Proč OpenConnect odmítá bránu po výměně certifikátu?

Brány mění certifikáty a klient, který se včera připojil, se začne zastavovat na první TLS výměně. Zpráva uvádí důvod ověření, nikoli síťovou závadu, a samotný stroj se nezměnil, což je užitečná stopa. Co se rozbilo, je vztah mezi nyní předkládaným certifikátem a kořeny, které je klient ochoten zvažovat. Opravit to je rozhodnutí o důvěře, takže ho udělejte dřív, než napíšete nějakou volbu.

Přečtěte si selhání dřív, než změníte jakékoli nastavení důvěry

Chyba typu chybějící podepisující znamená, že řetězec končí na něčem, co klient nepřijímá. Může jít o obnovený certifikát od interní autority, náhradu od veřejné autority nebo zařízení uprostřed, které předkládá vlastní certifikát. Pouhé znění nedokáže tyto případy rozlišit, takže se před rozhodnutím podívejte na vydavatele.

Spusťte spojení jednou na popředí a nechte ho selhat, protože interaktivní výstup nese název serveru, řetězec vydavatele a otisk, který klient vypočítal. Porovnejte tohoto vydavatele s autoritou, kterou vaše organizace skutečně provozuje. Pokud se otisk změnil a vydavatel ne, považujte to za podezřelé, dokud se obnova nepotvrdí kanálem, kterému už věříte. Hádání v tomto okamžiku je způsob, jak člověk skončí připnutím klíče odposlouchávače.

Zapište verzi klienta do stejné poznámky. Velká část selhání, která vypadají jako problémy s důvěrou, pochází ze staršího klienta, který narazí na novější výměnu brány.

Vyberte mezi důvěrou vydavateli a připnutím jednoho klíče

Obě možnosti zajistí, že spojení uspěje. Později se lámou opačnými způsoby, takže volba patří selhání, které dokážete snést.

Sáhněte po souboru CA, když certifikát pochází od autority, kterou můžete nezávisle ověřit, protože obnovy pak fungují dál, aniž by se sahlo na argumenty klienta. Spárujte ho s přepínačem, který vypíná systémové kořeny, jinak může veřejná autorita splnit kontrolu za vás. Připněte místo toho klíč, když brána nemá CA, kterou můžete získat, nebo když je cílem nejužší možná výjimka. Ani jedna cesta není v abstraktu bezpečnější: CA se škáluje přes obnovy, připnutí se snáz reviduje.

Ať vyberete kteroukoli, důvěryhodná hodnota musí dorazit kanálem, kterému se věřilo předtím, než ke změně došlo. Správce, konzolová relace na bráně nebo dřív pořízená kopie, to vše vyhovuje. Kopírovat jakýkoli otisk, který výzva ukáže, je pohodlné a je to přesně to, v co odposlouchávač doufá.

Vložte hodnotu do příkazu, který skutečně spouštíte

Připnutí putuje v volbě certifikátu serveru a její předpona rozhoduje o kódování: hexadecimální otisky veřejného klíče pod sha1 nebo sha256 a připnutí klíče base64 pod pin-sha256. Jeho zadání také vypne systémovou důvěru pro toto spuštění, takže připnutý klíč se stane celým rozhodnutím.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Klient porovnává zkrácený otisk a přijímá jen čtyři znaky za předponou, což je past, ne pohodlí. Zkrácená hodnota projde lokálně a stejně neidentifikuje bránu, kterou jste zamýšleli. Zkopírujte celý řetězec, který klient vytiskl při prvním pokusu, místo abyste ho přepisovali ze zprávy. Potom přesuňte hotovou volbu do obalového skriptu, unit souboru nebo profilu, který spojení spouští, aby rozhodnutí o důvěře bylo revidovatelné a pozdější úpravy byly úmyslné.

Plošní spouštěče a plugin NetworkManager ukládají vlastní kopii argumentů spojení. Skript upravený na disku nedosáhne na profil importovaný dřív, takže uložená hodnota dál vítězí.

Zvládněte výměnu, aniž byste se zamkli ven

Volbu lze zadat vícekrát, takže plánovaná změna může přijmout odcházející i přicházející klíč společně. Přidejte nové připnutí dřív, než brána přepne, držte obě v seznamu, dokud relace migrují, a vyřaďte odcházející, jakmile starý klíč zmizí. To okno potřebuje vlastníka, protože zapomenuté dvojité připnutí nechává klíč důvěryhodný bez dozoru. Přestavba, která vytvoří nový pár klíčů, čisté připnutí zlomí a obnova je stejný postup opačným směrem.

Napište datum změny vedle připnutí. Připnutí bez data revize je budoucí výpadek s matoucí chybovou zprávou.

Vylučte verzi klienta dřív, než upravíte důvěru

Zastaralý klient může selhat při parsování odpovědi na ověření, kterou brána mezitím změnila, a povrchová zpráva stále mluví o spojení, ne o parseru. Porovnejte nainstalovanou verzi s tím, co brána dokumentuje, a před změnou jakéhokoli nastavení důvěry otestujte aktuální balíček v jednorázovém profilu.

openconnect --version

Po opravě ověřte dvě věci, ne jednu: portál se načte tunelem a běžná interní adresa odpovídá. Dokončené podání ruky dokazuje jen to, že rozhodnutí o důvěře bylo přijato.