Juniper- of Pulse-gateway: welk OpenConnect-protocol gebruiken

Een protocol voor OpenConnect kiezen is een koppeloefening, geen merkzoektocht. Een gateway die op de loginpagina Juniper zegt, kan Network Connect, Pulse of beide aanbieden, en de standaardwaarde van de client is geen van beide. Gokken kost een mislukte login en, erger, een supportthread die de inloggegevens de schuld geeft van een protocolverschil. Bevestig de dienst voordat u een hostnaam in een profiel typt.

OpenConnect noemt het oudere protocol nc en het nieuwere pulse, en beide leven in hetzelfde binaire bestand. De vlag die u kiest verandert de login-uitwisseling, niet de routering na een geslaagde verbinding.

De twee protocolnamen delen één productgeschiedenis

De Network Connect van Juniper en de latere Pulse Secure-client zijn verschillende protocollen die één apparaatfamilie in de loop van de tijd heeft aangeboden. OpenConnect kreeg een nc-handler voor de eerste en een pulse-handler voor de tweede. Het zijn gescheiden codepaden met gescheiden aanvraagformaten, dus ondersteuning in de ene zegt niets over de andere.

Het verschil is meteen zichtbaar in het logingesprek: eindpunten, formuliervelden en de manier waarop de client een afgewezen tweede factor meldt, verschillen tussen de twee handlers.

Kiezen op de opdrachtregel is een wijziging van één woord: openconnect --protocol=nc vpn.example.com voor Network Connect of openconnect --protocol=pulse vpn.example.com voor Pulse. Beide pogingen zijn echte verbindingspogingen die routes en DNS opnieuw kunnen configureren, dus voer ze bewust uit. Zet nooit een wachtwoord op de opdrachtregel en schakel geen certificaatcontroles uit om een protocolfout te omzeilen, want dat verbergt het verschil in plaats van het te verhelpen. Als u wilt zien wat de client verstuurt, drukt --dump-http-traffic de uitwisseling af, wat meestal de handler identificeert die de gateway verwacht.

Stem het protocol af op wat de gateway aanbiedt

Het apparaat antwoordt alleen op het protocol waarvoor het is geconfigureerd. Een Pulse-only-dienst weigert een nc-login zelfs met geldige inloggegevens, en een oude Network Connect-dienst heeft geen pulse-eindpunt om op te antwoorden. Vraag de beheerder welke is ingeschakeld, en welke client ze ondersteunen. Een hernoemd apparaat, een verouderde wikipagina en een bekend webportaal zijn allemaal zwak bewijs.

Als u het protocol kent, bevestig dan de omliggende vereisten: certificaat- of tokenauthenticatie, een auth-groepsselectie en elke eindpuntconformiteitscontrole. Die bepalen of een opdrachtregelclient de login überhaupt kan voltooien.

Authenticatie kan de vraag vóór het protocol beslechten

Een implementatie kan een clientcertificaat eisen, een SAML-ronde via een browser of een hostchecker die de machine inspecteert voordat toegang wordt verleend. De pulse-handler van OpenConnect documenteert compatibiliteitsgrenzen voor sommige van deze stromen, en de nc-handler heeft zijn eigen hiaten. Een wachtwoord dat in de browser werkt, bewijst dat het account geldig is; het bewijst niet dat een willekeurige CLI of desktopplugin dezelfde reeks kan voltooien. Als er een hostchecker in het spel is, heeft de client een wrapperscript van de beheerder nodig. Zonder dat blijft de login na het eerste antwoord steken en lijkt het op een protocolfout terwijl het in werkelijkheid een ontbrekende conformiteitsstap is.

Auth-groepsselectie is het andere veelvoorkomende struikelblok, omdat een gateway met meerdere groepen verwacht dat de client er één noemt.

Op de opdrachtregel levert --authgroup="Employees" die keuze, en het weglaten ervan kan de sessie in een standaardgroep laten belanden die het account weigert. Met certificaten wijst --certificate naar het clientcertificaat en de sleutel, en de gateway kan daarna nog een token eisen. Test de volledige reeks één keer met uitgebreide uitvoer voordat u iets eromheen automatiseert.

Wanneer de desktopfrontend de keuze niet kan uitdrukken

Grafische frontends brengen hun eigen functiesets mee, en een oudere plugin kan ouder zijn dan het protocol dat u nodig hebt. De OpenConnect-integratie van NetworkManager slaat de keuze op in zijn verbindingsgegevens, dus nmcli connection modify "Office VPN" vpn.data "protocol=pulse" kan instellen wat de editor niet toont. Controleer of de geïnstalleerde pluginversie de sleutel ondersteunt voordat u aanneemt dat de wijziging is doorgevoerd.

Als een menu alleen PPTP of L2TP biedt, maakt het kiezen van een daarvan geen Pulse-dienst van dat protocol. Installeer de goedgekeurde integratie in plaats van over te stappen op wat het menu toevallig vermeldt.

Wat u moet vastleggen als de login blijft mislukken

Leg vier dingen vast: het protocol dat u koos, de versies van client en plugin, de verwachte authenticatiestroom en de eerste fout die terugkwam met een statuscode in plaats van een time-out. Die set scheidt een verkeerde handler van een ontbrekend certificaat, een geweigerde auth-groep of een geblokkeerde conformiteitscontrole. Uitgebreide uitvoer is om dezelfde reden het bewaren waard, omdat het de mislukte aanvraag toont en niet alleen het symptoom.

Houd de werkende opdracht of het profiel naast de gatewaynaam zodra het lukt. Anders herhaalt de volgende persoon die verbinding maakt dezelfde merk-tegen-protocol-gok.