Зняті з підтримки VPN-клієнти: спершу визначте протокол шлюзу

Інсталятори VPN-клієнтів, підтримка яких завершилася роки тому, досі запускаються, досі запитують профіль і потім завершують вхід, який так і не пропускає жодного пакета. Машина сучасна, облікові дані правильні, але шлюз — той самий пристрій, який компанія купила десять років тому. Замінити клієнт — правильний крок, але лише після того, як ви дізнаєтеся, який протокол публікує цей шлюз. Чотири зняті з підтримки клієнти в цьому куті не розмовляють однаково.

Чому назва бренду не повідомляє протокол

Одна родина пристроїв може обслуговувати кілька протоколів віддаленого доступу, а маркетингова назва на коробці нічого не каже про те, який із них використовує ваш обліковий запис. Обладнання Cisco одночасно несло IPsec із XAuth і SSL VPN через AnyConnect; пристрої SonicWall пропонують Global VPN Client поверх IPsec і NetExtender поверх SSL VPN; розгортання Juniper можуть надавати Network Connect або новіший протокол Pulse. Встановлювати наступника, який виглядає найсучаснішим, — це здогад. Помилковий здогад або не дає підключитися, або автентифікує в сеанс, який не несе трафіку.

Завантаження сторінки порталу в браузері доводить, що вебслужба відповідає, а не те, що конкретний клієнт домовлятиметься з нею. Вважайте це двома окремими фактами.

Запитайте шлюз, якою мовою він говорить

Найдешевший спосіб звузити варіанти — прочитати, що повертає кінцева точка, а потім явно назвати протокол, коли пробуєте клієнт. Жоден із кроків нічого не змінює на сервері.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Заголовки відповіді та шлях входу показують, чи є на цій адресі портал SSL VPN, що вказує на AnyConnect, NetExtender або Pulse, а не на клієнт IPsec. openconnect виносить вибір протоколу в командний рядок, тож збій називає протокол, а не продукт; замініть його на --protocol=npulse, коли розгортання — Juniper. Зупиніться на першому запиті облікових даних, які вам не видавали, бо робочому тунелю все одно потрібен схвалений обліковий запис. Запишіть протокол і шлях у заявку на зміну для наступної машини.

Зважте чотири кандидати на заміну

Чотири шляхи покривають майже всі випадки, і вони не взаємозамінні. Наступник від постачальника — це підтримуваний шлях, коли організація володіє шлюзом і збирається його ліцензувати. OpenConnect — практичний відкритий клієнт, бо він говорить AnyConnect, Network Connect і Pulse, коли ви називаєте протокол, замість того щоб дозволити йому вгадувати.

strongSwan обробляє випадок IPsec із XAuth для організацій, які дозволяють сторонні клієнти, і повністю оминає занедбаний код Cisco IPsec. Клієнт Shrew Soft досі читає файли профілів Cisco і працює в деяких збірках Windows, але його останній випуск був 2013 року. Вважайте його тимчасовим рішенням, доки не буде організовано підтримуваний шлях.

Виберіть між ремонтом і заміною

Деякі збої локальні: відсутня бібліотека, застарілий віртуальний адаптер або інсталятор, якому потрібен параметр відновлення від постачальника. Вони варті однієї спроби, поки клієнт підтримується, бо забирають хвилини. Розрахунок змінюється, коли двійковий файл поза підтримкою і поломка прийшла з оновленням операційної системи, адже правила підпису драйверів і розширень ядра змінилися відтоді, як ці клієнти були написані. Клієнт, який підключається, поки лічильник тунелю показує нуль встановлених сеансів, зазвичай уже за межами ремонту, а не за одну переінсталяцію від нього.

Тримайте старий клієнт встановленим рівно стільки, скільки потрібно для експорту профілю, потім видаліть його. Два VPN-клієнти, що конкурують за одні й ті самі маршрути, дають симптоми, не схожі на жоден із них.

Запишіть порядок у заявці: протокол і схвалений клієнт від власника, підтримуваний наступник, якщо він встановлюється, один відкритий клієнт, перевірений на одній машині, якщо ні, і підтримуваний шлях доступу, якщо жоден не працює. Такий порядок не дає наступній людині завантажити ще один знятий з підтримки двійковий файл.