Juniper vai Pulse vārteja: kuru OpenConnect protokolu lietot

Protokola izvēle OpenConnect ir saskaņošanas vingrinājums, nevis zīmola meklēšana. Vārteja, kas pieteikšanās lapā saka Juniper, var piedāvāt Network Connect, Pulse vai abus, un klienta noklusējums nav neviens no tiem. Minēšana maksā neizdevušos pieteikšanos un, vēl ļaunāk, atbalsta pavedienu, kas vaino pieteikšanās datus protokola nesaskaņā. Apstipriniet pakalpojumu, pirms ievadāt resursdatora nosaukumu profilā.

OpenConnect vecāko protokolu sauc nc, bet jaunāko pulse, un abi dzīvo vienā binārajā failā. Izvēlētais karodziņš maina pieteikšanās apmaiņu, nevis maršrutēšanu pēc veiksmīgas savienošanas.

Abi protokolu nosaukumi dala vienu produkta vēsturi

Juniper Network Connect un vēlākais Pulse Secure klients ir dažādi protokoli, ko viena ierīču saime laika gaitā piedāvāja. OpenConnect izveidoja nc apstrādātāju pirmajam un pulse apstrādātāju otrajam. Tie ir atsevišķi koda ceļi ar atsevišķiem pieprasījuma formātiem, tāpēc atbalsts vienā neko nepasaka par otru.

Atšķirība uzreiz redzama pieteikšanās sarunā: galapunkti, veidlapas lauki un tas, kā klients ziņo par noraidīto otro faktoru, atšķiras starp abiem apstrādātājiem.

Izvēle komandrindā ir viena vārda maiņa: openconnect --protocol=nc vpn.example.com Network Connect vai openconnect --protocol=pulse vpn.example.com Pulse. Abi mēģinājumi ir īsti savienošanās mēģinājumi, kas var pārkonfigurēt maršrutus un DNS, tāpēc izpildiet tos apzināti. Nekad neievietojiet paroli komandrindā un neizslēdziet sertifikātu pārbaudes, lai apietu protokola kļūdu, jo tas slēpj nesaskaņu, nevis to labo. Ja jums jāredz, ko klients sūta, --dump-http-traffic izdrukā apmaiņu, kas parasti identificē apstrādātāju, kuru vārteja gaida.

Saskaņojiet protokolu ar to, ko vārteja piedāvā

Ierīce atbild tikai uz protokolu, kuram tā ir konfigurēta. Tikai Pulse pakalpojums noraida nc pieteikšanos pat ar derīgiem pieteikšanās datiem, un vecam Network Connect pakalpojumam nav pulse galapunkta, kas atbildētu. Pajautājiet administratoram, kurš ir iespējots, un kuru klientu viņi atbalsta. Pārdēvēta ierīce, novecojusi wiki lapa un pazīstams tīmekļa portāls ir vāji pierādījumi.

Kad protokols ir zināms, apstipriniet apkārtējās prasības: sertifikāta vai marķiera autentifikāciju, autentifikācijas grupas izvēli un jebkuru galapunkta atbilstības pārbaudi. Tās izšķir, vai komandrindas klients vispār var pabeigt pieteikšanos.

Autentifikācija var atrisināt jautājumu pirms protokola

Izvietojums var prasīt klienta sertifikātu, SAML ceļojumu caur pārlūku vai resursdatora pārbaudītāju, kas pirms piekļuves piešķiršanas pārbauda mašīnu. OpenConnect pulse apstrādātājs dokumentē saderības ierobežojumus dažiem no šiem plūsmām, un nc apstrādātājam ir savas nepilnības. Parole, kas darbojas pārlūkā, pierāda, ka konts ir derīgs; tā nepierāda, ka patvaļīgs CLI vai darbvirsmas spraudnis var pabeigt to pašu secību. Kad iesaistīts resursdatora pārbaudītājs, klientam nepieciešams administratora nodrošināts ietvērējskripts. Bez tā pieteikšanās apstājas pēc pirmās atbildes un izskatās kā protokola kļūme, lai gan patiesībā trūkst atbilstības soļa.

Autentifikācijas grupas izvēle ir otrs izplatītais klupšanas akmens, jo vārteja ar vairākām grupām gaida, ka klients nosauks vienu.

Komandrindā --authgroup="Employees" nodrošina šo izvēli, un tās izlaišana var ievietot sesiju noklusējuma grupā, kas noraida kontu. Ar sertifikātiem --certificate norāda uz klienta sertifikātu un atslēgu, un vārteja pēc tam joprojām var pieprasīt marķieri. Pārbaudiet visu secību vienreiz ar detalizētu izvadi, pirms automatizējat kaut ko ap to.

Kad darbvirsmas saskarne nevar izteikt izvēli

Grafiskās saskarnes nes savus funkciju kopumus, un vecāks spraudnis var būt pirms jums nepieciešamā protokola. NetworkManager OpenConnect integrācija saglabā izvēli savos savienojuma datos, tāpēc nmcli connection modify "Office VPN" vpn.data "protocol=pulse" var iestatīt to, ko redaktors nerāda. Pārbaudiet, vai instalētā spraudņa versija atbalsta šo atslēgu, pirms pieņemat, ka izmaiņas stājās spēkā.

Ja izvēlne piedāvā tikai PPTP vai L2TP, viena izvēle nepārvērš Pulse pakalpojumu šajā protokolā. Instalējiet apstiprināto integrāciju, nevis pārejiet uz to, ko izvēlne nejauši uzskaita.

Ko pierakstīt, ja pieteikšanās joprojām neizdodas

Pierakstiet četras lietas: izvēlēto protokolu, klienta un spraudņa versijas, gaidīto autentifikācijas plūsmu un pirmo kļūdu, kas atgriezās ar statusa kodu, nevis ar taimautu. Šis kopums atdala nepareizu apstrādātāju no trūkstoša sertifikāta, noraidītas autentifikācijas grupas vai bloķētas atbilstības pārbaudes. Detalizēta izvade ir vērts saglabāt tā paša iemesla dēļ, jo tā parāda neizdevušos pieprasījumu, ne tikai simptomu.

Turiet strādājošo komandu vai profilu blakus vārtejas nosaukumam, kad tas izdodas. Citādi nākamā pievienojošā persona atkārtos to pašu zīmola pret protokolu minējumu.