Cổng Juniper hoặc Pulse: dùng giao thức OpenConnect nào

Chọn giao thức cho OpenConnect là bài tập ghép cặp, không phải tra cứu thương hiệu. Một cổng ghi Juniper trên trang đăng nhập có thể cung cấp Network Connect, Pulse hoặc cả hai, và giá trị mặc định của máy khách không phải cái nào trong số đó. Đoán mò tốn một lần đăng nhập thất bại và, tệ hơn, một luồng hỗ trợ đổ lỗi cho thông tin đăng nhập vì sự không khớp giao thức. Xác nhận dịch vụ trước khi gõ tên máy chủ vào hồ sơ.

OpenConnect gọi giao thức cũ là nc và giao thức mới là pulse, và cả hai nằm trong cùng một tệp nhị phân. Cờ bạn chọn thay đổi trao đổi đăng nhập, không phải định tuyến sau khi kết nối thành công.

Hai tên giao thức chia sẻ một lịch sử sản phẩm

Network Connect của Juniper và máy khách Pulse Secure sau này là các giao thức khác nhau mà một họ thiết bị đã cung cấp theo thời gian. OpenConnect phát triển trình xử lý nc cho cái đầu và trình xử lý pulse cho cái sau. Chúng là các đường mã riêng với định dạng yêu cầu riêng, nên hỗ trợ ở cái này không nói gì về cái kia.

Sự khác biệt hiện ra ngay trong cuộc trò chuyện đăng nhập: điểm cuối, trường biểu mẫu và cách máy khách báo cáo yếu tố thứ hai bị từ chối đều khác nhau giữa hai trình xử lý.

Chọn trên dòng lệnh là thay đổi một từ: openconnect --protocol=nc vpn.example.com cho Network Connect, hoặc openconnect --protocol=pulse vpn.example.com cho Pulse. Cả hai lần thử đều là lần thử kết nối thật có thể cấu hình lại tuyến và DNS, nên hãy chạy chúng có chủ đích. Không bao giờ đặt mật khẩu trên dòng lệnh hay tắt kiểm tra chứng chỉ để vượt qua lỗi giao thức, vì điều đó che giấu sự không khớp thay vì sửa nó. Nếu cần xem máy khách gửi gì, --dump-http-traffic in ra trao đổi, thường nhận diện trình xử lý mà cổng mong đợi.

Khớp giao thức với những gì cổng cung cấp

Thiết bị chỉ trả lời giao thức mà nó được cấu hình. Dịch vụ chỉ Pulse từ chối đăng nhập nc ngay cả với thông tin đăng nhập hợp lệ, và dịch vụ Network Connect cũ không có điểm cuối pulse để trả lời. Hỏi quản trị viên cái nào được bật và họ hỗ trợ máy khách nào. Một thiết bị đổi tên, một trang wiki lỗi thời và một cổng web quen thuộc đều là bằng chứng yếu.

Khi đã biết giao thức, hãy xác nhận các yêu cầu xung quanh: xác thực bằng chứng chỉ hoặc token, chọn nhóm auth và mọi kiểm tra tuân thủ điểm cuối. Những điều đó quyết định liệu máy khách dòng lệnh có thể hoàn tất đăng nhập hay không.

Xác thực có thể giải quyết câu hỏi trước giao thức

Một triển khai có thể yêu cầu chứng chỉ máy khách, một vòng SAML qua trình duyệt hoặc trình kiểm tra máy chủ xem xét máy trước khi cấp quyền truy cập. Trình xử lý pulse của OpenConnect ghi lại giới hạn tương thích cho một số luồng này, và trình xử lý nc có lỗ hổng riêng. Mật khẩu hoạt động trong trình duyệt chứng minh tài khoản hợp lệ; nó không chứng minh rằng một CLI hay plugin máy tính để bàn tùy ý có thể hoàn tất cùng chuỗi. Khi có trình kiểm tra máy chủ, máy khách cần một script bọc do quản trị viên cung cấp. Không có nó, đăng nhập dừng sau phản hồi đầu tiên và trông như lỗi giao thức trong khi thực ra là thiếu một bước tuân thủ.

Chọn nhóm auth là điểm vấp thường gặp khác, vì cổng có nhiều nhóm mong máy khách nêu tên một nhóm.

Trên dòng lệnh, --authgroup="Employees" cung cấp lựa chọn đó, và bỏ qua nó có thể đưa phiên vào nhóm mặc định từ chối tài khoản. Với chứng chỉ, --certificate trỏ tới chứng chỉ và khóa của máy khách, và cổng có thể vẫn yêu cầu token sau đó. Hãy thử toàn bộ chuỗi một lần với đầu ra chi tiết trước khi tự động hóa bất cứ thứ gì quanh nó.

Khi giao diện máy tính để bàn không thể diễn đạt lựa chọn

Giao diện đồ họa mang bộ tính năng riêng, và plugin cũ hơn có thể có trước giao thức bạn cần. Tích hợp OpenConnect của NetworkManager lưu lựa chọn trong dữ liệu kết nối, nên nmcli connection modify "Office VPN" vpn.data "protocol=pulse" có thể đặt thứ mà trình soạn thảo không hiển thị. Kiểm tra phiên bản plugin đã cài có hỗ trợ khóa đó trước khi cho rằng thay đổi đã có hiệu lực.

Nếu menu chỉ cung cấp PPTP hoặc L2TP, chọn một trong hai không biến dịch vụ Pulse thành giao thức đó. Cài tích hợp được phê duyệt thay vì chuyển sang thứ menu tình cờ liệt kê.

Cần ghi lại gì khi đăng nhập vẫn thất bại

Ghi lại bốn thứ: giao thức đã chọn, phiên bản máy khách và plugin, luồng xác thực dự kiến và lỗi đầu tiên trả về kèm mã trạng thái thay vì hết thời gian chờ. Bộ đó tách trình xử lý sai khỏi chứng chỉ thiếu, nhóm auth bị từ chối hoặc kiểm tra tuân thủ bị chặn. Đầu ra chi tiết cũng đáng giữ vì lý do tương tự, vì nó cho thấy yêu cầu đã thất bại chứ không chỉ triệu chứng.

Giữ lệnh hoặc hồ sơ hoạt động bên cạnh tên cổng khi thành công. Nếu không, người tiếp theo kết nối sẽ lặp lại cùng phỏng đoán thương hiệu đối giao thức.