Juniper- eller Pulse-gateway: kva OpenConnect-protokoll bør brukast

Å velje ein protokoll for OpenConnect er ein pareøving, ikkje eit merkesøk. Ein gateway som seier Juniper på innloggingssida kan eksponere Network Connect, Pulse eller begge, og standardvalet til klienten er ingen av dei. Gjetting kostar ei mislukka innlogging og, verre, ein støttetråd som klandrar påloggingsinformasjonen for ein protokollufoverenskomst. Stadfest tenesta før du skriv inn eit vertsnamn i ein profil.

OpenConnect kallar den eldre protokollen nc og den nyare pulse, og begge bur i same binærfil. Flagget du vel endrar innloggingsutvekslinga, ikkje rutinga etter ei vellykka tilkopling.

Dei to protokollnamna deler éi produkthistorie

Junipers Network Connect og den seinare Pulse Secure-klienten er ulike protokollar som éin einingfamilie har eksponert over tid. OpenConnect fekk ein nc-handterar for den første og ein pulse-handterar for den andre. Dei er separate kodevegar med separate førespurnadsformat, så støtte i den eine seier ingenting om den andre.

Skilnaden viser seg med ein gong i innloggingssamtalen: endepunkt, skjemafelt og måten klienten rapporterer ein avvist annan faktor på varierer mellom dei to handterarane.

Valet på kommandolinja er ei endring på eitt ord: openconnect --protocol=nc vpn.example.com for Network Connect eller openconnect --protocol=pulse vpn.example.com for Pulse. Begge forsøka er ekte tilkoplingforsøk som kan konfigurere ruter og DNS på nytt, så køyr dei medvite. Legg aldri eit passord på kommandolinja og slå ikkje av sertifikatkontrollar for å kome forbi ein protokollfeil, fordi det skjuler uoverenskomsten i staden for å rette han. Viss du treng å sjå kva klienten sender, skriv --dump-http-traffic ut utvekslinga, som vanlegvis identifiserer handteraren gatewayen ventar.

Tilpass protokollen til det gatewayen eksponerer

Eininga svarar berre på protokollen ho er konfigurert for. Ei Pulse-only-teneste avviser ei nc-innlogging sjølv med gyldig påloggingsinformasjon, og ei gammal Network Connect-teneste har ingen pulse-endepunkt å svare på. Spør administratoren kva som er aktivert, og kva klient dei støttar. Ei eining med nytt namn, ei utdatert wikiside og ein kjend nettportal er alle svake bevis.

Når du kjenner protokollen, stadfest krava rundt: sertifikat- eller tokenautentisering, val av auth-gruppe og eventuell samsvarskontroll for endepunktet. Dei avgjer om ein kommandolinjeklient i det heile kan fullføre innlogginga.

Autentisering kan avgjere spørsmålet før protokollen

Ein utrulling kan krevje eit klientsertifikat, ein SAML-runde gjennom ein nettlesar eller ein vertskontroll som inspiserer maskinen før tilgang vert gjeven. pulse-handteraren til OpenConnect dokumenterer kompatibilitetsgrenser for nokre av desse flyta, og nc-handteraren har sine eigne hol. Eit passord som fungerer i nettlesaren beviser at kontoen er gyldig; det beviser ikkje at ein vilkårleg CLI eller skrivebordsplugin kan fullføre same sekvens. Når ein vertskontroll er med, treng klienten eit innpakkingsskript frå administratoren. Utan det stoppar innlogginga etter den første responsen og ser ut som ein protokollfeil når det eigentleg er eit manglande samsvarsteg.

Val av auth-gruppe er den andre vanlege snublesteinen, fordi ein gateway med fleire grupper ventar at klienten namngjev éi.

På kommandolinja leverer --authgroup="Employees" det valet, og å utelate det kan lande økta i ei standardgruppe som avviser kontoen. Med sertifikat peikar --certificate på klientsertifikatet og nøkkelen, og gatewayen kan framleis krevje eit token etterpå. Test heile sekvensen éin gong med detaljert utdata før du automatiserer noko rundt han.

Når skrivebordsgrensesnittet ikkje kan uttrykkje valet

Grafiske grensesnitt har sine eigne funksjonssett, og ein eldre plugin kan vere eldre enn protokollen du treng. OpenConnect-integreringa til NetworkManager lagrar valet i tilkoplingsopplysningane sine, så nmcli connection modify "Office VPN" vpn.data "protocol=pulse" kan setje det editoren ikkje viser. Kontroller at den installerte pluginversjonen støttar nøkkelen før du går ut frå at endringa tok til å gjelde.

Viss ei meny berre tilbyr PPTP eller L2TP, gjer ikkje valet av éin ein Pulse-teneste til den protokollen. Installer den godkjende integreringa i staden for å byte til det menyen tilfeldigvis listar.

Kva du skal registrere når innlogginga framleis mislukkast

Registrer fire ting: protokollen du valde, versjonane av klient og plugin, godkjenningsflyten som var venta, og den første feilen som kom tilbake med ein statuskode i staden for ein tidsavbrot. Det settet skil ein feil handterar frå eit manglande sertifikat, ei avvist auth-gruppe eller ein blokkert samsvarskontroll. Detaljert utdata er verdt å ta vare på av same grunn, fordi det viser førespurnaden som feila og ikkje berre symptomet.

Hald den fungerande kommandoen eller profilen ved sida av gateway-namnet når han lukkast. Elles vil neste person som koplar til gjenta den same merke-mot-protokoll-gjettinga.