Utfasa VPN-klientar: identifiser gateway-protokollen først

Installasjonsprogram for VPN-klientar som gjekk ut av livet for år sidan køyrer framleis, spør framleis etter ein profil og fullfører deretter ei innlogging som aldri slepp ein pakke gjennom. Maskinen er oppdatert og påloggingsinformasjonen er riktig, likevel er gatewayen den same eininga som selskapet kjøpte for eit tiår sidan. Å byte ut klienten er rett trekk, men først når du veit kva protokoll den gatewayen publiserer. Dei fire utfasa klientane i dette hjørnet snakkar ikkje den same.

Kvifor merkenamnet ikkje seier protokollen

Éin einingfamilie kan terminere fleire fjernaksessprotokollar, og marknadsnamnet på eska seier ingenting om kva kontoen din brukar. Cisco-utstyr har bore IPsec med XAuth og SSL VPN via AnyConnect samstundes; SonicWall-boksar tilbyr Global VPN Client over IPsec og NetExtender over SSL VPN; Juniper-installasjonar kan eksponere Network Connect eller den nyare Pulse-protokollen. Å installere etterfølgjaren som ser mest moderne ut er gjetting. Feil gjetting anten mislukkast med å kople til eller autentiserer inn i ei økt som ikkje ber trafikk.

At ei portalside blir lasta i ein nettlesar beviser at ein webtjeneste svarar, ikkje at ein bestemt klient vil forhandle med han. Handsame det som to skilde faktum.

Spør gatewayen kva han snakkar

Den billegaste måten å snevre inn vala på er å lese kva endepunktet returnerer, og deretter namngje ein protokoll eksplisitt når du prøver ein klient. Ingen av trinna endrar noko på serveren.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Svarhovud og innloggingsstien viser om det finst ein SSL VPN-portal på den adressa, noko som peikar på AnyConnect, NetExtender eller Pulse snarare enn på ein IPsec-klient. openconnect legg protokollvalet på kommandolinja, så ein feil namngjev ein protokoll i staden for eit produkt; byt til --protocol=npulse når installasjonen er Juniper. Stopp ved den første førespurnaden som ber om påloggingsinformasjon du ikkje har fått, fordi ein fungerande tunnel framleis treng ein godkjend konto. Noter protokollen og stien i endringssaka for neste maskin.

Vei fire kandidatar for utskifting

Fire vegar dekkjer nesten alle tilfelle, og dei kan ikkje bytast om kvarandre. Ein etterfølgjar frå leverandøren er den støtta vegen når organisasjonen eig gatewayen og vil lisensiere han. OpenConnect er den praktiske opne klienten, fordi han snakkar AnyConnect, Network Connect og Pulse når du namngjev protokollen i staden for å la han gjette.

strongSwan handterer tilfellet IPsec med XAuth for organisasjonar som tillèt tredjepartsklientar, og det omgår den forlatne Cisco IPsec-koden heilt. Shrew Soft-klienten held fram med å lese Cisco-profilfiler og køyrer på nokre Windows-bygg, men siste utgåve var i 2013. Handsame han som ei mellombels løysing medan ein støtta veg blir ordna.

Vel mellom reparasjon og utskifting

Nokre feil er lokale: eit manglande bibliotek, ein utdatert virtuell adapter eller eit installasjonsprogram som treng reparasjonsvalet til leverandøren. Dei er eitt forsøk verdt så lenge klienten blir støtta, fordi dei kostar minutt. Reknestykket endrar seg når binæren er utanfor støtte og brotet kom med ei oppgradering av operativsystemet, sidan reglane for driversignering og kjerneutvidingar har endra seg sidan desse klientane vart skrivne. Ein klient som koplar til medan tunnel-teljaren viser null etablerte økter er vanlegvis forbi reparasjon, ikkje éin nyinstallasjon unna.

Hald den gamle klienten installert akkurat lenge nok til å eksportere profilen, og fjern han deretter. To VPN-klientar som konkurrerer om dei same rutene gir symptom som ikkje liknar nokon av dei.

Skriv rekkjefølgja i saka: protokoll og godkjend klient frå eigaren, ein støtta etterfølgjar om han installerer, éin open klient testa på éin maskin om ikkje, og ein støtta tilgangsveg om ingen av dei verkar. Den rekkjefølgja hindrar neste person i å laste ned nok ein utfasa binær.