Juniper же Pulse шлюзу: кайсы OpenConnect протоколун колдонуу керек

OpenConnect үчүн протокол тандоо — бренд издөө эмес, дал келтирүү көнүгүүсү. Кирүү баракчасында Juniper деп жазган шлюз Network Connect, Pulse же экөөнү тең сунушташы мүмкүн, ал эми кардардын демейки мааниси алардын эч бири эмес. Божомолдоо ийгиликсиз кирүүгө жана андан жаманы, протокол дал келбестиги үчүн каттоо маалыматтарын күнөөлөгөн колдоо жибине алып келет. Профилге хост атын жазуудан мурун кызматты ырастаңыз.

OpenConnect эски протоколду nc, жаңысын pulse деп атайт жана экөө тең бир бинардык файлда жашайт. Тандаган желекиңиз кирүү алмашуусун өзгөртөт, ийгиликтүү туташуудан кийинки маршруттоону эмес.

Эки протокол аталышы бир продукт тарыхын бөлүшөт

Juniperдин Network Connect жана кийинки Pulse Secure кардары — бир түзмөк үй-бүлөсү убакыт ичинде сунуштаган ар кандай протоколдор. OpenConnect биринчиси үчүн nc иштетүүчүсүн, экинчиси үчүн pulse иштетүүчүсүн түздү. Булар өзүнчө код жолдору жана өзүнчө суроо форматтары, ошондуктан бириндеги колдоо экинчиси жөнүндө эч нерсе айтпайт.

Айырма кирүү сүйлөшүүсүндө дароо көрүнөт: акыркы чекиттер, форма талаалары жана кардардын четке кагылган экинчи факторду кантип билдиргени эки иштетүүчүнүн ортосунда ар башка.

Буйрук сабында тандоо — бир сөздүк өзгөртүү: Network Connect үчүн openconnect --protocol=nc vpn.example.com, же Pulse үчүн openconnect --protocol=pulse vpn.example.com. Эки аракет тең маршруттарды жана DNSди кайра конфигурациялай алган чыныгы туташуу аракеттери, ошондуктан аларды атайын аткарыңыз. Протокол катасын айланып өтүү үчүн буйрук сабына сырсөз коюуга же сертификат текшерүүлөрүн өчүрүүгө эч качан болбойт, анткени бул дал келбестикти оңдоонун ордуна жашырат. Кардар эмне жиберерин көрүү керек болсо, --dump-http-traffic алмашууну басып чыгарат, ал адатта шлюз күткөн иштетүүчүнү аныктайт.

Протоколду шлюз сунуш кылган нерсеге ылайыктаңыз

Түзмөк өзү конфигурацияланган протоколго гана жооп берет. Бир гана Pulse кызматы жарактуу каттоо маалыматтары менен да nc кирүүсүн четке кагат, ал эми эски Network Connect кызматында жооп берүүчү pulse акыркы чекити жок. Администратордон кайсынысы күйгүзүлгөнүн жана кайсы кардарды колдоорун сураңыз. Аты өзгөртүлгөн түзмөк, эскирген вики баракчасы жана тааныш веб-портал — баары алсыз далил.

Протоколду билгенден кийин айлана-чөйрөдөгү талаптарды ырастаңыз: сертификат же токен аркылуу аутентификация, аутентификация тобун тандоо жана ар кандай акыркы чекиттин шайкештик текшерүүсү. Булар буйрук сабынын кардары кирүүнү такыр аяктай алабы же жокпу аныктайт.

Аутентификация маселени протоколдон мурун чечиши мүмкүн

Орнотуу кардар сертификатын, браузер аркылуу SAML айлануусун же уруксат берүүдөн мурун машинаны текшерүүчү хост текшерүүчүсүн талап кылышы мүмкүн. OpenConnectтин pulse иштетүүчүсү ушул агымдардын кээ бири үчүн шайкештик чектерин документтештирет, ал эми nc иштетүүчүсүнүн өз кемчиликтери бар. Браузерде иштеген сырсөз каттоонун жарактуу экенин далилдейт; ал каалаган CLI же жумуш үстөлү плагини ошол эле ырааттуулукту аяктай аларын далилдебейт. Хост текшерүүчүсү оюнда болгондо, кардарга администратор берген каптоо скрипти керек. Ансыз кирүү биринчи жооптон кийин токтойт жана протокол бузулушуна окшоп көрүнөт, чындыгында бул шайкештиктин жетишпеген кадамы.

Аутентификация тобун тандоо — дагы бир кеңири тараган тоскоол, анткени бир нече тобу бар шлюз кардардын бирөөнү аташын күтөт.

Буйрук сабында --authgroup="Employees" ошол тандоону берет, ал эми аны калтыруу сессияны каттоону четке кагуучу демейки топко түшүрүшү мүмкүн. Сертификаттар менен --certificate кардар сертификатын жана ачкычын көрсөтөт, ал эми шлюз кийин дагы токен талап кылышы мүмкүн. Айланасындагы бир нерсени автоматташтыруудан мурун бүт ырааттуулукту бир жолу кеңири чыгарылыш менен текшериңиз.

Жумуш үстөлүнүн интерфейси тандоону билдире албаганда

Графикалык интерфейстер өз мүмкүнчүлүктөр жыйындысын алып келет, ал эми эски плагин сизге керектүү протоколдон мурун болушу мүмкүн. NetworkManagerдин OpenConnect интеграциясы тандоону туташуу маалыматтарында сактайт, ошондуктан nmcli connection modify "Office VPN" vpn.data "protocol=pulse" редактор көрсөтпөгөн нерсени коё алат. Өзгөртүү күчүнө кирди деп божомолдоодон мурун орнотулган плагин версиясы ошол ачкычты колдойбу же жокпу текшериңиз.

Эгер меню тек PPTP же L2TP сунуштаса, бирөөнү тандоо Pulse кызматын ошол протоколго айландырбайт. Меню кокустан тизмелеген нерсеге өтүүнүн ордуна бекитилген интеграцияны орнотуңуз.

Кирүү дагы эле ийгиликсиз болсо, эмнени жазуу керек

Төрт нерсени жазыңыз: тандаган протоколуңузду, кардар жана плагин версияларын, күтүлгөн аутентификация агымын жана тайм-аут эмес, статус коду менен кайткан биринчи катаны. Бул жыйынды туура эмес иштетүүчүнү жетишпеген сертификаттан, четке кагылган аутентификация тобунан же бөгөттөлгөн шайкештик текшерүүсүнөн ажыратат. Кеңири чыгарылыш ушундай эле себептен сактоого татыктуу, анткени ал симптомду гана эмес, ийгиликсиз суроону көрсөтөт.

Ийгиликтүү болгондо иштеген буйрукту же профилди шлюз атынын жанында кармаңыз. Болбосо кийинки туташкан адам ошол эле брендге каршы протокол божомолун кайталайт.