Порта Juniper или Pulse: кој OpenConnect протокол да се користи

Изборот на протокол за OpenConnect е вежба по совпаѓање, а не барање на бренд. Порта што на страницата за најава вели Juniper може да изложи Network Connect, Pulse или двете, а стандардната вредност на клиентот не е ниту една од нив. Погодувањето чини неуспешна најава и, уште полошо, нишка за поддршка што ги обвинува акредитивите за несовпаѓање на протоколот. Потврдете ја услугата пред да внесете име на домаќин во профил.

OpenConnect го нарекува постариот протокол nc, а поновиот pulse, и двата живеат во истата бинарна датотека. Знамето што ќе го изберете го менува разменувањето при најава, не рутирањето по успешно поврзување.

Двете имиња на протоколи делат една историја на производ

Network Connect на Juniper и подоцнежниот клиент Pulse Secure се различни протоколи што едно семејство уреди ги изложувало со текот на времето. OpenConnect доби nc-ракувач за првиот и pulse-ракувач за вториот. Тоа се одделни кодни патеки со одделни формати на барања, затоа поддршката во едниот не кажува ништо за другиот.

Разликата веднаш се гледа во разговорот при најава: крајните точки, полињата на формуларот и начинот на кој клиентот пријавува одбиен втор фактор се разликуваат меѓу двата ракувачи.

Изборот на командната линија е промена од еден збор: openconnect --protocol=nc vpn.example.com за Network Connect или openconnect --protocol=pulse vpn.example.com за Pulse. Двете обиди се вистински обиди за поврзување што можат повторно да ги конфигурираат рутите и DNS, затоа извршете ги намерно. Никогаш не ставајте лозинка на командната линија и не исклучувајте ги проверките на сертификати за да заобиколите грешка во протоколот, бидејќи тоа го крие несовпаѓањето наместо да го поправи. Ако треба да видите што праќа клиентот, --dump-http-traffic ја печати размената, што обично го идентификува ракувачот што портата го очекува.

Усогласете го протоколот со она што портата го изложува

Уредот одговара само на протоколот за кој е конфигуриран. Услуга само со Pulse одбива nc-најава дури и со валидни акредитиви, а стара услуга Network Connect нема pulse-крајна точка за да одговори. Прашајте го администраторот кој е овозможен и кој клиент го поддржуваат. Преименуван уред, застарена вики-страница и познат веб-портал се сите слаби докази.

Кога го знаете протоколот, потврдете ги околните барања: автентикација со сертификат или токен, избор на автентикациска група и секоја проверка на усогласеност на крајната точка. Тие одлучуваат дали клиент на командната линија воопшто може да ја заврши најавата.

Автентикацијата може да го реши прашањето пред протоколот

Распоредувањето може да бара клиентски сертификат, SAML-патување низ прелистувач или проверувач на домаќин што ја прегледува машината пред да даде пристап. pulse-ракувачот на OpenConnect документира граници на компатибилност за некои од овие текови, а nc-ракувачот има свои празнини. Лозинката што работи во прелистувачот докажува дека сметката е валидна; не докажува дека произволно CLI или десктоп додаток може да ја заврши истата секвенца. Кога е вклучен проверувач на домаќин, на клиентот му треба скрипта за обвиткување од администраторот. Без неа најавата запира по првиот одговор и изгледа како дефект на протоколот, а всушност е чекор на усогласеност што недостасува.

Изборот на автентикациска група е другата честа пречка, бидејќи порта со неколку групи очекува клиентот да именува една.

На командната линија, --authgroup="Employees" го дава тој избор, а неговото испуштање може да ја смести сесијата во стандардна група што ја одбива сметката. Со сертификати, --certificate покажува на клиентскиот сертификат и клучот, а портата потоа може да бара токен. Тестирајте ја целата секвенца еднаш со детален излез пред да автоматизирате нешто околу неа.

Кога десктоп интерфејсот не може да го изрази изборот

Графичките интерфејси носат свои групи функции, а постар додаток може да биде пред протоколот што ви треба. Интеграцијата OpenConnect на NetworkManager го зачувува изборот во своите податоци за врска, затоа nmcli connection modify "Office VPN" vpn.data "protocol=pulse" може да постави што уредувачот не го прикажува. Проверете дали инсталираната верзија на додатокот го поддржува клучот пред да претпоставите дека измената стапила на сила.

Ако менито нуди само PPTP или L2TP, изборот на едно не ја претвора услугата Pulse во тој протокол. Инсталирајте ја одобрената интеграција наместо да преминете на она што менито случајно го наведува.

Што да се запише кога најавата сѐ уште не успева

Запишете четири работи: протоколот што го избравте, верзиите на клиентот и додатокот, очекуваниот тек на автентикација и првата грешка што се вратила со статусен код, а не со истек на време. Овој сет го одвојува погрешниот ракувач од сертификат што недостасува, одбиена автентикациска група или блокирана проверка на усогласеност. Деталниот излез вреди да се чува од истата причина, бидејќи го покажува неуспешното барање, а не само симптомот.

Чувајте ја работната команда или профилот до името на портата кога ќе успее. Инаку следното лице што ќе се поврзе ќе го повтори истото погодување бренд наспроти протокол.