Juniper oder Pulse Gateway: wéi en OpenConnect-Protokoll benotzen

E Protokoll fir OpenConnect auswielen ass eng Upassungsübung, keng Markesich. E Gateway, deen op der Login-Säit Juniper seet, kann Network Connect, Pulse oder béides ubidden, an de Standard vum Client ass keent vun deenen. Rode kascht e feelgeschloenen Login a, nach méi schlëmm, en Support-Thread, deen d'Zougangsdaten fir eng Protokoll-Onstëmmegkeet verantwortlech mécht. Bestätegt de Service, ier Dir en Hostnumm an e Profil tippt.

OpenConnect nennt dat méi al Protokoll nc an dat méi neit pulse, a béid liewen an der selwechter Binärdatei. De Flag, deen Dir wielt, ännert den Login-Austausch, net d'Routage no enger erfollegräicher Verbindung.

Déi zwee Protokollnimm deelen eng Produkthistoire

Dem Juniper säin Network Connect an den spéideren Pulse Secure-Client sinn ënnerschiddlech Protokollen, déi eng Apparatefamill iwwer d'Zäit ugebueden huet. OpenConnect huet en nc-Handler fir den éischten an en pulse-Handler fir den zweete kritt. Et si getrennte Codeweeër mat getrennten Ufroformater, dofir seet d'Ënnerstëtzung an engem näischt iwwer deen aneren.

Den Ënnerscheed weist sech direkt am Login-Gespréich: Endpunkten, Formulairefelder an d'Aart, wéi de Client en ofgeleenten zweete Faktor mëttelt, variéieren tëschent den zwee Handler.

D'Wiel op der Kommandozeil ass eng Ännerung vun engem Wuert: openconnect --protocol=nc vpn.example.com fir Network Connect oder openconnect --protocol=pulse vpn.example.com fir Pulse. Béid Versich si richteg Verbindungsversich, déi Routen an DNS kënnen nei konfiguréieren, dofir féiert se bewosst aus. Setzt ni e Passwuert op d'Kommandozeil an deaktivéiert keng Zertifikatspréifungen, fir e Protokollfehler ze ëmgoen, well dat d'Onstëmmegkeet verstoppt amplaz se ze behiewen. Wann Dir musst gesinn, wat de Client schéckt, dréckt --dump-http-traffic den Austausch, wat normalerweis den Handler identifizéiert, deen de Gateway erwaart.

Passt de Protokoll un dat un, wat de Gateway ubitt

Den Apparat äntwert nëmmen op de Protokoll, fir deen en konfiguréiert ass. E Service nëmme mat Pulse refuséiert en nc-Login och mat valabelen Zougangsdaten, an en ale Network Connect-Service huet keen pulse-Endpunkt fir ze äntweren. Frot den Administrateur, wéien aktivéiert ass a wéi e Client s'ënnerstëtzen. En ëmbenannten Apparat, eng veraltete Wiki-Säit an e bekannten Webportal si all schwaach Beweiser.

Wann Dir de Protokoll kennt, bestätegt d'Ëmfeld-Ufuerderungen: Zertifikats- oder Token-Authentifikatioun, eng Auth-Gruppen-Auswiel an all Endpunkt-Konformitéitspréifung. Déi entscheeden, ob e Kommandozeil-Client de Login iwwerhaapt fäerdeg kritt.

D'Authentifikatioun kann d'Fro virum Protokoll klären

Eng Deployment kann e Client-Zertifikat, eng SAML-Ronn duerch e Browser oder en Host-Checker verlaangen, deen d'Maschinn iwwerpréift, ier en Zougang gëtt. Den pulse-Handler vun OpenConnect dokumentéiert Kompatibilitéitsgrenzen fir e puer vun dëse Flëss, an den nc-Handler huet seng eege Lücken. E Passwuert, dat am Browser funktionéiert, beweist, datt de Kont valabel ass; et beweist net, datt eng arbiträr CLI oder en Desktop-Plugin déi selwecht Sequenz fäerdeg kritt. Wann en Host-Checker am Spill ass, brauch de Client e Wrapper-Skript vum Administrateur. Ouni dat stockt de Login no der éischter Äntwert a gesäit wéi e Protokollfehler aus, wärend et tatsächlech en dissende Konformitéitsschrëtt ass.

D'Auswiel vun der Auth-Grupp ass deen anere gewéinleche Stëppelstee, well e Gateway mat méi Gruppen erwaart, datt de Client eng nennt.

Op der Kommandozeil liwwert --authgroup="Employees" déi Wiel, an hir Weglassung kann d'Sessioun an en Standardgrupp bréngen, deen de Kont refuséiert. Mat Zertifikaten weist --certificate op d'Client-Zertifikat an de Schlëssel, an de Gateway kann duerno nach en Token verlaangen. Test d'ganz Sequenz eemol mat ausféierlecher Ausgab, ier Dir eppes ronderëm automatiséiert.

Wann den Desktop-Frontend d'Wiel net ausdrécke kann

Grafesch Frontende bréngen hir eege Funktiounssätz mat, an en eelere Plugin kann méi al sinn wéi de Protokoll, deen Dir braucht. D'OpenConnect-Integratioun vum NetworkManager späichert d'Wiel an hire Verbindungsdaten, dofir kann nmcli connection modify "Office VPN" vpn.data "protocol=pulse" setzen, wat den Editor net weist. Préift, ob déi installéiert Plugin-Versioun de Schlëssel ënnerstëtzt, ier Dir unhëlt, datt d'Ännerung wierksam gouf.

Wann e Menü nëmmen PPTP oder L2TP ubitt, mécht d'Wiel vun engem keen Pulse-Service zu deem Protokoll. Installéiert déi genehmegt Integratioun, amplaz op dat ze wiesselen, wat d'Menü zufälleg oplëscht.

Wat ze notéieren, wann de Login nach ëmmer feelgeet

Notéiert véier Saachen: de Protokoll, deen Dir gewielt hutt, d'Versioune vu Client a Plugin, de Floss vun der Authentifikatioun, deen erwaart gouf, an den éischte Fehler, dee mat engem Statuscode zréckkënnt an net mat engem Timeout. Dee Set trennt en falschen Handler vun engem dissende Zertifikat, enger refuséierter Auth-Grupp oder enger blockéierter Konformitéitspréifung. Ausféierlech Ausgab ass aus demselben Grond derwäert ze halen, well se d'Ufro weist, déi feelgeet, an net nëmmen de Symptom.

Halt de funktionéierende Kommando oder Profil nieft dem Gateway-Numm, wann et klappt. Soss widderhëlt déi nächst Persoun, déi sech verbënnt, déiselwecht Mark-geint-Protokoll-Vermutung.