Wycofane klienty VPN: najpierw ustal protokół bramy

Instalatory klientów VPN, których wsparcie skończyło się lata temu, wciąż działają, wciąż proszą o profil, a potem kończą logowanie, które nigdy nie przepuszcza ani jednego pakietu. Maszyna jest aktualna, a dane logowania poprawne, mimo to brama to to samo urządzenie, które firma kupiła dekadę temu. Wymiana klienta to właściwy krok, ale dopiero gdy wiesz, który protokół ta brama publikuje. Cztery wycofane klienty w tym kącie nie mówią tym samym.

Dlaczego nazwa marki nie zdradza protokołu

Jedna rodzina urządzeń może kończyć kilka protokołów zdalnego dostępu, a nazwa marketingowa na pudełku nie mówi nic o tym, którego używa twoje konto. Sprzęt Cisco przez cały czas obsługiwał jednocześnie IPsec z XAuth i SSL VPN przez AnyConnect; pudełka SonicWall oferują Global VPN Client po IPsec i NetExtender po SSL VPN; wdrożenia Juniper mogą udostępniać Network Connect lub nowszy protokół Pulse. Instalowanie następcy, który wygląda najnowocześniej, to zgadywanie. Błędne przypuszczenie albo nie łączy, albo uwierzytelnia sesję, która nie przenosi żadnego ruchu.

Załadowanie strony portalu w przeglądarce dowodzi, że usługa sieciowa odpowiada, a nie że konkretny klient będzie z nią negocjował. Traktuj to jako dwa osobne fakty.

Zapytaj bramę, w jakim protokole mówi

Najtańszy sposób zawężenia opcji to odczytanie, co zwraca punkt końcowy, a następnie wyraźne nazwanie protokołu podczas próby z klientem. Żaden z tych kroków niczego nie zmienia na serwerze.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Nagłówki odpowiedzi i ścieżka logowania pokazują, czy pod tym adresem jest portal SSL VPN, co wskazuje na AnyConnect, NetExtender lub Pulse, a nie na klienta IPsec. openconnect umieszcza wybór protokołu w wierszu poleceń, więc niepowodzenie nazywa protokół, a nie produkt; zamień go na --protocol=npulse, gdy wdrożenie to Juniper. Zatrzymaj się na pierwszym monicie o dane logowania, których ci nie wydano, bo działający tunel nadal wymaga zatwierdzonego konta. Zapisz protokół i ścieżkę w zgłoszeniu zmiany dla następnej maszyny.

Rozważ czterech kandydatów na zamiennik

Cztery drogi pokrywają prawie każdy przypadek i nie są wymienne. Następca od dostawcy to obsługiwana droga, gdy organizacja posiada bramę i zamierza ją licencjonować. OpenConnect to praktyczny otwarty klient, bo mówi AnyConnect, Network Connect i Pulse, gdy nazwiesz protokół, zamiast pozwalać mu zgadywać.

strongSwan obsługuje przypadek IPsec z XAuth dla organizacji, które dopuszczają klienty firm trzecich, i całkowicie omija porzucony kod Cisco IPsec. Klient Shrew Soft nadal czyta pliki profilu Cisco i działa na niektórych kompilacjach Windows, ale jego ostatnie wydanie pochodzi z 2013 roku. Traktuj go jako rozwiązanie tymczasowe, dopóki nie zostanie zorganizowana obsługiwana droga.

Zdecyduj między naprawą a wymianą

Niektóre awarie są lokalne: brakująca biblioteka, przestarzały adapter wirtualny lub instalator wymagający opcji naprawy od dostawcy. Warto spróbować raz, dopóki klient jest obsługiwany, bo zajmuje to minuty. Rachunek zmienia się, gdy plik binarny jest poza wsparciem, a awaria przyszła z aktualizacją systemu operacyjnego, ponieważ zasady podpisywania sterowników i rozszerzeń jądra zmieniły się od czasu napisania tych klientów. Klient, który łączy się, gdy licznik tunelu pokazuje zero nawiązanych sesji, zwykle jest już poza naprawą, a nie o jedną reinstalację dalej.

Trzymaj starego klienta zainstalowanego tylko tak długo, jak trzeba wyeksportować jego profil, a potem go usuń. Dwa klienty VPN konkurujące o te same trasy dają objawy, które nie przypominają żadnego z nich.

Zapisz kolejność w zgłoszeniu: protokół i zatwierdzony klient od właściciela, obsługiwany następca, jeśli się zainstaluje, jeden otwarty klient sprawdzony na jednej maszynie, jeśli nie, oraz obsługiwana ścieżka dostępu, jeśli żadne nie zadziała. Ta kolejność powstrzymuje następną osobę przed pobraniem kolejnego wycofanego pliku binarnego.