Juniper-ის ან Pulse-ის კარიბჭე: რომელი OpenConnect პროტოკოლი გამოვიყენოთ

OpenConnect-ისთვის პროტოკოლის არჩევა შესაბამისობის სავარჯიშოა და არა ბრენდის ძიება. კარიბჭე, რომელიც შესვლის გვერდზე Juniper-ს ამბობს, შეიძლება გვთავაზობდეს Network Connect-ს, Pulse-ს ან ორივეს, ხოლო კლიენტის ნაგულისხმევი არც ერთი მათგანია. გამოცნობა ფასიანია წარუმატებელი შესვლით და, უარესი, მხარდაჭერის თემით, რომელიც პროტოკოლის შეუსაბამობაში საიდენტიფიკაციო მონაცემებს ადანაშაულებს. დაადასტურეთ სერვისი, სანამ პროფილში ჰოსტის სახელს ჩაწერთ.

OpenConnect ძველ პროტოკოლს nc-ს უწოდებს, ახალს კი pulse-ს, და ორივე ერთ ბინარულ ფაილში ცხოვრობს. არჩეული დროშა ცვლის შესვლის გაცვლას და არა წარმატებული კავშირის შემდგომ მარშრუტიზაციას.

ორი პროტოკოლის სახელი ერთ პროდუქტის ისტორიას იზიარებს

Juniper-ის Network Connect და მოგვიანებით გამოსული Pulse Secure კლიენტი სხვადასხვა პროტოკოლია, რომლებსაც ერთი მოწყობილობების ოჯახი დროთა განმავლობაში სთავაზობდა. OpenConnect-მა nc-დამმუშავებელი შექმნა პირველისთვის და pulse-დამმუშავებელი მეორისთვის. ესენი ცალკე კოდის გზებია ცალკე მოთხოვნის ფორმატებით, ამიტომ ერთში მხარდაჭერა მეორეზე არაფერს ამბობს.

განსხვავება მაშინვე ჩანს შესვლის საუბარში: საბოლოო წერტილები, ფორმის ველები და ის, თუ როგორ აცნობს კლიენტი უარყოფილ მეორე ფაქტორს, ორ დამმუშავებელს შორის განსხვავდება.

ბრძანების სტრიქონზე არჩევა ერთი სიტყვის ცვლილებაა: openconnect --protocol=nc vpn.example.com Network Connect-ისთვის, ან openconnect --protocol=pulse vpn.example.com Pulse-ისთვის. ორივე მცდელობა რეალური კავშირის მცდელობაა, რომელსაც შეუძლია მარშრუტებისა და DNS-ის ხელახლა კონფიგურაცია, ამიტომ შეგნებულად გაუშვით. არასოდეს მოათავსოთ პაროლი ბრძანების სტრიქონზე და არ გამორთოთ სერტიფიკატების შემოწმება პროტოკოლის შეცდომის გვერდის ასავლელად, რადგან ეს მალავს შეუსაბამობას და არ ასწორებს მას. თუ გჭირდებათ ნახოთ, რას აგზავნის კლიენტი, --dump-http-traffic ბეჭდავს გაცვლას, რაც ჩვეულებრივ იდენტიფიცირებს დამმუშავებელს, რომელსაც კარიბჭე ელოდება.

შეუსაბამეთ პროტოკოლი იმას, რასაც კარიბჭე გვთავაზობს

მოწყობილობა მხოლოდ იმ პროტოკოლს პასუხობს, რომელზეც კონფიგურირებულია. მხოლოდ Pulse-ის სერვისი უარყოფს nc-შესვლას თუნდაც ვალიდური მონაცემებით, ხოლო ძველ Network Connect-ის სერვისს პასუხის გასაცემად pulse-ის საბოლოო წერტილი არ აქვს. ჰკითხეთ ადმინისტრატორს, რომელია ჩართული და რომელ კლიენტს ემხრობიან. გადარქმეული მოწყობილობა, მოძველებული ვიკი-გვერდი და ნაცნობი ვებ-პორტალი ყველა სუსტი მტკიცებულებაა.

როცა პროტოკოლი იცით, დაადასტურეთ გარემო მოთხოვნები: სერტიფიკატით ან ტოკენით აუთენტიფიკაცია, აუთენტიფიკაციის ჯგუფის არჩევა და ნებისმიერი საბოლოო წერტილის შესაბამისობის შემოწმება. ეს გადაწყვეტს, შეძლებს თუ არა ბრძანების სტრიქონის კლიენტი შესვლის დასრულებას საერთოდ.

აუთენტიფიკაციამ შეიძლება კითხვა პროტოკოლზე ადრე გადაწყვიტოს

განლაგებამ შეიძლება მოითხოვოს კლიენტის სერტიფიკატი, SAML-ის მოგზაურობა ბრაუზერის გავლით, ან ჰოსტის შემმოწმებელი, რომელიც მანქანას წვდომის მიცემამდე ამოწმებს. OpenConnect-ის pulse-დამმუშავებელი ამ ნაკადების ნაწილისთვის თავსებადობის ზღვრებს აფიქსირებს, ხოლო nc-დამმუშავებელს საკუთარი ხარვეზები აქვს. პაროლი, რომელიც ბრაუზერში მუშაობს, ადასტურებს, რომ ანგარიში ვალიდურია; ის არ ადასტურებს, რომ თვითნებურ CLI-ს ან დესკტოპის დანამატს შეუძლია იგივე მიმდევრობის დასრულება. როცა ჰოსტის შემმოწმებელი თამაშშია, კლიენტს ადმინისტრატორის მიერ მოწოდებული შემოხვევის სკრიპტი სჭირდება. მის გარეშე შესვლა პირველი პასუხის შემდეგ ჩერდება და პროტოკოლის ჩავარდნას ჰგავს, მაშინ როცა რეალურად შესაბამისობის ნაკლული ნაბიჯია.

აუთენტიფიკაციის ჯგუფის არჩევა მეორე გავრცელებული დაბრკოლებაა, რადგან რამდენიმე ჯგუფის მქონე კარიბჭე ელის, რომ კლიენტი ერთს დაასახელებს.

ბრძანების სტრიქონზე --authgroup="Employees" გვაძლევს ამ არჩევანს და მისი გამოტოვება სესიას ნაგულისხმევ ჯგუფში ჩააგდებს, რომელიც ანგარიშს უარყოფს. სერტიფიკატებით --certificate კლიენტის სერტიფიკატსა და გასაღებზე მიუთითებს, და კარიბჭემ შეიძლება შემდეგ მაინც მოითხოვოს ტოკენი. მის გარშემო რაიმეს ავტომატიზაციამდე მთელი მიმდევრობა ერთხელ დეტალური გამოტანით გამოსცადეთ.

როცა დესკტოპის ინტერფეისი არჩევანს ვერ გამოხატავს

გრაფიკული ინტერფეისები საკუთარ ფუნქციათა ნაკრებებს მოაქვთ, და ძველი დანამატი შეიძლება თქვენთვის საჭირო პროტოკოლზე ადრეული იყოს. NetworkManager-ის OpenConnect ინტეგრაცია არჩევანს თავის კავშირის მონაცემებში ინახავს, ამიტომ nmcli connection modify "Office VPN" vpn.data "protocol=pulse"-ს შეუძლია დააყენოს ის, რასაც რედაქტორი არ აჩვენებს. სანამ ჩათვლით, რომ ცვლილება ძალაში შევიდა, შეამოწმეთ, რომ დაყენებული დანამატის ვერსია მხარს უჭერს ამ გასაღებს.

თუ მენიუ მხოლოდ PPTP-ს ან L2TP-ს გვთავაზობს, ერთის არჩევა Pulse-ის სერვისს ამ პროტოკოლად არ აქცევს. დააინსტალირეთ დამტკიცებული ინტეგრაცია იმაზე გადასვლის ნაცვლად, რასაც მენიუ შემთხვევით ჩამოთვლის.

რა უნდა ჩავიწეროთ, როცა შესვლა მაინც ვერ ხერხდება

ჩაწერეთ ოთხი რამ: თქვენ მიერ არჩეული პროტოკოლი, კლიენტისა და დანამატის ვერსიები, მოსალოდნელი აუთენტიფიკაციის ნაკადი და პირველი შეცდომა, რომელიც სტატუსის კოდით დაბრუნდა და არა დროის ამოწურვით. ეს ნაკრები გამოყოფს არასწორ დამმუშავებელს ნაკლული სერტიფიკატისგან, უარყოფილი აუთენტიფიკაციის ჯგუფისგან ან დაბლოკილი შესაბამისობის შემოწმებისგან. დეტალური გამოტანა იმავე მიზეზით ღირს შენახვად, რადგან ის ჩავარდნილ მოთხოვნას აჩვენებს და არა მხოლოდ სიმპტომს.

შეინახეთ მომუშავე ბრძანება ან პროფილი კარიბჭის სახელის გვერდით, როცა წარმატებით დასრულდება. წინააღმდეგ შემთხვევაში შემდეგი დამკავშირებული იმავე ბრენდი-პროტოკოლის გამოცნობას გაიმეორებს.