Clientes VPN retirados: identifique primeiro o protocolo do gateway

Os instaladores de clientes VPN que chegaram ao fim da vida há anos ainda correm, ainda pedem um perfil e depois concluem um início de sessão que nunca deixa passar um único pacote. A máquina está atualizada e as credenciais estão certas, mas o gateway é o mesmo equipamento que a empresa comprou há uma década. Substituir o cliente é o movimento certo, mas só depois de saber que protocolo esse gateway publica. Os quatro clientes retirados deste canto não falam o mesmo.

Porque é que o nome da marca não diz o protocolo

Uma família de equipamentos pode terminar vários protocolos de acesso remoto, e o nome comercial na caixa não diz nada sobre qual é que a sua conta usa. O equipamento Cisco transportou ao mesmo tempo IPsec com XAuth e SSL VPN através do AnyConnect; as caixas SonicWall oferecem o Global VPN Client sobre IPsec e o NetExtender sobre SSL VPN; as instalações Juniper podem expor o Network Connect ou o protocolo Pulse mais recente. Instalar o sucessor que parece mais moderno é adivinhar. A suposição errada ou não liga, ou autentica numa sessão que não transporta tráfego.

O carregamento de uma página de portal no navegador prova que um serviço web responde, não que um determinado cliente vai negociar com ele. Trate isto como dois factos separados.

Pergunte ao gateway o que é que ele fala

A forma mais barata de estreitar as opções é ler o que o ponto final devolve e depois nomear explicitamente um protocolo ao experimentar um cliente. Nenhum dos dois passos altera nada no servidor.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Os cabeçalhos de resposta e o caminho de início de sessão mostram se existe um portal SSL VPN nesse endereço, o que aponta para AnyConnect, NetExtender ou Pulse em vez de um cliente IPsec. O openconnect coloca a escolha do protocolo na linha de comandos, por isso uma falha nomeia um protocolo e não um produto; troque-o por --protocol=npulse quando a instalação é Juniper. Pare no primeiro pedido de credenciais que não lhe foram emitidas, porque um túnel a funcionar continua a precisar de uma conta aprovada. Registe o protocolo e o caminho no ticket de alteração para a máquina seguinte.

Pesar quatro candidatos à substituição

Quatro caminhos cobrem quase todos os casos, e não são intercambiáveis. Um sucessor do fabricante é o caminho suportado quando a organização é dona do gateway e o vai licenciar. O OpenConnect é o cliente aberto prático, porque fala AnyConnect, Network Connect e Pulse quando nomeia o protocolo em vez de o deixar adivinhar.

O strongSwan trata do caso IPsec com XAuth para organizações que permitem clientes de terceiros, e contorna por completo o código IPsec abandonado da Cisco. O cliente Shrew Soft continua a ler ficheiros de perfil da Cisco e funciona em algumas compilações do Windows, mas o seu último lançamento foi em 2013. Trate-o como solução provisória enquanto se organiza um caminho suportado.

Decidir entre reparação e substituição

Algumas falhas são locais: uma biblioteca em falta, um adaptador virtual obsoleto ou um instalador que precisa da opção de reparação do fabricante. Valem uma tentativa enquanto o cliente tiver suporte, porque custam minutos. O cálculo muda quando o binário está fora de suporte e a avaria chegou com uma atualização do sistema operativo, uma vez que as regras de assinatura de controladores e de extensões do kernel mudaram desde que estes clientes foram escritos. Um cliente que liga enquanto o contador do túnel mostra zero sessões estabelecidas está geralmente além da reparação, e não a uma reinstalação de distância.

Mantenha o cliente antigo instalado apenas o tempo suficiente para exportar o perfil e depois remova-o. Dois clientes VPN a competir pelas mesmas rotas produzem sintomas que não se parecem com nenhum dos dois.

Escreva a ordem no ticket: protocolo e cliente aprovado pelo proprietário, um sucessor com suporte se instalar, um cliente aberto testado numa única máquina se não, e um caminho de acesso com suporte se nenhum dos dois funcionar. Essa sequência evita que a pessoa seguinte descarregue outro binário retirado.