Juniper- eller Pulse-gateway: vilket OpenConnect-protokoll ska användas

Att välja ett protokoll för OpenConnect är en parningsövning, inte en varumärkessökning. En gateway som säger Juniper på inloggningssidan kan exponera Network Connect, Pulse eller båda, och klientens standardvärde är inget av dem. Gissningar kostar en misslyckad inloggning och, värre, en supporttråd som skyller på inloggningsuppgifterna för en protokollmissmatchning. Bekräfta tjänsten innan du skriver in ett värdnamn i en profil.

OpenConnect kallar det äldre protokollet nc och det nyare pulse, och båda bor i samma binärfil. Flaggan du väljer ändrar inloggningsutbytet, inte routingen efter en lyckad anslutning.

De två protokollnamnen delar en produkthistoria

Junipers Network Connect och den senare Pulse Secure-klienten är olika protokoll som en enhetsfamilj har exponerat över tid. OpenConnect fick en nc-hanterare för den första och en pulse-hanterare för den andra. Det är separata kodvägar med separata förfrågningsformat, så stöd i den ena säger inget om den andra.

Skillnaden syns direkt i inloggningssamtalet: slutpunkter, formulärfält och hur klienten rapporterar en avvisad andra faktor varierar mellan de två hanterarna.

Valet på kommandoraden är en ändring på ett ord: openconnect --protocol=nc vpn.example.com för Network Connect eller openconnect --protocol=pulse vpn.example.com för Pulse. Båda försöken är riktiga anslutningsförsök som kan konfigurera om rutter och DNS, så kör dem medvetet. Lägg aldrig ett lösenord på kommandoraden och stäng inte av certifikatkontroller för att komma förbi ett protokollfel, eftersom det döljer missmatchningen i stället för att åtgärda den. Om du behöver se vad klienten skickar skriver --dump-http-traffic ut utbytet, vilket vanligtvis identifierar den hanterare som gatewayen förväntar sig.

Anpassa protokollet till det gatewayen exponerar

Enheten svarar bara på protokollet den är konfigurerad för. En Pulse-only-tjänst avvisar en nc-inloggning även med giltiga inloggningsuppgifter, och en gammal Network Connect-tjänst har ingen pulse-slutpunkt att svara på. Fråga administratören vilken som är aktiverad och vilken klient de stöder. En enhet med nytt namn, en inaktuell wikisida och en bekant webbportal är alla svaga bevis.

När du känner till protokollet, bekräfta kraven runt omkring: certifikat- eller tokenautentisering, val av auth-grupp och varje slutpunktskontroll av efterlevnad. De avgör om en kommandoradiens klient alls kan slutföra inloggningen.

Autentisering kan avgöra frågan före protokollet

En utrullning kan kräva ett klientcertifikat, en SAML-runda genom en webbläsare eller en värdkontroll som inspekterar maskinen innan åtkomst ges. OpenConnects pulse-hanterare dokumenterar kompatibilitetsgränser för några av dessa flöden, och nc-hanteraren har sina egna luckor. Ett lösenord som fungerar i webbläsaren bevisar att kontot är giltigt; det bevisar inte att ett godtyckligt CLI eller skrivbordsplugin kan slutföra samma sekvens. När en värdkontroll är inblandad behöver klienten ett omslagsskript från administratören. Utan det stannar inloggningen efter det första svaret och ser ut som ett protokollfel när det egentligen är ett saknat efterlevnadssteg.

Val av auth-grupp är den andra vanliga snubbelstenen, eftersom en gateway med flera grupper förväntar sig att klienten namnger en.

På kommandoraden levererar --authgroup="Employees" det valet, och att utelämna det kan landa sessionen i en standardgrupp som avvisar kontot. Med certifikat pekar --certificate på klientcertifikatet och nyckeln, och gatewayen kan fortfarande kräva en token efteråt. Testa hela sekvensen en gång med utförlig utdata innan du automatiserar något runt den.

När skrivbordsgränssnittet inte kan uttrycka valet

Grafiska gränssnitt har sina egna funktionsuppsättningar, och ett äldre plugin kan vara äldre än det protokoll du behöver. NetworkManagers OpenConnect-integration lagrar valet i sina anslutningsdata, så nmcli connection modify "Office VPN" vpn.data "protocol=pulse" kan ange det editorn inte visar. Kontrollera att den installerade pluginversionen stöder nyckeln innan du antar att ändringen trädde i kraft.

Om en meny bara erbjuder PPTP eller L2TP gör valet av en av dem inte en Pulse-tjänst till det protokollet. Installera den godkända integrationen i stället för att byta till det menyn råkar lista.

Vad du ska registrera när inloggningen fortfarande misslyckas

Registrera fyra saker: protokollet du valde, versionerna av klient och plugin, autentiseringsflödet som förväntades och det första felet som kom tillbaka med en statuskod i stället för en timeout. Den uppsättningen skiljer en felaktig hanterare från ett saknat certifikat, en avvisad auth-grupp eller en blockerad efterlevnadskontroll. Utförlig utdata är värd att spara av samma skäl, eftersom den visar förfrågan som misslyckades och inte bara symptomet.

Behåll det fungerande kommandot eller profilen bredvid gateway-namnet när det lyckas. Annars upprepar nästa person som ansluter samma varumärkes-mot-protokoll-gissning.