Vyradení klienti VPN: najprv určte protokol brány

Inštalátory klientov VPN, ktorých podpora sa skončila pred rokmi, stále bežia, stále žiadajú profil a potom dokončia prihlásenie, ktoré nikdy neprepustí ani jeden paket. Počítač je aktuálny a prihlasovacie údaje sú správne, no brána je to isté zariadenie, ktoré firma kúpila pred desaťročím. Výmena klienta je správny krok, ale až keď viete, ktorý protokol tá brána zverejňuje. Štyria vyradení klienti v tomto kúte nehovoria tým istým.

Prečo názov značky neprezradí protokol

Jedna rodina zariadení môže ukončovať viacero protokolov vzdialeného prístupu a marketingový názov na škatuľke nehovorí nič o tom, ktorý používa váš účet. Zariadenia Cisco niesli súčasne IPsec s XAuth a SSL VPN cez AnyConnect; škatule SonicWall ponúkajú Global VPN Client cez IPsec a NetExtender cez SSL VPN; nasadenia Juniper môžu vystaviť Network Connect alebo novší protokol Pulse. Nainštalovať nástupcu, ktorý vyzerá najmodernejšie, je hádanie. Nesprávny tip buď zlyhá pri pripojení, alebo autentizuje reláciu, ktorá neprenáša žiadnu prevádzku.

Načítanie portálovej stránky v prehliadači dokazuje, že webová služba odpovedá, nie že s ňou bude konkrétny klient vyjednávať. Berte to ako dve oddelené fakty.

Opýtajte sa brány, akým protokolom hovorí

Najlacnejší spôsob, ako zúžiť možnosti, je prečítať, čo koncový bod vracia, a potom pri skúšaní klienta protokol výslovne pomenovať. Ani jeden z týchto krokov na serveri nič nemení.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Hlavičky odpovede a cesta prihlásenia ukazujú, či na tej adrese žije portál SSL VPN, čo ukazuje na AnyConnect, NetExtender alebo Pulse a nie na klienta IPsec. openconnect stavia voľbu protokolu na príkazový riadok, takže zlyhanie pomenuje protokol a nie produkt; nahraďte ho za --protocol=npulse, keď je nasadenie Juniper. Zastavte sa pri prvej výzve na prihlasovacie údaje, ktoré ste nedostali, pretože funkčný tunel napriek tomu potrebuje schválený účet. Zapíšte protokol a cestu do zmenového tiketu pre ďalší stroj.

Zvážte štyroch kandidátov na náhradu

Štyri cesty pokrývajú takmer každý prípad a nie sú zameniteľné. Nástupca od dodávateľa je podporovaná cesta, keď organizácia bránu vlastní a bude ju licencovať. OpenConnect je praktický otvorený klient, pretože hovorí AnyConnect, Network Connect a Pulse, keď protokol pomenujete, namiesto toho, aby ste ho nechali hádať.

strongSwan zvláda prípad IPsec s XAuth pre organizácie, ktoré povoľujú klientov tretích strán, a úplne sa vyhýba opustenému kódu Cisco IPsec. Klient Shrew Soft naďalej číta profilové súbory Cisco a beží na niektorých zostaveniach Windows, ale jeho posledné vydanie bolo v roku 2013. Berte ho ako provizórne riešenie, kým sa nezaistí podporovaná cesta.

Rozhodnite sa medzi opravou a výmenou

Niektoré poruchy sú lokálne: chýbajúca knižnica, zastaraný virtuálny adaptér alebo inštalátor, ktorý potrebuje možnosť opravy od dodávateľa. Tie stoja za jeden pokus, kým je klient podporovaný, pretože zaberú minúty. Výpočet sa mení, keď je binárka mimo podpory a porucha prišla s aktualizáciou operačného systému, pretože pravidlá podpisovania ovládačov a rozšírení jadra sa od čias písania týchto klientov zmenili. Klient, ktorý sa pripojí, zatiaľ čo počítadlo tunela ukazuje nula nadviazaných relácií, je zvyčajne za hranicou opravy, nie jednu preinštaláciu ďaleko.

Nechajte starého klienta nainštalovaného len tak dlho, aby ste exportovali jeho profil, a potom ho odstráňte. Dvaja klienti VPN, ktorí súťažia o rovnaké trasy, vytvárajú príznaky, ktoré nepripomínajú ani jedného z nich.

Napíšte do tiketu poradie: protokol a schválený klient od vlastníka, podporovaný nástupca, ak sa nainštaluje, jeden otvorený klient vyskúšaný na jedinom stroji, ak nie, a podporovaná prístupová cesta, ak nefunguje ani jedno. Tento sled zabráni ďalšiemu človeku stiahnuť si ďalšiu vyradenú binárku.