Juniper- eller Pulse-gateway: hvilken OpenConnect-protokoll bør brukes

Å velge en protokoll for OpenConnect er en paringsøvelse, ikke et merkesøk. En gateway som sier Juniper på innloggingssiden kan eksponere Network Connect, Pulse eller begge, og klientens standardvalg er ingen av dem. Gjetting koster en mislykket innlogging og, verre, en støttetråd som klandrer påloggingsinformasjonen for en protokollufoverensstemmelse. Bekreft tjenesten før du skriver inn et vertsnavn i en profil.

OpenConnect kaller den eldre protokollen nc og den nyere pulse, og begge bor i samme binærfil. Flagget du velger endrer innloggingsutvekslingen, ikke rutingen etter en vellykket tilkobling.

De to protokollnavnene deler én produkthistorie

Junipers Network Connect og den senere Pulse Secure-klienten er forskjellige protokoller som én enhetsfamilie har eksponert over tid. OpenConnect fikk en nc-behandler for den første og en pulse-behandler for den andre. De er separate kodeveier med separate forespørselsformater, så støtte i den ene sier ingenting om den andre.

Forskjellen vises umiddelbart i innloggingssamtalen: endepunkter, skjemafelt og måten klienten rapporterer en avvist annen faktor på varierer mellom de to behandlerne.

Valget på kommandolinjen er en endring på ett ord: openconnect --protocol=nc vpn.example.com for Network Connect eller openconnect --protocol=pulse vpn.example.com for Pulse. Begge forsøkene er ekte tilkoblingsforsøk som kan konfigurere ruter og DNS på nytt, så kjør dem bevisst. Legg aldri et passord på kommandolinjen og slå ikke av sertifikatkontroller for å komme forbi en protokollfeil, fordi det skjuler uoverensstemmelsen i stedet for å rette den. Hvis du trenger å se hva klienten sender, skriver --dump-http-traffic ut utvekslingen, som vanligvis identifiserer behandleren gatewayen forventer.

Tilpass protokollen til det gatewayen eksponerer

Enheten svarer bare på protokollen den er konfigurert for. En Pulse-only-tjeneste avviser en nc-innlogging selv med gyldig påloggingsinformasjon, og en gammel Network Connect-tjeneste har ingen pulse-endepunkt å svare på. Spør administratoren hvilken som er aktivert, og hvilken klient de støtter. En enhet med nytt navn, en utdatert wikiside og en kjent nettportal er alle svake bevis.

Når du kjenner protokollen, bekreft kravene rundt: sertifikat- eller tokengodkjenning, valg av auth-gruppe og enhver samsvarskontroll for endepunktet. De avgjør om en kommandolinjeklient i det hele tatt kan fullføre innloggingen.

Godkjenning kan avgjøre spørsmålet før protokollen

En utrulling kan kreve et klientsertifikat, en SAML-runde gjennom en nettleser eller en vertskontroll som inspiserer maskinen før tilgang gis. OpenConnects pulse-behandler dokumenterer kompatibilitetsgrenser for noen av disse flytene, og nc-behandleren har sine egne hull. Et passord som fungerer i nettleseren beviser at kontoen er gyldig; det beviser ikke at en vilkårlig CLI eller skrivebordsplugin kan fullføre samme sekvens. Når en vertskontroll er med, trenger klienten et innpakningsskript fra administratoren. Uten det stopper innloggingen etter den første responsen og ser ut som en protokollfeil når det egentlig er et manglende samsvarstrinn.

Valg av auth-gruppe er den andre vanlige snublesteinen, fordi en gateway med flere grupper forventer at klienten navngir én.

På kommandolinjen leverer --authgroup="Employees" det valget, og å utelate det kan lande økten i en standardgruppe som avviser kontoen. Med sertifikater peker --certificate på klientsertifikatet og nøkkelen, og gatewayen kan fortsatt kreve et token etterpå. Test hele sekvensen én gang med detaljert utdata før du automatiserer noe rundt den.

Når skrivebordsgrensesnittet ikke kan uttrykke valget

Grafiske grensesnitt har sine egne funksjonssett, og en eldre plugin kan være eldre enn protokollen du trenger. NetworkManagers OpenConnect-integrasjon lagrer valget i tilkoblingsdataene sine, så nmcli connection modify "Office VPN" vpn.data "protocol=pulse" kan angi det editoren ikke viser. Kontroller at den installerte pluginversjonen støtter nøkkelen før du antar at endringen trådte i kraft.

Hvis en meny bare tilbyr PPTP eller L2TP, gjør ikke valget av én en Pulse-tjeneste til den protokollen. Installer den godkjente integrasjonen i stedet for å bytte til det menyen tilfeldigvis lister.

Hva du skal registrere når innloggingen fortsatt mislykkes

Registrer fire ting: protokollen du valgte, versjonene av klient og plugin, godkjenningsflyten som var forventet, og den første feilen som kom tilbake med en statuskode i stedet for en tidsavbrudd. Det settet skiller en feil behandler fra et manglende sertifikat, en avvist auth-gruppe eller en blokkert samsvarskontroll. Detaljert utdata er verdt å ta vare på av samme grunn, fordi det viser forespørselen som feilet og ikke bare symptomet.

Hold den fungerende kommandoen eller profilen ved siden av gateway-navnet når den lykkes. Ellers vil neste person som kobler til gjenta den samme merke-mot-protokoll-gjettingen.