Klien VPN yang telah ditarik: kenal pasti protokol gateway dahulu

Pemasang klien VPN yang tamat hayat bertahun-tahun lalu masih berjalan, masih meminta profil, dan kemudian menyelesaikan log masuk yang tidak pernah melepaskan satu paket pun. Mesin itu terkini dan kelayakan itu betul, namun gateway ialah perkakas yang sama dibeli syarikat sedekad lalu. Menggantikan klien ialah langkah yang betul, tetapi hanya selepas anda tahu protokol mana yang diterbitkan gateway itu. Empat klien bersara di sudut ini tidak bertutur protokol yang sama.

Mengapa nama jenama tidak memberitahu protokol

Satu keluarga perkakas boleh menamatkan beberapa protokol akses jauh, dan nama pemasaran pada kotak tidak mengatakan apa-apa tentang yang mana akaun anda gunakan. Perkakasan Cisco pernah membawa IPsec dengan XAuth dan SSL VPN melalui AnyConnect pada masa yang sama; kotak SonicWall menawarkan Global VPN Client atas IPsec dan NetExtender atas SSL VPN; penggunaan Juniper boleh mendedahkan Network Connect atau protokol Pulse yang lebih baharu. Memasang pengganti yang kelihatan paling moden ialah tekaan. Tekaan yang salah sama ada gagal menyambung atau mengesahkan ke sesi yang tidak membawa trafik.

Halaman portal yang dimuatkan dalam pelayar membuktikan bahawa perkhidmatan web menjawab, bukan bahawa klien tertentu akan berunding dengannya. Anggap kedua-duanya sebagai dua fakta berasingan.

Tanya gateway apa yang dituturkannya

Cara paling murah untuk menyempitkan pilihan ialah membaca apa yang dikembalikan titik akhir, kemudian menamakan protokol secara jelas apabila anda mencuba klien. Kedua-dua langkah tidak mengubah apa-apa pada pelayan.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Pengepala respons dan laluan log masuk menunjukkan sama ada portal SSL VPN wujud di alamat itu, yang menunjuk kepada AnyConnect, NetExtender atau Pulse dan bukan klien IPsec. openconnect meletakkan pilihan protokol pada baris arahan, jadi kegagalan menamakan protokol dan bukan produk; tukar kepadanya --protocol=npulse apabila penggunaan ialah Juniper. Berhenti pada gesaan pertama yang meminta kelayakan yang tidak dikeluarkan kepada anda, kerana terowong yang berfungsi masih memerlukan akaun yang diluluskan. Catat protokol dan laluan dalam tiket perubahan untuk mesin seterusnya.

Timbang empat calon pengganti

Empat laluan meliputi hampir setiap kes, dan ia tidak boleh ditukar ganti. Pengganti daripada vendor ialah laluan yang disokong apabila organisasi memiliki gateway itu dan akan melesenkannya. OpenConnect ialah klien terbuka yang praktikal, kerana ia bertutur AnyConnect, Network Connect dan Pulse apabila anda menamakan protokol itu dan bukannya membiarkannya meneka.

strongSwan mengendalikan kes IPsec dengan XAuth untuk organisasi yang membenarkan klien pihak ketiga, dan ia mengelak sepenuhnya kod IPsec Cisco yang ditinggalkan. Klien Shrew Soft terus membaca fail profil Cisco dan berjalan pada beberapa binaan Windows, tetapi keluaran terakhirnya ialah 2013. Anggap ia sebagai penyelesaian sementara sehingga laluan yang disokong diatur.

Putuskan antara pembaikan dan penggantian

Sesetengah kegagalan adalah setempat: pustaka yang hilang, penyesuai maya yang usang, atau pemasang yang memerlukan pilihan pembaikan vendor. Itu berbaloi dicuba sekali selagi klien disokong, kerana ia mengambil beberapa minit. Pengiraan berubah apabila binari berada di luar sokongan dan kerosakan datang bersama peningkatan sistem pengendalian, kerana peraturan tandatangan pemacu dan sambungan kernel telah berubah sejak klien ini ditulis. Klien yang menyambung sementara pembilang terowong menunjukkan sifar sesi terbentuk biasanya sudah melepasi pembaikan, bukan satu pemasangan semula jauhnya.

Biarkan klien lama dipasang hanya cukup lama untuk mengeksport profilnya, kemudian buangkannya. Dua klien VPN yang bersaing untuk laluan yang sama menghasilkan gejala yang tidak menyerupai mana-mana satu pun.

Tulis urutan pada tiket: protokol dan klien yang diluluskan daripada pemilik, pengganti yang disokong jika ia dipasang, satu klien terbuka yang diuji pada satu mesin jika tidak, dan laluan akses yang disokong jika kedua-duanya tidak berfungsi. Urutan itu menghalang orang seterusnya daripada memuat turun binari bersara yang lain.