Шлюз Juniper або Pulse: який протокол OpenConnect використовувати

Вибір протоколу для OpenConnect — це вправа зі зіставлення, а не пошук бренду. Шлюз, який на сторінці входу каже Juniper, може надавати Network Connect, Pulse або обидва, а типове значення клієнта — жодне з них. Здогадка коштує невдалого входу і, що гірше, гілки підтримки, яка звинувачує облікові дані в невідповідності протоколу. Підтвердьте службу, перш ніж вводити ім'я хоста в профіль.

OpenConnect називає старіший протокол nc, а новіший pulse, і обидва живуть в одному двійковому файлі. Вибраний прапорець змінює обмін під час входу, а не маршрутизацію після успішного підключення.

Дві назви протоколів поділяють одну історію продукту

Network Connect від Juniper і пізніший клієнт Pulse Secure — це різні протоколи, які одне сімейство пристроїв пропонувало з часом. OpenConnect отримав обробник nc для першого й обробник pulse для другого. Це окремі шляхи коду з окремими форматами запитів, тому підтримка в одному нічого не каже про інший.

Різниця одразу видна в розмові під час входу: кінцеві точки, поля форми й те, як клієнт повідомляє про відхилений другий фактор, відрізняються між двома обробниками.

Вибір у командному рядку — це зміна на одне слово: openconnect --protocol=nc vpn.example.com для Network Connect або openconnect --protocol=pulse vpn.example.com для Pulse. Обидві спроби — справжні спроби підключення, які можуть переналаштувати маршрути й DNS, тому виконуйте їх свідомо. Ніколи не розміщуйте пароль у командному рядку й не вимикайте перевірки сертифікатів, щоб обійти помилку протоколу, бо це приховує невідповідність, а не виправляє її. Якщо потрібно побачити, що надсилає клієнт, --dump-http-traffic друкує обмін, що зазвичай визначає обробник, якого очікує шлюз.

Узгодьте протокол із тим, що пропонує шлюз

Пристрій відповідає лише на той протокол, для якого налаштований. Служба лише з Pulse відхиляє вхід nc навіть із чинними обліковими даними, а стара служба Network Connect не має кінцевої точки pulse, яка б відповіла. Запитайте адміністратора, який увімкнено і який клієнт вони підтримують. Перейменований пристрій, застаріла сторінка wiki і знайомий вебпортал — усі це слабкі докази.

Коли протокол відомий, підтвердьте супутні вимоги: автентифікацію за сертифікатом або токеном, вибір групи автентифікації та будь-яку перевірку відповідності кінцевої точки. Вони вирішують, чи зможе клієнт командного рядка взагалі завершити вхід.

Автентифікація може вирішити питання раніше за протокол

Розгортання може вимагати клієнтського сертифіката, проходу SAML через браузер або перевіряча хоста, який оглядає машину перед наданням доступу. Обробник pulse у OpenConnect документує обмеження сумісності для деяких із цих потоків, а обробник nc має власні прогалини. Пароль, що працює в браузері, доводить, що обліковий запис чинний; він не доводить, що довільний CLI чи настільний плагін може пройти ту саму послідовність. Коли задіяний перевіряч хоста, клієнту потрібен скрипт-обгортка від адміністратора. Без нього вхід застрягає після першої відповіді й виглядає як збій протоколу, хоча насправді це відсутній крок відповідності.

Вибір групи автентифікації — інша поширена перешкода, бо шлюз із кількома групами очікує, що клієнт назве одну.

У командному рядку --authgroup="Employees" задає цей вибір, а його пропуск може помістити сеанс у групу за замовчуванням, яка відхиляє обліковий запис. Із сертифікатами --certificate вказує на клієнтський сертифікат і ключ, і шлюз може після цього все ще вимагати токен. Перевірте всю послідовність один раз із докладним виводом, перш ніж щось навколо неї автоматизувати.

Коли настільний інтерфейс не може виразити вибір

Графічні інтерфейси мають власні набори функцій, і старий плагін може бути старшим за потрібний вам протокол. Інтеграція OpenConnect у NetworkManager зберігає вибір у даних з'єднання, тож nmcli connection modify "Office VPN" vpn.data "protocol=pulse" може задати те, чого не показує редактор. Перевірте, чи встановлена версія плагіна підтримує цей ключ, перш ніж вважати, що зміна набула чинності.

Якщо меню пропонує лише PPTP або L2TP, вибір одного з них не перетворює службу Pulse на цей протокол. Установіть схвалену інтеграцію замість переходу на те, що меню випадково перелічує.

Що записувати, коли вхід досі не вдається

Запишіть чотири речі: вибраний протокол, версії клієнта й плагіна, очікуваний потік автентифікації та першу помилку, що повернулася з кодом стану, а не з тайм-аутом. Цей набір відокремлює неправильний обробник від відсутнього сертифіката, відхиленої групи автентифікації або заблокованої перевірки відповідності. Докладний вивід варто зберігати з тієї ж причини, бо він показує невдалий запит, а не лише симптом.

Тримайте робочу команду або профіль поруч із назвою шлюзу, коли все вдасться. Інакше наступний, хто підключатиметься, повторить ту саму здогадку бренду проти протоколу.