Juniper немесе Pulse шлюзі: қай OpenConnect протоколын қолдану керек

OpenConnect үшін протокол таңдау — бренд іздеу емес, сәйкестендіру жаттығуы. Кіру бетінде Juniper деп жазған шлюз Network Connect, Pulse немесе екеуін де ұсынуы мүмкін, ал клиенттің әдепкі мәні олардың ешқайсысы емес. Болжау сәтсіз кіруге және одан да жаманы, протокол сәйкессіздігі үшін тіркелгі деректерін кінәлайтын қолдау талқысына әкеледі. Профильге хост атын жазу алдында қызметті растаңыз.

OpenConnect ескі протоколды nc, жаңасын pulse деп атайды және екеуі бір бинарлық файлда тұрады. Таңдаған жалауша кіру алмасуын өзгертеді, сәтті қосылудан кейінгі маршруттауды емес.

Екі протокол атауы бір өнім тарихын бөліседі

Juniper-дің Network Connect және кейінгі Pulse Secure клиенті — бір құрылғылар отбасы уақыт өте ұсынған әртүрлі протоколдар. OpenConnect біріншісі үшін nc өңдеушісін, екіншісі үшін pulse өңдеушісін шығарды. Бұлар жеке код жолдары және жеке сұрау форматтары, сондықтан біріндегі қолдау екіншісі туралы ештеңе айтпайды.

Айырмашылық кіру әңгімесінде бірден көрінеді: соңғы нүктелер, пішін өрістері және клиенттің қабылданбаған екінші факторды қалай хабарлайтыны екі өңдеуші арасында әртүрлі.

Пәрмен жолында таңдау — бір сөздік өзгеріс: Network Connect үшін openconnect --protocol=nc vpn.example.com, немесе Pulse үшін openconnect --protocol=pulse vpn.example.com. Екі әрекет те маршруттар мен DNS-ті қайта конфигурациялай алатын нақты қосылу әрекеттері, сондықтан оларды әдейі орындаңыз. Протокол қатесін айналып өту үшін пәрмен жолына құпия сөз қоюға немесе сертификат тексерулерін өшіруге ешқашан болмайды, өйткені бұл сәйкессіздікті түзетудің орнына жасырады. Клиенттің не жіберетінін көру керек болса, --dump-http-traffic алмасуды басып шығарады, ол әдетте шлюз күтетін өңдеушіні анықтайды.

Протоколды шлюз ұсынатын нәрсемен сәйкестендіріңіз

Құрылғы тек өзіне конфигурацияланған протоколға жауап береді. Тек Pulse қызметі жарамды тіркелгі деректерімен де nc кіруін қабылдамайды, ал ескі Network Connect қызметінде жауап беретін pulse соңғы нүктесі жоқ. Әкімшіден қайсысы қосылғанын және қандай клиентті қолдайтынын сұраңыз. Аты өзгертілген құрылғы, ескірген вики беті және таныс веб-портал — бәрі әлсіз дәлел.

Протоколды білгеннен кейін айналадағы талаптарды растаңыз: сертификат немесе токен арқылы аутентификация, аутентификация тобын таңдау және кез келген соңғы нүкте сәйкестік тексерісі. Бұлар пәрмен жолы клиентінің кіруді мүлдем аяқтай алатынын шешеді.

Аутентификация мәселені протоколдан бұрын шешуі мүмкін

Орналастыру клиент сертификатын, браузер арқылы SAML айналымын немесе рұқсат бермес бұрын машинаны тексеретін хост тексерушісін талап етуі мүмкін. OpenConnect-тің pulse өңдеушісі осы ағындардың кейбірі үшін үйлесімділік шектерін құжаттайды, ал nc өңдеушісінің өз олқылықтары бар. Браузерде жұмыс істейтін құпия сөз тіркелгінің жарамды екенін дәлелдейді; ол кез келген CLI немесе жұмыс үстелі плагинінің сол реттілікті аяқтай алатынын дәлелдемейді. Хост тексерушісі іске қосылғанда, клиентке әкімші беретін қаптама скрипті қажет. Онсыз кіру бірінші жауаптан кейін тоқтайды және протокол ақауы сияқты көрінеді, шын мәнінде бұл сәйкестіктің жетіспейтін қадамы.

Аутентификация тобын таңдау — тағы бір жиі сүрінетін жер, өйткені бірнеше тобы бар шлюз клиенттің біреуін атауын күтеді.

Пәрмен жолында --authgroup="Employees" сол таңдауды береді, ал оны қалдыру сессияны тіркелгіні қабылдамайтын әдепкі топқа түсіруі мүмкін. Сертификаттармен --certificate клиент сертификаты мен кілтін көрсетеді, ал шлюз кейін тағы токен талап етуі мүмкін. Айналасында бірдеңені автоматтандыру алдында бүкіл реттілікті бір рет егжей-тегжейлі шығыспен тексеріңіз.

Жұмыс үстелінің интерфейсі таңдауды білдіре алмағанда

Графикалық интерфейстер өз мүмкіндіктер жиынтығын әкеледі, ал ескі плагин сізге қажет протоколдан бұрын болуы мүмкін. NetworkManager-дің OpenConnect интеграциясы таңдауды қосылым деректерінде сақтайды, сондықтан nmcli connection modify "Office VPN" vpn.data "protocol=pulse" редактор көрсетпейтін нәрсені орната алады. Өзгеріс күшіне енді деп болжамас бұрын орнатылған плагин нұсқасының сол кілтті қолдайтынын тексеріңіз.

Егер мәзір тек PPTP немесе L2TP ұсынса, біреуін таңдау Pulse қызметін сол протоколға айналдырмайды. Мәзір кездейсоқ тізімдеген нәрсеге көшудің орнына бекітілген интеграцияны орнатыңыз.

Кіру әлі де сәтсіз болса, нені жазу керек

Төрт нәрсені жазыңыз: таңдаған протоколыңызды, клиент пен плагин нұсқаларын, күтілген аутентификация ағынын және тайм-аут емес, күй кодымен қайтқан бірінші қатені. Бұл жиынтық дұрыс емес өңдеушіні жетіспейтін сертификаттан, қабылданбаған аутентификация тобынан немесе бұғатталған сәйкестік тексерісінен ажыратады. Егжей-тегжейлі шығыс сол себепті сақтауға тұрарлық, өйткені ол тек симптомды емес, сәтсіз сұрауды көрсетеді.

Сәтті болған кезде жұмыс істейтін пәрменді немесе профильді шлюз атының жанында ұстаңыз. Әйтпесе келесі қосылушы сол брендке қарсы протокол болжамын қайталайды.