Uitgefaseerde VPN-clients: bepaal eerst het gatewayprotocol

Installatieprogramma's van VPN-clients die jaren geleden einde levensduur bereikten, werken nog steeds, vragen nog steeds om een profiel en ronden dan een aanmelding af die nooit een pakket doorlaat. De machine is actueel en de inloggegevens kloppen, toch is de gateway hetzelfde apparaat dat het bedrijf een decennium geleden kocht. De client vervangen is de juiste stap, maar pas als u weet welk protocol die gateway publiceert. De vier uitgefaseerde clients in deze hoek spreken niet hetzelfde.

Waarom de merknaam het protocol niet verraadt

Eén apparaatfamilie kan meerdere protocollen voor toegang op afstand beëindigen, en de marketingnaam op de doos zegt niets over welke uw account gebruikt. Cisco-apparatuur heeft tegelijk IPsec met XAuth en SSL VPN via AnyConnect gedragen; SonicWall-dozen bieden Global VPN Client over IPsec en NetExtender over SSL VPN; Juniper-implementaties kunnen Network Connect of het nieuwere Pulse-protocol blootleggen. De opvolger installeren die het modernst lijkt, is gissen. De verkeerde gok lukt niet om te verbinden of authenticeert in een sessie die geen verkeer draagt.

Dat een portaalpagina in een browser laadt, bewijst dat een webservice antwoordt, niet dat een bepaalde client ermee gaat onderhandelen. Behandel dat als twee aparte feiten.

Vraag de gateway wat hij spreekt

De goedkoopste manier om de opties te verkleinen is lezen wat het eindpunt teruggeeft en dan een protocol expliciet benoemen wanneer u een client probeert. Geen van beide stappen verandert iets op de server.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Antwoordheaders en het aanmeldpad tonen of er een SSL VPN-portaal op dat adres staat, wat wijst op AnyConnect, NetExtender of Pulse in plaats van op een IPsec-client. openconnect zet de protocolkeuze op de opdrachtregel, zodat een fout een protocol noemt en geen product; vervang het door --protocol=npulse wanneer de implementatie Juniper is. Stop bij de eerste prompt die inloggegevens vraagt die u niet zijn verstrekt, want een werkende tunnel heeft nog steeds een goedgekeurd account nodig. Noteer het protocol en het pad in de wijzigingsticket voor de volgende machine.

Weeg vier vervangende kandidaten

Vier routes dekken bijna elk geval, en ze zijn niet uitwisselbaar. Een opvolger van de leverancier is de ondersteunde route wanneer de organisatie de gateway bezit en die gaat licentiëren. OpenConnect is de praktische open client, omdat hij AnyConnect, Network Connect en Pulse spreekt wanneer u het protocol benoemt in plaats van hem te laten gissen.

strongSwan behandelt het geval IPsec met XAuth voor organisaties die clients van derden toestaan, en het omzeilt de verlaten Cisco IPsec-code volledig. De Shrew Soft-client leest nog steeds Cisco-profielbestanden en draait op sommige Windows-builds, maar de laatste release was in 2013. Behandel hem als overbrugging terwijl een ondersteunde route wordt geregeld.

Kies tussen reparatie en vervanging

Sommige storingen zijn lokaal: een ontbrekende bibliotheek, een verouderde virtuele adapter of een installatieprogramma dat de reparatieoptie van de leverancier nodig heeft. Die zijn één poging waard zolang de client wordt ondersteund, omdat ze minuten kosten. De berekening verandert wanneer de binary buiten ondersteuning is en de breuk kwam met een upgrade van het besturingssysteem, omdat regels voor driverondertekening en kerneluitbreidingen zijn verschoven sinds deze clients zijn geschreven. Een client die verbindt terwijl de tunnelteller nul opgezette sessies toont, is meestal voorbij reparatie, niet één herinstallatie verwijderd.

Houd de oude client alleen lang genoeg geïnstalleerd om het profiel te exporteren en verwijder hem daarna. Twee VPN-clients die om dezelfde routes strijden, geven symptomen die op geen van beide lijken.

Schrijf de volgorde in het ticket: protocol en goedgekeurde client van de eigenaar, een ondersteunde opvolger als die installeert, één open client getest op één machine als dat niet zo is, en een ondersteund toegangspad als geen van beide werkt. Die volgorde weerhoudt de volgende persoon ervan nog een uitgefaseerde binary te downloaden.