İnteraktiv daxildən sonra OpenConnect-i necə arxa planda işə salmaq olar

MFA sorğusunu bitirirsiniz, tunel qalxır və terminalı bağlamaq bağlantını özü ilə aşağı salır. Bu, autentifikasiya deyil, nəzarət problemidir və OpenConnect artıq bunu həll edən açarı təqdim edir. Düzəliş, başlanğıc bitdikdən və interaktiv hissə həqiqətən sona çatdıqdan sonra müştərinin arxa plana ayrılmasına icazə verməkdir. Aşağıdakılar yoxlamalar ardıcıllığıdır: onları sıra ilə keçin və gateway-inizə uyğun gəlməyən ilk yoxlamada dayanın.

Gateway-in girişdə nə tələb etdiyini təsdiqləyin

Əmr yazmazdan əvvəl yerləşdirmənin tətbiq etdiyi etimad yolu yazın. Yalnız sertifikat, parol üstəgəl token və SAML provayderi vasitəsilə brauzer gedişi bir-birindən fərqli davranır və arxa plan rejimi heç birini keçə bilməz. Seçim başlanğıcdan sonra baş verəni dəyişir, heç vaxt başlanğıc zamanı baş verəni yox.

Cəlbedici işarə sorğunu avtomatlaşdırmaqdır. Parol sorğusunu tanıdıqda sabit cavab yazan örtük, gateway birdəfəlik kod istədiyi anda pozulur və etimad məlumatını başqa hesabların oxuya biləcəyi faylda qoyur. Əgər sessiyanı insan təsdiqləməlidirsə, insanı dövrədə saxlayın.

İlk sessiyanı ön planda işə salın və çıxışı oxuyun

Bir dəfə normal qoşulun və bütün handshake-in çap olunmasına icazə verin. İstifadə olunan protokolu, sertifikat və ya token yolunu, serverin təyin etdiyi tunel ünvanını və bağlantı qəbul edilməzdən əvvəl verilən hər xəbərdarlığı qeyd edin. Həmin transkript sizin baza xəttinizdir və sonradan müştəri problemini gateway dəyişikliyindən ayırmağın yeganə ucuz yoludur. Onu terminal buferindən kənarda saxlayın.

Sonra eyni çağırışı arxa plan rejimi və PID faylı əlavə edərək təkrarlayın, məsələn openconnect --background --pid-file /run/openconnect.pid vpn.example.net, gateway-inizin tələb etdiyi protokol və autentifikasiya seçimlərini eyni sətirdə saxlayaraq. OpenConnect təlimatı bu seçimi başlanğıc tamamlandıqdan sonra arxa planda davam etmək kimi təsvir edir və interaktiv mərhələnin niyə əvvəlcə bitməli olduğu məhz budur.

İşləyən prosesi tapıla bilən və dayandırıla bilən edin

PID faylı yalnız canlı prosesə uyğun olduqda sübutdur. Onu xidmət hesabının sahib olduğu kataloqa qoyun və hər hansı siqnal göndərməzdən əvvəl qeyd olunan nömrəni proses cədvəli ilə müqayisə edin. Yenidən başlatmalar və qəzalar faylı geridə qoyur və köhnəlmiş fayl, tunel hələ qalxarkən dayandırma skriptinin uğur bildirməsinin adi səbəbidir. Yoxlamanı dayandırma prosedurunun hissəsi sayın, istəyə bağlı addım yox.

Təsdiqlənmiş PID-ə siqnal göndərin, sonra çıxış statusuna güvənmək əvəzinə tunel interfeysinin həqiqətən yox olduğunu təsdiqləyin. Əgər müştəri interfeysi konfiqurasiya etmək üçün yüksək imtiyazlara ehtiyac duyursa, siqnal onu göndərməyə icazəsi olan hesabdan gəlməlidir.

Arxa plan rejimini nəzarətçi altında yığmayın

systemd və bənzər nəzarətçilər başlatdıqları prosesə sahib olmağı gözləyir, buna görə uzağa ayrılan müştəri onları çaşdırır. Nəzarətçi başladıcının çıxışını izləyir, real bağlantı isə davam edir, ona görə yenidən başlatma məntiqi, status hesabatı və dayandırma vaxt aşımları artıq doğru olmayan bir şeyi təsvir edir. Vahidi dəstəklənən ön plan quruluşunda yazın və daemon işini nəzarətçiyə buraxın.

--background-i insanın başladıb sonra uzaqlaşdığı sessiyalar üçün saxlayın. Tələb hər kəs daxil olmadan əvvəl mövcud olan tuneldirsə, çatışmayan hissə təsdiqlənmiş qeyri-interaktiv şəxsiyyət və onun yenilənmə planıdır, heç bir əmr sətri bayrağı ikisini də vermir. Bayrağı yükləmə skriptinə əlavə etmək ilk vaxtı keçmiş etimad məlumatında səssizcə uğursuz olan tunel yaradır.

Sessiya kukisini etimad məlumatı kimi qəbul edin

OpenConnect --authenticate vasitəsilə ayrı autentifikasiya mərhələsini sənədləşdirir və nəticədə yaranan material --cookie-on-stdin ilə geri verilə bilər. Bu cüt inteqrasiya işi üçün mövcuddur və yaratdığı şey onu yaradan parol qədər həssasdır.

Dəyəri shell tarixçəsindən, loglardan və açdığınız hər biletdən kənarda saxlayın. Ötürmə skripti həmçinin müştərinin kuki ilə birlikdə aldığı təsdiqlənmiş son nöqtə məlumatını qorumalıdır; onu atsanız, sonrakı işə salma heç vaxt autentifikasiya etmədiyiniz hosta qoşula bilər ki, bu da sadəcə uğursuz olan bağlantıdan pisdir.

Terminalı bağlamazdan əvvəl siyahıdan keçin

Dörd şey doğru olmalıdır: interaktiv giriş ön planda bitdi, PID faylı təsdiqlədiyiniz prosesi göstərir, nəzarətçi məsələsi bu və ya digər istiqamətdə həll olundu və kukinin düz mətn faylı olmayan saxlama planı var. Dördü də doğru olduqda terminaldan uzaqlaşmaq təhlükəsizdir və tunel işləməyə davam edir.

Onlardan biri uğursuz olarsa, digərlərinə toxunmazdan əvvəl həmin bəndi düzəldin, çünki qalan yoxlamalar bunu kompensasiya edə bilməz. İlk işə salmanın ön plan transkriptini də saxlayın: növbəti dəfə tunel xəbərdarlıqsız düşdükdə, gateway tərəfindəki dəyişikliyi müştəri tərəfindəkindən ayıran həmin baza xəttidir.