Utfasede VPN-klienter: identifiser gateway-protokollen først

Installasjonsprogrammer for VPN-klienter som gikk ut av livet for år siden kjører fortsatt, spør fortsatt etter en profil og fullfører deretter en innlogging som aldri slipper en pakke gjennom. Maskinen er oppdatert og påloggingsinformasjonen er riktig, likevel er gatewayen den samme enheten som selskapet kjøpte for et tiår siden. Å bytte ut klienten er riktig trekk, men først når du vet hvilken protokoll den gatewayen publiserer. De fire utfasede klientene i dette hjørnet snakker ikke den samme.

Hvorfor merkenavnet ikke sier protokollen

Én enhetsfamilie kan terminere flere fjernaksessprotokoller, og markedsnavnet på esken sier ingenting om hvilken kontoen din bruker. Cisco-utstyr har båret IPsec med XAuth og SSL VPN via AnyConnect samtidig; SonicWall-bokser tilbyr Global VPN Client over IPsec og NetExtender over SSL VPN; Juniper-installasjoner kan eksponere Network Connect eller den nyere Pulse-protokollen. Å installere etterfølgeren som ser mest moderne ut er gjetting. Feil gjetning enten mislykkes i å koble til eller autentiserer inn i en økt som ikke bærer trafikk.

At en portalferside lastes i en nettleser beviser at en webtjeneste svarer, ikke at en bestemt klient vil forhandle med den. Behandle det som to atskilte fakta.

Spør gatewayen hva den snakker

Den billigste måten å snevre inn valgene på er å lese hva endepunktet returnerer, og deretter navngi en protokoll eksplisitt når du prøver en klient. Ingen av trinnene endrer noe på serveren.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Svarhoder og innloggingsstien viser om det finnes en SSL VPN-portal på den adressen, noe som peker på AnyConnect, NetExtender eller Pulse snarere enn på en IPsec-klient. openconnect legger protokollvalget på kommandolinjen, så en feil navngir en protokoll i stedet for et produkt; bytt til --protocol=npulse når installasjonen er Juniper. Stopp ved den første forespørselen som ber om påloggingsinformasjon du ikke har fått, fordi en fungerende tunnel fortsatt trenger en godkjent konto. Noter protokollen og stien i endringssaken for neste maskin.

Vei fire kandidater for utskifting

Fire veier dekker nesten alle tilfeller, og de kan ikke byttes om hverandre. En etterfølger fra leverandøren er den støttede veien når organisasjonen eier gatewayen og vil lisensiere den. OpenConnect er den praktiske åpne klienten, fordi den snakker AnyConnect, Network Connect og Pulse når du navngir protokollen i stedet for å la den gjette.

strongSwan håndterer tilfellet IPsec med XAuth for organisasjoner som tillater tredjepartsklienter, og det omgår den forlatte Cisco IPsec-koden helt. Shrew Soft-klienten fortsetter å lese Cisco-profilfiler og kjører på noen Windows-bygg, men siste utgivelse var i 2013. Behandle den som en midlertidig løsning mens en støttet vei ordnes.

Velg mellom reparasjon og utskifting

Noen feil er lokale: et manglende bibliotek, en utdatert virtuell adapter eller et installasjonsprogram som trenger leverandørens reparasjonsvalg. De er ett forsøk verdt så lenge klienten støttes, fordi de koster minutter. Regnestykket endres når binæren er utenfor støtte og bruddet kom med en oppgradering av operativsystemet, siden reglene for driversignering og kjerneutvidelser har endret seg siden disse klientene ble skrevet. En klient som kobler til mens tunnel-telleren viser null etablerte økter er vanligvis forbi reparasjon, ikke én nyinstallasjon unna.

Hold den gamle klienten installert akkurat lenge nok til å eksportere profilen, og fjern den deretter. To VPN-klienter som konkurrerer om de samme rutene gir symptomer som ikke ligner noen av dem.

Skriv rekkefølgen i saken: protokoll og godkjent klient fra eieren, en støttet etterfølger hvis den installerer, én åpen klient testet på én maskin hvis ikke, og en støttet tilgangsvei hvis ingen av dem virker. Den rekkefølgen hindrer neste person i å laste ned nok en utfaset binær.