Juniper ar Pulse tarpinė: kurį OpenConnect protokolą naudoti

Protokolo pasirinkimas OpenConnect yra poravimo pratimas, o ne prekės ženklo paieška. Tarpinė, kuri prisijungimo puslapyje rašo Juniper, gali siūlyti Network Connect, Pulse arba abu, o kliento numatytoji reikšmė nėra nė vienas jų. Spėliojimas kainuoja nepavykusį prisijungimą ir, dar blogiau, palaikymo giją, kuri kaltina prisijungimo duomenis protokolo nesuderinamumu. Patvirtinkite paslaugą prieš įvesdami pagrindinio kompiuterio vardą į profilį.

OpenConnect senesnį protokolą vadina nc, o naujesnį pulse, ir abu gyvena tame pačiame dvejetainiame faile. Pasirinkta žymė keičia prisijungimo mainus, o ne maršrutizavimą po sėkmingo prisijungimo.

Du protokolų pavadinimai dalijasi viena produkto istorija

Juniper Network Connect ir vėlesnis Pulse Secure klientas yra skirtingi protokolai, kuriuos viena įrenginių šeima laikui bėgant siūlė. OpenConnect sukūrė nc apdorotuvą pirmajam ir pulse apdorotuvą antrajam. Tai atskiri kodo keliai su atskirais užklausų formatais, todėl palaikymas viename nieko nepasako apie kitą.

Skirtumas iškart matomas prisijungimo pokalbyje: galiniai taškai, formos laukai ir tai, kaip klientas praneša apie atmestą antrąjį veiksnį, skiriasi tarp dviejų apdorotuvų.

Pasirinkimas komandinėje eilutėje yra vieno žodžio pakeitimas: openconnect --protocol=nc vpn.example.com Network Connect arba openconnect --protocol=pulse vpn.example.com Pulse. Abu bandymai yra tikri prisijungimo bandymai, galintys iš naujo sukonfigūruoti maršrutus ir DNS, todėl vykdykite juos sąmoningai. Niekada nedėkite slaptažodžio į komandinę eilutę ir neišjunkite sertifikatų patikrų, kad apeitumėte protokolo klaidą, nes tai paslepia nesuderinamumą, o ne jį ištaiso. Jei reikia pamatyti, ką klientas siunčia, --dump-http-traffic išspausdina mainus, kurie paprastai nurodo apdorotuvą, kurio tikisi tarpinė.

Suderinkite protokolą su tuo, ką teikia tarpinė

Įrenginys atsako tik į protokolą, kuriam yra sukonfigūruotas. Tik Pulse paslauga atmeta nc prisijungimą net su galiojančiais prisijungimo duomenimis, o sena Network Connect paslauga neturi pulse galinio taško, kuris atsakytų. Paklauskite administratoriaus, kuris įjungtas ir kurį klientą jie palaiko. Pervadintas įrenginys, pasenęs wiki puslapis ir pažįstamas žiniatinklio portalas yra silpni įrodymai.

Kai žinote protokolą, patvirtinkite aplinkinius reikalavimus: sertifikato arba žetono autentifikavimą, autentifikavimo grupės pasirinkimą ir bet kokią galinio taško atitikties patikrą. Jos nusprendžia, ar komandinės eilutės klientas apskritai gali užbaigti prisijungimą.

Autentifikavimas gali išspręsti klausimą prieš protokolą

Diegimas gali reikalauti kliento sertifikato, SAML kelionės per naršyklę arba pagrindinio kompiuterio tikrintuvo, kuris patikrina mašiną prieš suteikiant prieigą. OpenConnect pulse apdorotuvas dokumentuoja suderinamumo ribas kai kuriems iš šių srautų, o nc apdorotuvas turi savų spragų. Slaptažodis, veikiantis naršyklėje, įrodo, kad paskyra galioja; jis neįrodo, kad savavališkas CLI ar darbalaukio papildinys gali užbaigti tą pačią seką. Kai dalyvauja pagrindinio kompiuterio tikrintuvas, klientui reikia administratoriaus pateikto apvalkalo scenarijaus. Be jo prisijungimas sustoja po pirmojo atsakymo ir atrodo kaip protokolo gedimas, nors iš tikrųjų trūksta atitikties žingsnio.

Autentifikavimo grupės pasirinkimas yra kita dažna kliūtis, nes tarpinė su keliomis grupėmis tikisi, kad klientas įvardys vieną.

Komandinėje eilutėje --authgroup="Employees" pateikia tą pasirinkimą, o jo praleidimas gali numesti sesiją į numatytąją grupę, kuri atmeta paskyrą. Su sertifikatais --certificate nurodo kliento sertifikatą ir raktą, o tarpinė po to vis tiek gali reikalauti žetono. Išbandykite visą seką vieną kartą su išsamiu išvestimi prieš automatizuodami ką nors aplink ją.

Kai darbalaukio sąsaja negali išreikšti pasirinkimo

Grafinės sąsajos turi savo funkcijų rinkinius, o senesnis papildinys gali būti už jums reikalingą protokolą ankstesnis. NetworkManager OpenConnect integracija saugo pasirinkimą savo ryšio duomenyse, todėl nmcli connection modify "Office VPN" vpn.data "protocol=pulse" gali nustatyti tai, ko redaktorius nerodo. Patikrinkite, ar įdiegta papildinio versija palaiko tą raktą, prieš manydami, kad pakeitimas įsigaliojo.

Jei meniu siūlo tik PPTP arba L2TP, vieno pasirinkimas nepaverčia Pulse paslaugos tuo protokolu. Įdiekite patvirtintą integraciją, o ne pereikite prie to, ką meniu atsitiktinai išvardija.

Ką užrašyti, kai prisijungimas vis tiek nepavyksta

Užrašykite keturis dalykus: pasirinktą protokolą, kliento ir papildinio versijas, lauktą autentifikavimo srautą ir pirmąją klaidą, kuri grįžo su būsenos kodu, o ne su laiko limitu. Šis rinkinys atskiria neteisingą apdorotuvą nuo trūkstamo sertifikato, atmestos autentifikavimo grupės ar užblokuotos atitikties patikros. Išsami išvestis verta būti saugoma dėl tos pačios priežasties, nes ji rodo nepavykusią užklausą, o ne tik simptomą.

Laikykite veikiančią komandą arba profilį šalia tarpinės pavadinimo, kai ji pavyksta. Priešingu atveju kitas besijungiantis asmuo pakartos tą patį prekės ženklo prieš protokolą spėjimą.