Clienți VPN retrași: identificați mai întâi protocolul gateway-ului

Instalatoarele clienților VPN care au ajuns la sfârșitul vieții acum ani încă rulează, încă cer un profil și apoi finalizează o autentificare care nu lasă niciodată un pachet să treacă. Mașina este actuală și datele de autentificare sunt corecte, totuși gateway-ul este același echipament pe care compania l-a cumpărat acum un deceniu. Înlocuirea clientului este mișcarea corectă, dar numai după ce știți ce protocol publică acel gateway. Cei patru clienți retrași din acest colț nu vorbesc același.

De ce numele mărcii nu spune protocolul

O familie de echipamente poate termina mai multe protocoale de acces la distanță, iar numele de marketing de pe cutie nu spune nimic despre care dintre ele este folosit de contul dumneavoastră. Echipamentul Cisco a transportat simultan IPsec cu XAuth și SSL VPN prin AnyConnect; cutiile SonicWall oferă Global VPN Client peste IPsec și NetExtender peste SSL VPN; instalările Juniper pot expune Network Connect sau protocolul Pulse mai nou. Instalarea succesorului care pare cel mai modern este o ghicire. Ghicirea greșită fie nu se conectează, fie autentifică într-o sesiune care nu transportă trafic.

Încărcarea unei pagini de portal în browser dovedește că un serviciu web răspunde, nu că un anumit client va negocia cu el. Tratați acestea ca două fapte separate.

Întrebați gateway-ul ce limbă vorbește

Cea mai ieftină modalitate de a restrânge opțiunile este să citiți ce returnează punctul final, apoi să numiți explicit un protocol când încercați un client. Niciunul dintre cei doi pași nu schimbă nimic pe server.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Antetele răspunsului și calea de autentificare arată dacă există un portal SSL VPN la acea adresă, ceea ce indică AnyConnect, NetExtender sau Pulse și nu un client IPsec. openconnect pune alegerea protocolului pe linia de comandă, așa că o eroare numește un protocol, nu un produs; înlocuiți-l cu --protocol=npulse când implementarea este Juniper. Opriți-vă la prima solicitare de date de autentificare care nu v-au fost emise, pentru că un tunel funcțional are totuși nevoie de un cont aprobat. Notați protocolul și calea în tichetul de modificare pentru următoarea mașină.

Cântăriți patru candidați la înlocuire

Patru căi acoperă aproape fiecare caz și nu sunt interschimbabile. Un succesor al furnizorului este calea acceptată când organizația deține gateway-ul și intenționează să îl licențieze. OpenConnect este clientul deschis practic, pentru că vorbește AnyConnect, Network Connect și Pulse când numiți protocolul în loc să îl lăsați să ghicească.

strongSwan tratează cazul IPsec cu XAuth pentru organizațiile care permit clienți terți și ocolește complet codul IPsec abandonat al Cisco. Clientul Shrew Soft continuă să citească fișiere de profil Cisco și rulează pe unele versiuni Windows, dar ultima sa lansare a fost în 2013. Tratați-l ca soluție temporară până când este organizată o cale acceptată.

Decideți între reparare și înlocuire

Unele defecțiuni sunt locale: o bibliotecă lipsă, un adaptor virtual învechit sau un instalator care are nevoie de opțiunea de reparare a furnizorului. Merită o încercare cât timp clientul este acceptat, pentru că durează minute. Calculul se schimbă când binarul este în afara suportului și defecțiunea a venit cu o actualizare a sistemului de operare, deoarece regulile de semnare a driverelor și de extindere a kernelului s-au schimbat de când au fost scrise aceste clienturi. Un client care se conectează în timp ce contorul tunelului arată zero sesiuni stabilite este de obicei dincolo de reparare, nu la o reinstalare distanță.

Țineți clientul vechi instalat doar cât timp este nevoie pentru a-i exporta profilul, apoi eliminați-l. Doi clienți VPN care concurează pentru aceleași rute produc simptome care nu seamănă cu niciunul dintre ei.

Scrieți ordinea în tichet: protocol și client aprobat de proprietar, un succesor acceptat dacă se instalează, un client deschis testat pe o singură mașină dacă nu, și o cale de acces acceptată dacă niciunul nu funcționează. Acea secvență împiedică următoarea persoană să descarce încă un binar retras.