shrew Soft continua a leggere i file di profilo Cisco e funziona su alcune build di Windows, ma la sua ultima versione è del 2013. Trattatelo come soluzione temporanea finché non viene organizzata una via supportata.

Scegliere tra riparazione e sostituzione

Alcuni guasti sono locali: una libreria mancante, un adattatore virtuale obsoleto o un programma di installazione che richiede l’opzione di riparazione del fornitore. Valgono un tentativo finché il client resta supportato, perché costano minuti. Il calcolo cambia quando il binario è fuori supporto e il guasto è arrivato con un aggiornamento del sistema operativo, dato che le regole sulla firma dei driver e sulle estensioni del kernel sono cambiate da quando questi client sono stati scritti. Un client che si connette mentre il contatore del tunnel mostra zero sessioni stabilite di solito è oltre la riparazione, non a una reinstallazione di distanza.

Tenete il vecchio client installato solo il tempo necessario a esportarne il profilo, poi rimuovetelo. Due client VPN che competono per le stesse rotte producono sintomi che non assomigliano a nessuno dei due.

Scrivete l’ordine nel ticket: protocollo e client approvato dal proprietario, un successore supportato se si installa, un client aperto provato su una sola macchina se non accade, e una via di accesso supportata se nessuno dei due funziona. Quella sequenza evita che la persona successiva scarichi un altro binario ritirato.