Prehod Juniper ali Pulse: kateri protokol OpenConnect uporabiti

Izbira protokola za OpenConnect je vaja v ujemanju, ne iskanje blagovne znamke. Prehod, ki na prijavni strani pravi Juniper, lahko izpostavi Network Connect, Pulse ali oba, privzeta vrednost odjemalca pa ni nobeden od njiju. Ugibanje stane neuspešno prijavo in, še huje, nit za podporo, ki krivi poverilnice za neskladje protokola. Preden v profil vnesete ime gostitelja, potrdite storitev.

OpenConnect starejši protokol imenuje nc, novejšega pa pulse, in oba živita v isti binarni datoteki. Izbrana zastavica spremeni izmenjavo pri prijavi, ne usmerjanja po uspešni povezavi.

Imeni protokolov si delita eno zgodovino izdelka

Juniperjev Network Connect in poznejši odjemalec Pulse Secure sta različna protokola, ki jih je ena družina naprav ponujala skozi čas. OpenConnect je dobil obdelovalnik nc za prvega in obdelovalnik pulse za drugega. To so ločene poti kode z ločenimi oblikami zahtev, zato podpora v enem ne pove nič o drugem.

Razlika je takoj vidna v pogovoru pri prijavi: končne točke, polja obrazca in način, kako odjemalec poroča o zavrnjenem drugem dejavniku, se med obdelovalnikoma razlikujejo.

Izbira v ukazni vrstici je sprememba ene besede: openconnect --protocol=nc vpn.example.com za Network Connect ali openconnect --protocol=pulse vpn.example.com za Pulse. Oba poskusa sta resnična poskusa povezave, ki lahko znova konfigurirata poti in DNS, zato ju izvedite zavestno. Nikoli ne postavite gesla v ukazno vrstico in ne izklopite preverjanja potrdil, da bi obšli napako protokola, ker to neskladje skrije, namesto da bi ga odpravilo. Če morate videti, kaj odjemalec pošilja, --dump-http-traffic izpiše izmenjavo, kar običajno prepozna obdelovalnik, ki ga prehod pričakuje.

Protokol uskladite s tem, kar prehod izpostavi

Naprava odgovarja samo na protokol, za katerega je konfigurirana. Storitev samo s Pulseom zavrne prijavo nc tudi z veljavnimi poverilnicami, stara storitev Network Connect pa nima končne točke pulse, ki bi odgovorila. Vprašajte skrbnika, kateri je omogočen, in kateri odjemalec podpirajo. Preimenovana naprava, zastarela wikistran in znan spletni portal so vsi šibki dokazi.

Ko protokol poznate, potrdite okoliške zahteve: preverjanje s potrdilom ali žetonom, izbiro skupine za preverjanje in vsako preverjanje skladnosti končne točke. Te odločijo, ali lahko odjemalec iz ukazne vrstice prijavo sploh dokonča.

Preverjanje lahko vprašanje reši pred protokolom

Uvedba lahko zahteva odjemalsko potrdilo, krog SAML skozi brskalnik ali preverjevalnik gostitelja, ki pregleda stroj pred odobritvijo dostopa. Obdelovalnik pulse v OpenConnect dokumentira omejitve združljivosti za nekatere od teh tokov, obdelovalnik nc pa ima svoje vrzeli. Geslo, ki deluje v brskalniku, dokazuje, da je račun veljaven; ne dokazuje, da lahko poljuben CLI ali namizni vtičnik dokonča isto zaporedje. Ko je v igri preverjevalnik gostitelja, odjemalec potrebuje ovojno skripto, ki jo zagotovi skrbnik. Brez nje se prijava po prvem odgovoru ustavi in je videti kot okvara protokola, čeprav v resnici manjka korak skladnosti.

Izbira skupine za preverjanje je druga pogosta ovira, ker prehod z več skupinami pričakuje, da odjemalec eno imenuje.

V ukazni vrstici --authgroup="Employees" zagotovi to izbiro, njeno izpuščanje pa lahko sejo postavi v privzeto skupino, ki račun zavrne. S potrdili --certificate kaže na odjemalsko potrdilo in ključ, prehod pa lahko pozneje še vedno zahteva žeton. Celotno zaporedje enkrat preizkusite s podrobnim izhodom, preden karkoli okoli njega avtomatizirate.

Ko namizni vmesnik izbire ne more izraziti

Grafični vmesniki prinašajo svoje nabore funkcij, starejši vtičnik pa je lahko starejši od protokola, ki ga potrebujete. Integracija OpenConnect v NetworkManagerju shrani izbiro v svojih podatkih povezave, zato lahko nmcli connection modify "Office VPN" vpn.data "protocol=pulse" nastavi tisto, česar urejevalnik ne prikaže. Preverite, ali nameščena različica vtičnika podpira ta ključ, preden domnevate, da je sprememba začela veljati.

Če meni ponuja samo PPTP ali L2TP, izbira enega ne spremeni storitve Pulse v ta protokol. Namestite odobreno integracijo, namesto da preklopite na to, kar meni slučajno navaja.

Kaj zabeležiti, ko prijava še vedno ne uspe

Zabeležite štiri stvari: izbrani protokol, različici odjemalca in vtičnika, pričakovani tok preverjanja in prvo napako, ki se je vrnila s statusno kodo, ne s časovno omejitvijo. Ta nabor loči napačen obdelovalnik od manjkajočega potrdila, zavrnjene skupine za preverjanje ali blokiranega preverjanja skladnosti. Podroben izhod je vredno shraniti iz istega razloga, ker prikaže neuspešno zahtevo in ne le simptoma.

Delujoči ukaz ali profil imejte ob imenu prehoda, ko uspe. Sicer bo naslednja oseba, ki se poveže, ponovila isto ugibanje blagovne znamke proti protokolu.