Utfasade VPN-klienter: identifiera gateway-protokollet först

Installationsprogram för VPN-klienter som nådde slutet av sin livstid för år sedan körs fortfarande, frågar fortfarande efter en profil och slutför sedan en inloggning som aldrig släpper igenom ett enda paket. Maskinen är aktuell och uppgifterna stämmer, ändå är gatewayen samma enhet som företaget köpte för ett decennium sedan. Att byta ut klienten är rätt drag, men först när du vet vilket protokoll den gatewayen publicerar. De fyra utfasade klienterna i det här hörnet talar inte samma.

Varför varumärket inte avslöjar protokollet

En enhetsfamilj kan avsluta flera fjärråtkomstprotokoll, och marknadsnamnet på lådan säger ingenting om vilket ditt konto använder. Cisco-utrustning har samtidigt burit IPsec med XAuth och SSL VPN via AnyConnect; SonicWall-lådor erbjuder Global VPN Client över IPsec och NetExtender över SSL VPN; Juniper-installationer kan exponera Network Connect eller det nyare Pulse-protokollet. Att installera den efterföljare som ser mest modern ut är gissning. Fel gissning misslyckas antingen med att ansluta eller autentiserar in i en session som inte bär någon trafik.

Att en portalsida läses in i en webbläsare bevisar att en webbtjänst svarar, inte att en viss klient kommer att förhandla med den. Behandla det som två skilda fakta.

Fråga gatewayen vad den talar

Det billigaste sättet att begränsa alternativen är att läsa vad slutpunkten returnerar och sedan namnge ett protokoll uttryckligen när du provar en klient. Inget av stegen ändrar något på servern.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Svarshuvuden och inloggningsvägen visar om det finns en SSL VPN-portal på den adressen, vilket pekar på AnyConnect, NetExtender eller Pulse snarare än på en IPsec-klient. openconnect lägger protokollvalet på kommandoraden, så ett misslyckande namnger ett protokoll i stället för en produkt; byt till --protocol=npulse när installationen är Juniper. Stanna vid den första uppmaningen som ber om uppgifter du inte har fått, eftersom en fungerande tunnel fortfarande behöver ett godkänt konto. Anteckna protokollet och vägen i ändringsärendet för nästa maskin.

Väg fyra kandidater för utbyte

Fyra vägar täcker nästan alla fall, och de är inte utbytbara. En efterföljare från leverantören är den stödda vägen när organisationen äger gatewayen och kommer att licensiera den. OpenConnect är den praktiska öppna klienten, eftersom den talar AnyConnect, Network Connect och Pulse när du namnger protokollet i stället för att låta den gissa.

strongSwan hanterar fallet IPsec med XAuth för organisationer som tillåter tredjepartsklienter, och det kringgår den övergivna Cisco IPsec-koden helt. Shrew Soft-klienten fortsätter att läsa Cisco-profilfiler och körs på vissa Windows-byggen, men dess senaste utgåva var 2013. Behandla den som en tillfällig lösning medan en stödd väg ordnas.

Välj mellan reparation och utbyte

Vissa fel är lokala: ett saknat bibliotek, en föråldrad virtuell adapter eller ett installationsprogram som behöver leverantörens reparationsalternativ. De är ett försök värda så länge klienten stöds, eftersom de kostar minuter. Beräkningen ändras när binären är utanför support och brottet kom med en uppgradering av operativsystemet, eftersom reglerna för drivrutinssignering och kärnutvidgningar har ändrats sedan dessa klienter skrevs. En klient som ansluter medan tunnelräknaren visar noll etablerade sessioner är vanligtvis förbi reparation, inte en ominstallation bort.

Håll den gamla klienten installerad precis så länge att du kan exportera dess profil, ta sedan bort den. Två VPN-klienter som konkurrerar om samma rutter ger symtom som inte liknar någon av dem.

Skriv ordningen i ärendet: protokoll och godkänd klient från ägaren, en stödd efterföljare om den installeras, en öppen klient testad på en enda maskin om inte, och en stödd åtkomstväg om ingen av dem fungerar. Den ordningen hindrar nästa person från att ladda ner ännu en utfasade binär.