Gerbang Juniper atau Pulse: protokol OpenConnect mana yang hendak digunakan

Memilih protokol untuk OpenConnect ialah latihan pemadanan, bukan pencarian jenama. Gerbang yang tertulis Juniper pada halaman log masuk mungkin mendedahkan Network Connect, Pulse atau kedua-duanya, dan nilai lalai klien bukan salah satu daripadanya. Meneka mengorbankan log masuk yang gagal dan, lebih buruk, benang sokongan yang menyalahkan kelayakan atas ketidakpadanan protokol. Sahkan perkhidmatan sebelum anda menaip nama hos ke dalam profil.

OpenConnect menamakan protokol lama nc dan yang lebih baharu pulse, dan kedua-duanya tinggal dalam binari yang sama. Bendera yang anda pilih mengubah pertukaran log masuk, bukan penghalaan selepas sambungan berjaya.

Kedua-dua nama protokol berkongsi satu sejarah produk

Network Connect Juniper dan klien Pulse Secure yang kemudian ialah protokol berbeza yang didedahkan oleh satu keluarga perkakas dari semasa ke semasa. OpenConnect membangunkan pengendali nc untuk yang pertama dan pengendali pulse untuk yang kedua. Kedua-duanya laluan kod berasingan dengan format permintaan berasingan, jadi sokongan dalam satu tidak memberitahu apa-apa tentang yang lain.

Perbezaan itu kelihatan serta-merta dalam perbualan log masuk: titik akhir, medan borang dan cara klien melaporkan faktor kedua yang ditolak semuanya berbeza antara kedua-dua pengendali.

Memilih pada baris arahan ialah perubahan satu perkataan: openconnect --protocol=nc vpn.example.com untuk Network Connect, atau openconnect --protocol=pulse vpn.example.com untuk Pulse. Kedua-dua percubaan ialah percubaan sambungan sebenar yang boleh mengkonfigurasi semula laluan dan DNS, jadi jalankannya dengan sengaja. Jangan sekali-kali meletakkan kata laluan pada baris arahan atau mematikan pemeriksaan sijil untuk melangkaui ralat protokol, kerana itu menyembunyikan ketidakpadanan dan bukannya membaikinya. Jika anda perlu melihat apa yang dihantar oleh klien, --dump-http-traffic mencetak pertukaran itu, yang biasanya mengenal pasti pengendali yang dijangka oleh gerbang.

Padankan protokol dengan apa yang didedahkan oleh gerbang

Perkakas hanya menjawab protokol yang dikonfigurasikan untuk dilayaninya. Perkhidmatan hanya Pulse menolak log masuk nc walaupun dengan kelayakan yang sah, dan perkhidmatan Network Connect lama tiada titik akhir pulse untuk dijawab. Tanya pentadbir yang mana satu didayakan, dan klien mana yang mereka sokong. Perkakas yang dinamakan semula, halaman wiki yang lapuk dan portal web yang biasa semuanya bukti lemah.

Setelah anda tahu protokolnya, sahkan keperluan di sekelilingnya: pengesahan sijil atau token, pemilihan kumpulan auth dan sebarang pemeriksaan pematuhan titik akhir. Itu menentukan sama ada klien baris arahan boleh menyelesaikan log masuk.

Pengesahan boleh menyelesaikan persoalan sebelum protokol

Satu penggunaan boleh menuntut sijil klien, perjalanan SAML melalui pelayar, atau pemeriksa hos yang memeriksa mesin sebelum memberi akses. Pengendali pulse OpenConnect mendokumenkan had keserasian untuk sesetengah aliran ini, dan pengendali nc mempunyai jurangnya sendiri. Kata laluan yang berfungsi dalam pelayar membuktikan akaun itu sah; ia tidak membuktikan bahawa CLI atau pemalam desktop sewenang-wenangnya boleh menyelesaikan urutan yang sama. Apabila pemeriksa hos terlibat, klien memerlukan skrip pembalut yang disediakan oleh pentadbir. Tanpanya log masuk terhenti selepas respons pertama dan kelihatan seperti kegagalan protokol sedangkan sebenarnya langkah pematuhan yang hilang.

Pemilihan kumpulan auth ialah titik tersandung biasa yang lain, kerana gerbang dengan beberapa kumpulan menjangka klien menamakan satu.

Pada baris arahan, --authgroup="Employees" menyediakan pilihan itu, dan meninggalkannya boleh meletakkan sesi dalam kumpulan lalai yang menolak akaun. Dengan sijil, --certificate menunjuk kepada sijil dan kunci klien, dan gerbang mungkin masih meminta token selepas itu. Uji keseluruhan urutan sekali dengan output terperinci sebelum mengautomasikan apa-apa di sekelilingnya.

Apabila bahagian hadapan desktop tidak dapat menyatakan pilihan

Bahagian hadapan grafik membawa set cirinya sendiri, dan pemalam yang lebih lama mungkin mendahului protokol yang anda perlukan. Integrasi OpenConnect NetworkManager menyimpan pilihan dalam data sambungannya, jadi nmcli connection modify "Office VPN" vpn.data "protocol=pulse" boleh menetapkan apa yang tidak ditunjukkan oleh editor. Periksa sama ada versi pemalam yang dipasang menyokong kunci itu sebelum menganggap suntingan telah berkuat kuasa.

Jika menu hanya menawarkan PPTP atau L2TP, memilih salah satu tidak menukar perkhidmatan Pulse menjadi protokol itu. Pasang integrasi yang diluluskan dan bukannya beralih kepada apa sahaja yang disenaraikan oleh menu.

Apa yang perlu direkodkan apabila log masuk masih gagal

Rekodkan empat perkara: protokol yang anda pilih, versi klien dan pemalam, aliran pengesahan yang dijangka, dan ralat pertama yang kembali dengan kod status dan bukannya tamat masa. Set itu memisahkan pengendali yang salah daripada sijil yang hilang, kumpulan auth yang ditolak atau pemeriksaan pematuhan yang disekat. Output terperinci juga bernilai disimpan atas sebab yang sama, kerana ia menunjukkan permintaan yang gagal dan bukan hanya simptom.

Simpan arahan atau profil yang berfungsi di sebelah nama gerbang setelah ia berjaya. Jika tidak, orang seterusnya yang menyambung akan mengulangi tekaan jenama lawan protokol yang sama.