ปลดระวางไคลเอนต์ VPN: ระบุโปรโตคอลของเกตเวย์ก่อน

ตัวติดตั้งไคลเอนต์ VPN ที่สิ้นสุดอายุการใช้งานเมื่อหลายปีก่อนยังคงทำงาน ยังคงขอโปรไฟล์ แล้วก็จบการเข้าสู่ระบบที่ไม่เคยส่งแพ็กเก็ตใดผ่านไปเลย เครื่องเป็นรุ่นใหม่และข้อมูลรับรองถูกต้อง แต่เกตเวย์ก็ยังเป็นอุปกรณ์ตัวเดียวกับที่บริษัทซื้อเมื่อสิบปีก่อน การเปลี่ยนไคลเอนต์เป็นขั้นตอนที่ถูกต้อง แต่ต้องรู้ก่อนว่าเกตเวย์นั้นประกาศใช้โปรโตคอลใด ไคลเอนต์ที่ปลดระวางทั้งสี่ตัวในมุมนี้ไม่ได้พูดโปรโตคอลเดียวกัน

ทำไมชื่อแบรนด์จึงไม่บอกโปรโตคอล

ตระกูลอุปกรณ์หนึ่งสามารถยุติโปรโตคอลการเข้าถึงระยะไกลได้หลายแบบ และชื่อทางการตลาดบนกล่องไม่ได้บอกอะไรเลยว่าบัญชีของคุณใช้ตัวไหน อุปกรณ์ Cisco เคยรองรับทั้ง IPsec กับ XAuth และ SSL VPN ผ่าน AnyConnect พร้อมกัน กล่อง SonicWall มี Global VPN Client บน IPsec และ NetExtender บน SSL VPN การติดตั้ง Juniper อาจเปิดให้ใช้ Network Connect หรือโปรโตคอล Pulse ที่ใหม่กว่า การติดตั้งตัวแทนที่ดูทันสมัยที่สุดคือการเดา การเดาผิดจะเชื่อมต่อไม่ได้หรือยืนยันตัวตนเข้าสู่เซสชันที่ไม่มีการรับส่งข้อมูลเลย

การที่หน้าเว็บพอร์ทัลโหลดในเบราว์เซอร์พิสูจน์ว่าบริการเว็บตอบสนอง ไม่ใช่พิสูจน์ว่าไคลเอนต์ตัวใดตัวหนึ่งจะเจรจากับบริการนั้น ให้ถือสองเรื่องนี้เป็นข้อเท็จจริงแยกกัน

ถามเกตเวย์ว่ามันพูดอะไร

วิธีที่ถูกที่สุดในการจำกัดตัวเลือกคืออ่านว่าปลายทางส่งอะไรกลับมา แล้วระบุชื่อโปรโตคอลอย่างชัดเจนเมื่อลองไคลเอนต์ ทั้งสองขั้นตอนไม่เปลี่ยนอะไรบนเซิร์ฟเวอร์

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

ส่วนหัวการตอบสนองและเส้นทางการเข้าสู่ระบบแสดงว่ามีพอร์ทัล SSL VPN ที่ที่อยู่นั้นหรือไม่ ซึ่งชี้ไปที่ AnyConnect, NetExtender หรือ Pulse ไม่ใช่ไคลเอนต์ IPsec openconnect วางการเลือกโปรโตคอลไว้บนบรรทัดคำสั่ง ความล้มเหลวจึงระบุชื่อโปรโตคอลแทนที่จะระบุผลิตภัณฑ์ เปลี่ยนเป็น --protocol=npulse เมื่อการติดตั้งเป็น Juniper หยุดที่ข้อความแรกที่ขอข้อมูลรับรองที่คุณไม่ได้รับ เพราะอุโมงค์ที่ทำงานได้ยังต้องใช้บัญชีที่ได้รับอนุมัติ บันทึกโปรโตคอลและเส้นทางไว้ในตั๋วเปลี่ยนแปลงสำหรับเครื่องถัดไป

ชั่งน้ำหนักตัวแทนสี่ทางเลือก

สี่เส้นทางครอบคลุมเกือบทุกกรณี และใช้แทนกันไม่ได้ ตัวแทนจากผู้ขายคือเส้นทางที่ได้รับการสนับสนุนเมื่อองค์กรเป็นเจ้าของเกตเวย์และจะให้สิทธิ์การใช้งาน OpenConnect เป็นไคลเอนต์โอเพนซอร์สที่ใช้ได้จริง เพราะมันพูด AnyConnect, Network Connect และ Pulse เมื่อคุณระบุชื่อโปรโตคอลแทนที่จะปล่อยให้เดา

strongSwan จัดการกรณี IPsec กับ XAuth สำหรับองค์กรที่อนุญาตไคลเอนต์จากบุคคลที่สาม และหลีกเลี่ยงโค้ด Cisco IPsec ที่ถูกทิ้งไปแล้วทั้งหมด ไคลเอนต์ Shrew Soft ยังอ่านไฟล์โปรไฟล์ Cisco และทำงานบน Windows บางรุ่น แต่รุ่นล่าสุดออกในปี 2013 ให้ถือเป็นทางออกชั่วคราวระหว่างรอเส้นทางที่ได้รับการสนับสนุน

ตัดสินใจระหว่างซ่อมกับเปลี่ยน

ความล้มเหลวบางอย่างเป็นเรื่องภายในเครื่อง ได้แก่ ไลบรารีที่หายไป อะแดปเตอร์เสมือนที่ล้าสมัย หรือตัวติดตั้งที่ต้องใช้ตัวเลือกการซ่อมของผู้ขาย สิ่งเหล่านี้คุ้มค่าที่จะลองหนึ่งครั้งตราบใดที่ไคลเอนต์ยังได้รับการสนับสนุน เพราะใช้เวลาเพียงไม่กี่นาที การคำนวณจะเปลี่ยนไปเมื่อไบนารีอยู่นอกการสนับสนุนและความเสียหายมาพร้อมกับการอัปเกรดระบบปฏิบัติการ เนื่องจากกฎการลงนามไดรเวอร์และส่วนขยายเคอร์เนลเปลี่ยนไปตั้งแต่ไคลเอนต์เหล่านี้ถูกเขียนขึ้น ไคลเอนต์ที่เชื่อมต่อได้ในขณะที่ตัวนับอุโมงค์แสดงศูนย์เซสชันที่สร้างขึ้นมักจะเลยการซ่อมไปแล้ว ไม่ใช่ห่างจากการติดตั้งใหม่เพียงครั้งเดียว

ติดตั้งไคลเอนต์เก่าไว้เพียงพอที่จะส่งออกโปรไฟล์ แล้วถอดออก ไคลเอนต์ VPN สองตัวที่แย่งเส้นทางเดียวกันทำให้เกิดอาการที่ไม่เหมือนทั้งสองตัว

เขียนลำดับลงในตั๋ว: โปรโตคอลและไคลเอนต์ที่ได้รับอนุมัติจากเจ้าของ ตัวแทนที่ได้รับการสนับสนุนถ้าติดตั้งได้ ไคลเอนต์โอเพนซอร์สหนึ่งตัวที่ทดสอบบนเครื่องเดียวถ้าติดตั้งไม่ได้ และเส้นทางการเข้าถึงที่ได้รับการสนับสนุนถ้าไม่สำเร็จทั้งสองทาง ลำดับนี้กันไม่ให้คนถัดไปดาวน์โหลดไบนารีที่ปลดระวางอีกตัว