Brána Juniper alebo Pulse: ktorý protokol OpenConnect použiť

Vybrať protokol pre OpenConnect je cvičenie v párovaní, nie hľadanie značky. Brána, ktorá na prihlasovacej stránke uvádza Juniper, môže ponúkať Network Connect, Pulse alebo oboje, a predvolená hodnota klienta nie je ani jedno z toho. Hádanie stojí neúspešné prihlásenie a ešte horšie vlákno podpory, ktoré obviňuje prihlasovacie údaje z nezhody protokolu. Pred zadaním názvu hostiteľa do profilu overte službu.

OpenConnect nazýva starší protokol nc a novší pulse a oba žijú v tom istom binárnom súbore. Prepínač, ktorý zvolíte, mení prihlasovaciu výmenu, nie smerovanie po úspešnom pripojení.

Dve názvy protokolov zdieľajú jednu históriu produktu

Juniper Network Connect a neskorší klient Pulse Secure sú rôzne protokoly, ktoré jedna rodina zariadení postupom času ponúkala. OpenConnect získal obsluhu nc pre prvý a obsluhu pulse pre druhý. Sú to oddelené cesty kódu s oddelenými formátmi požiadaviek, takže podpora v jednom nič nehovorí o druhom.

Rozdiel je okamžite viditeľný v prihlasovacej konverzácii: koncové body, polia formulára a spôsob, akým klient hlási odmietnutý druhý faktor, sa medzi oboma obsluhami líšia.

Voľba na príkazovom riadku je zmena o jedno slovo: openconnect --protocol=nc vpn.example.com pre Network Connect alebo openconnect --protocol=pulse vpn.example.com pre Pulse. Oba pokusy sú skutočné pokusy o pripojenie, ktoré môžu prekonfigurovať trasy a DNS, preto ich spúšťajte vedome. Nikdy nedávajte heslo na príkazový riadok a nevypínajte kontroly certifikátov, aby ste obišli chybu protokolu, pretože to nezhodu skrýva, namiesto toho, aby ju opravilo. Ak potrebujete vidieť, čo klient posiela, --dump-http-traffic vypíše výmenu, čo zvyčajne určí obsluhu, ktorú brána očakáva.

Zlaďte protokol s tým, čo brána poskytuje

Zariadenie odpovedá len na protokol, pre ktorý je nakonfigurované. Služba iba s Pulse odmietne prihlásenie nc aj s platnými údajmi a stará služba Network Connect nemá koncový bod pulse, na ktorý by odpovedala. Opýtajte sa správcu, ktorý je zapnutý, a ktorého klienta podporujú. Premenované zariadenie, zastaraná wiki stránka a známy webový portál sú všetko slabé dôkazy.

Keď protokol poznáte, potvrďte okolité požiadavky: overenie certifikátom alebo tokenom, výber skupiny overenia a akúkoľvek kontrolu zhody koncového bodu. Tie rozhodujú, či klient z príkazového riadku vôbec môže dokončiť prihlásenie.

Overenie môže otázku vyriešiť skôr ako protokol

Nasadenie môže vyžadovať klientsky certifikát, cestu SAML cez prehliadač alebo kontrolóra hostiteľa, ktorý pred udelením prístupu preverí stroj. Obsluha pulse v OpenConnect dokumentuje limity kompatibility pre niektoré z týchto tokov a obsluha nc má vlastné medzery. Heslo, ktoré funguje v prehliadači, dokazuje, že účet je platný; nedokazuje, že ľubovoľné CLI alebo desktopový doplnok dokáže dokončiť rovnakú postupnosť. Keď je v hre kontrolór hostiteľa, klient potrebuje obalový skript od správcu. Bez neho sa prihlásenie po prvej odpovedi zablokuje a vyzerá ako zlyhanie protokolu, hoci v skutočnosti ide o chýbajúci krok zhody.

Výber skupiny overenia je ďalší častý kameň úrazu, pretože brána s viacerými skupinami očakáva, že klient jednu pomenuje.

Na príkazovom riadku --authgroup="Employees" poskytuje túto voľbu a jej vynechanie môže reláciu umiestniť do predvolenej skupiny, ktorá účet odmietne. S certifikátmi --certificate ukazuje na klientsky certifikát a kľúč a brána potom môže ešte vyžadovať token. Otestujte celú postupnosť raz s podrobným výstupom, než okolo nej čokoľvek zautomatizujete.

Keď desktopové rozhranie voľbu nevie vyjadriť

Grafické rozhrania majú vlastné sady funkcií a starší doplnok môže predchádzať protokolu, ktorý potrebujete. Integrácia OpenConnect v NetworkManageri ukladá voľbu do svojich údajov pripojenia, takže nmcli connection modify "Office VPN" vpn.data "protocol=pulse" môže nastaviť to, čo editor nezobrazuje. Overte, že nainštalovaná verzia doplnku tento kľúč podporuje, skôr než budete predpokladať, že úprava zabrala.

Ak ponuka ponúka iba PPTP alebo L2TP, výber jedného nepremení službu Pulse na tento protokol. Nainštalujte schválenú integráciu namiesto prechodu na to, čo ponuka náhodou uvádza.

Čo zaznamenať, keď prihlásenie stále zlyháva

Zaznamenajte štyri veci: zvolený protokol, verzie klienta a doplnku, očakávaný tok overenia a prvú chybu, ktorá sa vrátila so stavovým kódom, nie s časovým limitom. Táto sada oddeľuje nesprávnu obsluhu od chýbajúceho certifikátu, odmietnutej skupiny overenia alebo zablokovanej kontroly zhody. Podrobný výstup stojí za uchovanie z rovnakého dôvodu, pretože ukazuje požiadavku, ktorá zlyhala, a nie len príznak.

Fungujúci príkaz alebo profil majte pri názve brány, keď sa podarí. Inak ďalší človek, ktorý sa pripojí, zopakuje rovnaký odhad značky proti protokolu.