Порта Juniper или Pulse: који OpenConnect протокол користити

Избор протокола за OpenConnect је вежба упаривања, а не тражење бренда. Порта која на страници за пријаву пише Juniper може изложити Network Connect, Pulse или обоје, а подразумевана вредност клијента није ниједно од тога. Погађање кошта неуспешну пријаву и, још горе, нит подршке која окривљује акредитиве за неслагање протокола. Потврдите услугу пре него што у профил унесете име домаћина.

OpenConnect старији протокол назива nc, а новији pulse, и оба живе у истој бинарној датотеци. Заставица коју изаберете мења размену при пријави, не усмеравање после успешног повезивања.

Два назива протокола деле једну историју производа

Network Connect компаније Juniper и каснији клијент Pulse Secure су различити протоколи које је једна породица уређаја излагала током времена. OpenConnect је добио nc обрађивач за први и pulse обрађивач за други. То су одвојени путеви кода са одвојеним форматима захтева, па подршка у једном не говори ништа о другом.

Разлика се одмах види у разговору при пријави: крајње тачке, поља обрасца и начин на који клијент пријављује одбијени други фактор разликују се између два обрађивача.

Избор у командној линији је промена од једне речи: openconnect --protocol=nc vpn.example.com за Network Connect или openconnect --protocol=pulse vpn.example.com за Pulse. Оба покушаја су стварни покушаји повезивања који могу поново да конфигуришу руте и DNS, па их изводите намерно. Никада не стављајте лозинку у командну линију и не искључујте проверу сертификата да бисте заобишли грешку протокола, јер то крије неслагање уместо да га поправи. Ако треба да видите шта клијент шаље, --dump-http-traffic штампа размену, што обично идентификује обрађивач који порта очекује.

Ускладите протокол са оним што порта излаже

Уређај одговара само на протокол за који је конфигурисан. Услуга само са Pulse-ом одбија nc пријаву чак и са важећим акредитивима, а стара услуга Network Connect нема pulse крајњу тачку да одговори. Питајте администратора која је омогућена и који клијент подржавају. Преименован уређај, застарела вики страница и познати веб портал су сви слаби докази.

Када знате протокол, потврдите околне захтеве: проверу сертификата или токена, избор auth групе и сваку проверу усклађености крајње тачке. Оне одлучују може ли клијент командне линије уопште да заврши пријаву.

Провера идентитета може да реши питање пре протокола

Постављање може да захтева клијентски сертификат, SAML круг кроз прегледач или проверавач домаћина који прегледа машину пре давања приступа. OpenConnect-ов pulse обрађивач документује ограничења компатибилности за неке од тих токова, а nc обрађивач има сопствене празнине. Лозинка која ради у прегледачу доказује да је налог важећи; не доказује да произвољни CLI или десктоп додатак може да заврши исти след. Када је у игри проверавач домаћина, клијенту треба омотана скрипта коју даје администратор. Без ње пријава стаје после првог одговора и изгледа као квар протокола, а заправо је недостајући корак усклађености.

Избор auth групе је друга честа препрека, јер порта са неколико група очекује да клијент једну именује.

У командној линији --authgroup="Employees" даје тај избор, а његово изостављање може да смести сесију у подразумевану групу која одбија налог. Са сертификатима --certificate показује на клијентски сертификат и кључ, а порта после тога ипак може да тражи токен. Тестирајте цео след једном са детаљним излазом пре него што било шта око њега аутоматизујете.

Када десктоп интерфејс не може да изрази избор

Графички интерфејси носе своје скупове функција, а старији додатак може бити пре протокола који вам треба. Интеграција OpenConnect у NetworkManager-у чува избор у својим подацима везе, па nmcli connection modify "Office VPN" vpn.data "protocol=pulse" може да постави оно што уредник не приказује. Проверите да ли инсталирана верзија додатка подржава тај кључ пре него што претпоставите да је измена ступила на снагу.

Ако мени нуди само PPTP или L2TP, избор једног не претвара Pulse услугу у тај протокол. Инсталирајте одобрену интеграцију уместо да пређете на оно што мени случајно наводи.

Шта забележити када пријава и даље не успева

Забележите четири ствари: протокол који сте изабрали, верзије клијента и додатка, очекивани ток провере идентитета и прву грешку која се вратила са статусним кодом, а не са истеком времена. Тај скуп раздваја погрешан обрађивач од сертификата који недостаје, одбијене auth групе или блокиране провере усклађености. Детаљни излаз вреди сачувати из истог разлога, јер показује захтев који је пао, а не само симптом.

Држите радну команду или профил поред имена порте када успе. Иначе ће следећа особа која се повеже поновити исто погађање бренда наспрам протокола.