OpenConnect prijava završava na pogrešnoj stranici? Prvo provjerite putanju

Zalijepite adresu iz uvodnog e-maila, klijent stigne do pristupnika, a obrazac za prijavu koji se pojavi je opći portal, a ne partnerski koji je opisao operator. Ništa ne prijavljuje grešku, i upravo to zbunjuje: tunel se može čak i podići, samo iza pogrešne ulazne točke. Putanja u tom URL-u je obavljala posao, i što god ju je zamijenilo, taj posao je ispustilo.

Razdvojite dvije stvari koje u tiketu dolaze kao jedan niz: adresu koja stiže do servisa i unos koji odlučuje gdje počinje autentifikacija. Popraviti prvo uz ignoriranje drugog jeste način na koji ispravan naziv hosta i dalje daje pogrešnu prijavu.

Šta klijent šalje prije nego što vidite obrazac

S adresom poput https://vpn.example.net/partners prvi čin klijenta je HTTPS zahtjev na tu putanju, a ne na goli host. Ono što se vrati obično je preusmjeravanje na ulaznu točku prijave ili sam obrazac. Klijent koji dobije samo vpn.example.net počinje od zadane odredišne stranice kakva god ona bila, a to može biti drugi portal, drugi popis grupa ili stranica koja očekuje sasvim drugi protokol. Razlika je vidljiva u zaglavljima odgovora mnogo prije nego što se upiše bilo kakav akreditiv.

Zato radna kartica preglednika i neuspjeli profil klijenta mogu imenovati isti pristupnik i ipak se ne slagati. Preglednik je slijedio putanju; profil ju nikada nije imao.

Dva unosa koja izgledaju zamjenjivo i nisu

OpenConnect izlaže početnu HTTPS putanju kao --usergroup, a stranica priručnika tretira puni URL s tom putanjom kao isti zahtjev napisan drugačije. --authgroup je zasebna opcija: bira zapis s popisa koji pristupnik prikazuje unutar obrasca za prijavu. Neki protokoli taj zapis nazivaju grupom, drugi domenom ili pristupnikom, i upravo tu se dvije zastavice pobrkaju.

Servis može legitimno trebati oboje. Putanja vas može dovesti na pravi portal dok obrazac još traži da odaberete grupu unutar njega. Davanje naziva portala kao naziva grupe, ili obrnuto, daje prijavu koja izgleda prihvaćeno i zatim ne uspije autorizirati, jer je vrijednost bila sintaksno valjana i semantički pogrešna.

Zatražite od operatora svaku vrijednost u zasebnom redu: ulaznu putanju, odabir u obrascu i da li su oba potrebna. Ne izvodite jedno iz drugog zato što oznake zvuče slično.

Zašto skraćivanje putanje mijenja ishod

Klijenti koji prihvaćaju samo host i port često se ipak povežu, pa simptom rijetko kad bude tvrdi neuspjeh. Umjesto toga dobijete pogrešnu stranicu prijave, prazan popis grupa, naziv certifikata koji se više ne poklapa s onim što je operator objavio, ili tunel koji se podigne bez rute do servisa koji ste htjeli. Svaki od toga sjedi na drugom sloju, i nijedan se ne popravlja lijepljenjem duljeg niza u polje dokumentirano kao naziv hosta. Dva od njih su i izvana nerazlučiva, jer oba dolaze kao obrazac za prijavu koji jednostavno ne nastavlja.

Zamjena naziva hosta IP adresom je zasebna greška koja često putuje s ovom. Odabir servisa prema nazivu i provjera certifikata oba zavise od naziva, pa brojčana adresa može pretvoriti problem formata putanje u TLS grešku.

Adrese u pregledniku nose i više od putanja. Identifikatori sesije, odredišta preusmjeravanja, jezični prefiksi i privremeni parametri prijave svi se pojavljuju u adresnoj traci, i nijedan od njih ne pripada u sačuvani profil klijenta.

Potvrdite ulaznu točku prije nego što uredite bilo što drugo

Pročitajte zaglavlja za putanju koju ste dobili. Zahtjev poput curl -sS -o /dev/null -D - https://vpn.example.net/partners ispisuje statusni redak i svako zaglavlje Location bez praćenja preusmjeravanja. 302 koji pokazuje na imenovanu ulaznu točku potvrđuje da putanja postoji i pokazuje kamo vodi; 404 znači da je operatorova adresa zastarjela.

Zatim reproducirajte istu ulaznu točku u odobrenom klijentu, na primjer openconnect --usergroup=partners vpn.example.net, i gledajte koji se obrazac pojavljuje. Ako je obrazac ispravan a tunel i dalje ne uspijeva, putanja nikada nije bila problem i sljedeća stanica je politika ili usmjeravanje.

Zabilježite naziv hosta, port, protokol, ulaznu putanju i odabir u obrascu kao pet zasebnih polja u tiketu. Taj popis je ono što sljedećem inženjeru omogućuje da razlikuje nedostupan poslužitelj od TLS odbijanja, odbijenog odabira i tunela koji se podigao bez potrebnih ruta.