Mewngofnodiad OpenConnect yn glanio ar y dudalen anghywir? Gwiriwch y llwybr yn gyntaf

Rydych yn gludo’r cyfeiriad o’r e-bost ymuno, mae’r cleient yn cyrraedd y porth, a’r ffurflen fewngofnodi sy’n ymddangos yw’r porth cyffredinol yn hytrach na’r un partner a ddisgrifiwyd gan y gweithredwr. Nid oes unrhyw wall yn ymddangos, a dyna’r peth sy’n drysu: gall y tiwnel godi hyd yn oed, ond y tu ôl i bwynt mynediad anghywir. Roedd y llwybr yn yr URL hwnnw’n gwneud gwaith, ac mae beth bynnag a’i disodlodd wedi gollwng y gwaith hwnnw.

Gwahanwch ddau beth sy’n dod fel un llinyn mewn tocyn: y cyfeiriad sy’n cyrraedd y gwasanaeth, a’r mewnbwn sy’n penderfynu ble mae dilysu’n dechrau. Trwsio’r cyntaf gan anwybyddu’r ail yw sut mae enw gwesteiwr cywir yn dal i gynhyrchu mewngofnodiad anghywir.

Beth mae’r cleient yn ei anfon cyn i chi weld ffurflen

Gyda chyfeiriad fel https://vpn.example.net/partners, cam cyntaf y cleient yw cais HTTPS i’r llwybr hwnnw yn hytrach nag i’r gwesteiwr noeth. Yr hyn sy’n dod yn ôl fel arfer yw ailgyfeiriad i’r pwynt mewngofnodi, neu’r ffurflen ei hun. Mae cleient sy’n cael vpn.example.net yn unig yn dechrau ar ba bynnag dudalen lanio ddiofyn sydd yno, a allai fod yn borth arall, yn rhestr grŵp arall, neu’n dudalen sy’n disgwyl protocol hollol wahanol. Mae’r gwahaniaeth i’w weld yn headers yr ymateb ymhell cyn i unrhyw gyfrifoldeb gael ei deipio.

Dyna pam y gall tab porwr sy’n gweithio a phroffil cleient sy’n methu enwi’r un porth a dal i anghytuno. Dilynodd y porwr y llwybr; ni chafodd y proffil ef erioed.

Dau fewnbwn sy’n edrych yn gyfnewidiol ac nad ydynt

Mae OpenConnect yn datgelu’r llwybr HTTPS cychwynnol fel --usergroup, ac mae tudalen y llawlyfr yn trin URL llawn sy’n cario’r llwybr hwnnw fel yr un cais wedi’i ysgrifennu’n wahanol. Mae --authgroup yn opsiwn ar wahân: mae’n dewis cofnod o’r rhestr y mae’r porth yn ei chyflwyno y tu mewn i’r ffurflen fewngofnodi. Mae rhai protocolau’n galw’r cofnod hwnnw’n grŵp, eraill yn barth neu’n borth, a dyna’n union lle mae’r ddau faner yn cael eu drysu.

Gall gwasanaeth fod angen y ddau yn gyfreithlon. Gall y llwybr eich glanio ar y porth cywir tra bod y ffurflen yn dal i ofyn i chi ddewis ymhlith grwpiau y tu mewn iddo. Mae rhoi enw’r porth fel enw’r grŵp, neu’r gwrthwyneb, yn cynhyrchu mewngofnodiad sy’n edrych fel pe bai’n cael ei dderbyn ac yna’n methu awdurdodi, oherwydd bod y gwerth yn gystrawennol ddilys ac yn semantig anghywir.

Gofynnwch i’r gweithredwr am bob gwerth ar ei linell ei hun: llwybr mynediad, dewis ffurflen, ac a oes angen y ddau. Peidiwch â deillio’r naill o’r llall oherwydd bod y labeli’n swnio’n debyg.

Pam mae tocio’r llwybr yn newid y canlyniad

Bydd cleientiaid sy’n derbyn gwesteiwr a phorth yn unig yn aml yn dal i gysylltu, felly anaml yw’r symptom yn fethiant caled. Yn lle hynny fe gewch y dudalen fewngofnodi anghywir, rhestr grŵp wag, enw tystysgrif nad yw bellach yn cyfateb i’r hyn a gyhoeddwyd gan y gweithredwr, neu diwnel sy’n codi heb lwybr i’r gwasanaeth roeddech ei eisiau. Mae pob un ohonynt yn eistedd ar haen wahanol, ac ni thrwsir yr un ohonynt trwy ludo llinyn hirach i faes a ddogfennwyd fel enw gwesteiwr. Mae dau ohonynt hefyd yn anwahanadwy o’r tu allan, gan fod y ddau yn dod fel ffurflen fewngofnodi nad yw’n syml yn parhau.

Mae disodli’r enw gwesteiwr ag IP yn gamgymeriad ar wahân sy’n aml yn teithio gyda hwn. Mae dewis gwasanaeth yn seiliedig ar enw a dilysu tystysgrifau’r ddau yn dibynnu ar yr enw, felly gall cyfeiriad rhifol droi problem fformat llwybr yn wall TLS.

Mae cyfeiriadau porwr yn cario mwy na llwybrau hefyd. Mae dynodwyr sesiwn, targedau ailgyfeirio, rhagddodiadau iaith a pharamedrau mewngofnodi dros dro i gyd yn ymddangos yn y bar cyfeiriad, ac nid oes yr un ohonynt yn perthyn i broffil cleient a gedwir.

Cadarnhewch y pwynt mynediad cyn golygu unrhyw beth arall

Darllenwch y headers ar gyfer y llwybr a roddwyd i chi. Mae cais fel curl -sS -o /dev/null -D - https://vpn.example.net/partners yn argraffu’r llinell statws ac unrhyw header Location heb ddilyn yr ailgyfeiriad. Mae 302 sy’n pwyntio at bwynt mewngofnodi enwebedig yn cadarnhau bod y llwybr yn bodoli ac yn dangos i ble mae’n mynd; mae 404 yn golygu bod cyfeiriad y gweithredwr wedi dyddio.

Yna atgynhyrchwch yr un pwynt mynediad yn y cleient a gymeradwywyd, er enghraifft openconnect --usergroup=partners vpn.example.net, a gwyliwch pa ffurflen sy’n ymddangos. Os yw’r ffurflen yn gywir a’r tiwnel yn dal i fethu, ni fu’r llwybr yn broblem erioed a’r stop nesaf yw polisi neu lwybreiddio.

Cofnodwch enw gwesteiwr, porth, protocol, llwybr mynediad a dewis ffurflen fel pum maes ar wahân yn y tocyn. Y rhestr honno yw’r peth sy’n galluogi’r peiriannydd nesaf i wahaniaethu rhwng gweinydd anghyraeddadwy a gwrthodiad TLS, dewis a wrthodwyd, a thiwnel a gododd heb y llwybrau yr oedd eu hangen.