Juniper 또는 Pulse 게이트웨이: 어떤 OpenConnect 프로토콜을 사용할까

OpenConnect의 프로토콜 선택은 브랜드를 찾는 일이 아니라 짝을 맞추는 작업입니다. 로그인 페이지에 Juniper라고 적힌 게이트웨이가 Network Connect, Pulse 또는 둘 다를 제공할 수 있고, 클라이언트의 기본값은 어느 쪽도 아닙니다. 추측하면 로그인이 실패하고, 더 나쁘게는 프로토콜 불일치를 자격 증명 탓으로 돌리는 지원 스레드가 생깁니다. 프로필에 호스트 이름을 입력하기 전에 서비스를 확인하십시오.

OpenConnect는 오래된 프로토콜을 nc, 새로운 프로토콜을 pulse라고 부르며 둘 다 같은 바이너리에 있습니다. 선택한 플래그는 로그인 교환을 바꾸고, 성공한 연결 이후의 라우팅은 바꾸지 않습니다.

두 프로토콜 이름은 하나의 제품 역사를 공유합니다

Juniper의 Network Connect와 이후의 Pulse Secure 클라이언트는 한 장비 제품군이 시간에 따라 제공한 서로 다른 프로토콜입니다. OpenConnect는 전자를 위한 nc 핸들러와 후자를 위한 pulse 핸들러를 갖추었습니다. 별도의 코드 경로와 별도의 요청 형식이므로 한쪽의 지원이 다른 쪽에 대해 알려주는 것은 없습니다.

차이는 로그인 대화에서 즉시 드러납니다: 엔드포인트, 양식 필드, 거부된 두 번째 요소를 클라이언트가 보고하는 방식이 두 핸들러에서 다릅니다.

명령줄에서 고르는 것은 한 단어의 변경입니다: Network Connect라면 openconnect --protocol=nc vpn.example.com, Pulse라면 openconnect --protocol=pulse vpn.example.com. 두 시도 모두 실제 연결 시도이며 경로와 DNS를 다시 구성할 수 있으므로 의도적으로 실행하십시오. 프로토콜 오류를 피하려고 명령줄에 비밀번호를 두거나 인증서 검사를 끄는 것은 불일치를 고치는 대신 숨기게 되므로 하지 마십시오. 클라이언트가 무엇을 보내는지 봐야 한다면 --dump-http-traffic가 교환을 출력하며, 보통 게이트웨이가 기대하는 핸들러를 식별합니다.

게이트웨이가 제공하는 것에 프로토콜을 맞추십시오

장비는 구성된 프로토콜에만 응답합니다. Pulse 전용 서비스는 유효한 자격 증명으로도 nc 로그인을 거부하고, 오래된 Network Connect 서비스에는 응답할 pulse 엔드포인트가 없습니다. 어떤 프로토콜이 활성화되어 있고 어떤 클라이언트를 지원하는지 관리자에게 물으십시오. 이름이 바뀐 장비, 오래된 위키 페이지, 익숙한 웹 포털은 모두 약한 증거입니다.

프로토콜을 알았다면 주변 요구 사항을 확인하십시오: 인증서 또는 토큰 인증, 인증 그룹 선택, 엔드포인트 준수 검사입니다. 이것이 명령줄 클라이언트가 로그인을 완료할 수 있는지 결정합니다.

인증이 프로토콜보다 먼저 문제를 해결할 수 있습니다

배포 환경은 클라이언트 인증서, 브라우저를 통한 SAML 왕복, 또는 접근을 허용하기 전에 머신을 검사하는 호스트 검사기를 요구할 수 있습니다. OpenConnect의 pulse 핸들러는 이런 흐름 일부에 대한 호환성 한계를 문서화하며, nc 핸들러에도 나름의 공백이 있습니다. 브라우저에서 통하는 비밀번호는 계정이 유효함을 증명하지만, 임의의 CLI나 데스크톱 플러그인이 같은 절차를 완료할 수 있음을 증명하지는 않습니다. 호스트 검사기가 개입하면 클라이언트에는 관리자가 제공하는 래퍼 스크립트가 필요합니다. 그것이 없으면 로그인이 첫 응답 뒤에 멈추고 프로토콜 실패처럼 보이지만 실제로는 준수 단계가 빠진 것입니다.

인증 그룹 선택도 흔한 걸림돌입니다: 여러 그룹이 있는 게이트웨이는 클라이언트가 하나를 지정하기를 기대합니다.

명령줄에서 --authgroup="Employees"가 그 선택을 제공하며, 이를 빼면 세션이 계정을 거부하는 기본 그룹에 들어갈 수 있습니다. 인증서가 있으면 --certificate가 클라이언트 인증서와 키를 가리키고, 게이트웨이는 이후에도 토큰을 요구할 수 있습니다. 주변을 자동화하기 전에 자세한 출력으로 전체 절차를 한 번 시험하십시오.

데스크톱 프런트엔드가 선택을 표현할 수 없을 때

그래픽 프런트엔드는 자체 기능 집합을 가지며, 오래된 플러그인은 필요한 프로토콜보다 앞선 것일 수 있습니다. NetworkManager의 OpenConnect 통합은 선택을 연결 데이터에 저장하므로 nmcli connection modify "Office VPN" vpn.data "protocol=pulse"로 편집기가 표시하지 않는 값을 설정할 수 있습니다. 편집이 적용되었다고 가정하기 전에 설치된 플러그인 버전이 그 키를 지원하는지 확인하십시오.

메뉴가 PPTP나 L2TP만 제공한다면 하나를 고른다고 Pulse 서비스가 그 프로토콜로 바뀌지 않습니다. 메뉴가 우연히 나열하는 것으로 전환하는 대신 승인된 통합을 설치하십시오.

로그인이 여전히 실패할 때 기록할 것

네 가지를 기록하십시오: 선택한 프로토콜, 클라이언트와 플러그인 버전, 예상한 인증 흐름, 시간 초과가 아니라 상태 코드로 돌아온 첫 오류입니다. 이 조합은 잘못된 핸들러를 누락된 인증서, 거부된 인증 그룹, 차단된 준수 검사와 구분합니다. 자세한 출력도 증상만이 아니라 실패한 요청을 보여준다는 같은 이유로 보관할 가치가 있습니다.

성공하면 작동하는 명령이나 프로필을 게이트웨이 이름 옆에 두십시오. 그렇지 않으면 다음에 연결하는 사람이 같은 브랜드 대 프로토콜 추측을 반복합니다.