Niyə OpenConnect sertifikat dəyişdirildikdən sonra şlüzü rədd edir?

Şlüzlər sertifikatları dəyişir və dünən qoşulan müştəri ilk TLS mübadiləsində dayanmağa başlayır. Mesaj şəbəkə nasazlığı deyil, yoxlama səbəbi adlandırır və maşının özü dəyişməyib; faydalı ipucu budur. Pozulan şey indi təqdim olunan sertifikatla müştərinin nəzərdən keçirməyə hazır olduğu köklər arasındakı əlaqədir. Bunu düzəltmək etimad qərarıdır, ona görə də hər hansı seçim yazmazdan əvvəl bu qərarı verin.

Hər hansı etimad parametrini dəyişməzdən əvvəl nasazlığı oxuyun

İmzalayanın olmaması tipli xəta zəncirin müştərinin qəbul etmədiyi bir şeydə bitdiyini bildirir. Bu, daxili orqandan yenilənmiş sertifikat, açıq orqandan dəyişdirmə və ya öz sertifikatını təqdim edən aralıq cihaz ola bilər. Yalnız mətn həmin halları ayırd edə bilməz, ona görə qərar verməzdən əvvəl verənə baxın.

Bağlantını bir dəfə ön planda işə salın və uğursuz olmağa qoyun, çünki interaktiv çıxış server adını, verən zəncirini və müştərinin hesabladığı barmaq izini daşıyır. Həmin verəni təşkilatınızın həqiqətən idarə etdiyi orqanla müqayisə edin. Barmaq izi dəyişibsə, verən isə dəyişməyibsə, yeniləmə artıq etimad etdiyiniz kanal vasitəsilə təsdiqlənənədək bunu şübhəli sayın. Bu nöqtədə təxmin etmək, insanın sonunda müdaxilə edənin açarını sancmasına gətirib çıxarır.

Müştəri versiyasını həmin qeydə yazın. Etimad problemi kimi görünən nasazlıqların böyük hissəsi köhnə müştərinin daha yeni şlüz mübadiləsi ilə qarşılaşmasından gəlir.

Verənə etimad etməklə bir açarı sancmaq arasında seçin

Hər iki seçim bağlantını uğurlu edir. Sonra isə əks istiqamətlərdə sınırlar, ona görə seçim dözə bildiyiniz nasazlığa aiddir.

Sertifikat müstəqil yoxlaya bildiyiniz orqandan gəlirsə CA faylına müraciət edin, çünki yeniləmələr sonra müştəri arqumentlərinə toxunmadan işləməyə davam edir. Onu sistem köklərini söndürən açar ilə birləşdirin, əks halda açıq orqan yoxlamanı sizin adınızdan ödəyə bilər. Əvəzində, şlüzün əldə edə biləcəyiniz CA-sı yoxdursa və ya ən dar mümkün istisna hədəfdirsə, sancın. Abstraksiyada heç bir yol daha təhlükəsiz deyil: CA yeniləmələr boyu genişlənir, sancma isə yoxlamaq üçün daha asandır.

Hansını seçsəniz də, etimad edilən dəyər dəyişiklik baş verməzdən əvvəl etimad edilən kanaldan gəlməlidir. Administrator, şlüzdə konsol sessiyası və ya əvvəlcədən götürülmüş surət hamısı uyğundur. Sorğunun göstərdiyi barmaq izini kopyalamaq rahatdır və eyni zamanda müdaxilə edənin ümid etdiyi şeydir.

Dəyəri həqiqətən işə saldığınız əmrə qoyun

Sancma server sertifikatı seçimində gedir və onun prefiksi kodlaşdırmanı müəyyən edir: sha1 və ya sha256 altında onaltılıq açıq açar həzmləri, pin-sha256 altında isə base64 açar sancması. Onu vermək həmin iş üçün sistem etimadını da söndürür, beləliklə sancılmış açar bütün qərar olur.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Müştəri kəsilmiş həzmi uyğunlaşdırır və prefiksdən sonra dörd simvol qədər azını qəbul edir, bu isə rahatlıq deyil tələdir. Qısaldılmış dəyər yerli olaraq keçir və yenə də nəzərdə tutduğunuz şlüzü müəyyən etmir. Mesajdan yenidən yazmaq əvəzinə müştərinin ilk cəhddə çap etdiyi tam sətri kopyalayın. Sonra hazır seçimi bağlantını işə salan sarğı skriptinə, unit faylına və ya profilə köçürün ki, etimad qərarı yoxlanıla bilsin və sonrakı düzəlişlər qəsdən olsun.

Masaüstü başladıcılar və NetworkManager plaqini bağlantı arqumentlərinin öz surətini saxlayır. Diskdə redaktə edilmiş skript əvvəl idxal edilmiş profilə çatmır, ona görə saxlanılan dəyər qalib gəlməyə davam edir.

Özünüzü kənarda qoymadan keçidi idarə edin

Seçim bir dəfədən çox verilə bilər, beləliklə planlaşdırılmış dəyişiklik gedən və gələn açarları birlikdə qəbul edə bilər. Şlüz dəyişməzdən əvvəl yeni sancmanı əlavə edin, sessiyalar köçərkən hər ikisini siyahıda saxlayın və köhnə açar getdikdən sonra təqaüdə çıxanı çıxarın. Həmin pəncərənin sahibi olmalıdır, çünki unudulmuş ikiqat sancma açarı heç kim izləmədən etimadlı qoyur. Yeni açar cütü yaradan yenidən qurma təmiz sancmanı pozur və bərpa digər istiqamətdə eyni prosedurdur.

Dəyişiklik tarixini sancmanın yanına yazın. Bərpa tarixi olmayan sancma çaşdırıcı xəta mesajı daşıyan gələcək kəsintidir.

Etimadı redaktə etməzdən əvvəl müştəri versiyasını istisna edin

Köhnə müştəri şlüzün sonradan dəyişdirdiyi autentifikasiya cavabını təhlil edərkən uğursuz ola bilər və görünən mesaj təhlilçi deyil, hələ də bağlantıdan danışır. Quraşdırılmış versiyanı şlüzün sənədləşdirdiyi ilə müqayisə edin və hər hansı etimad parametrini dəyişməzdən əvvəl cari paketi birdəfəlik profildə sınayın.

openconnect --version

Təmirdən sonra bir yox, iki şeyi yoxlayın: portal tuneldən açılır və adi daxili ünvan cavab verir. Tamamlanmış əl sıxma yalnız etimad qərarının qəbul edildiyini sübut edir.