Pam mae OpenConnect yn gwrthod y porth ar ôl newid tystysgrif?

Mae pyrth yn disodli tystysgrifau, ac mae cleient a gysylltodd ddoe yn dechrau stopio ar y gyfnewidfa TLS gyntaf. Mae’r neges yn enwi rheswm dilysu yn hytrach na nam rhwydwaith, ac nid yw’r peiriant ei hun wedi newid, sef y cliw defnyddiol. Yr hyn a dorrodd yw’r berthynas rhwng y dystysgrif a gyflwynir nawr a’r gwreiddiau y mae’r cleient yn barod i’w hystyried. Mae ei thrwsio yn benderfyniad ymddiriedaeth, felly gwnewch y penderfyniad hwnnw cyn i chi deipio opsiwn.

Darllenwch y methiant cyn i chi newid unrhyw osodiad ymddiriedaeth

Mae gwall ar ffurf “llofnodwr ar goll” yn golygu bod y gadwyn yn gorffen ar rywbeth nad yw’r cleient yn ei dderbyn. Gallai fod yn dystysgrif wedi’i hadnewyddu gan awdurdod mewnol, yn amnewidiad gan un cyhoeddus, neu’n ddyfais yn y canol yn cyflwyno ei thystysgrif ei hun. Ni all y geiriad ar ei ben ei hun wahaniaethu’r achosion hynny, felly edrychwch ar y cyhoeddwr cyn penderfynu.

Rhedwch y cysylltiad unwaith yn y blaendir a gadewch iddo fethu, oherwydd mae’r allbwn rhyngweithiol yn cario enw’r gweinydd, y gadwyn gyhoeddi a’r ôl-bys y cyfrifodd y cleient. Cymharwch y cyhoeddwr hwnnw ag awdurdod y mae eich sefydliad yn ei weithredu mewn gwirionedd. Os newidiodd yr ôl-bys tra na newidiodd y cyhoeddwr, triniwch ef fel un amheus nes bod adnewyddiad yn cael ei gadarnhau trwy sianel rydych yn ymddiried ynddi yn barod. Dyfalu ar y pwynt hwn yw sut mae person yn gorffen pinio allwedd rhyng-gipiwr.

Cofnodwch fersiwn y cleient yn yr un nodyn. Daw cyfran dda o’r methiannau sy’n edrych fel problemau ymddiriedaeth o gleient hŷn yn cyfarfod cyfnewidfa porth mwy newydd.

Dewiswch rhwng ymddiried yn y cyhoeddwr a phinio un allwedd

Mae’r ddau opsiwn yn gwneud i’r cysylltiad lwyddo. Maent yn torri mewn ffyrdd cyferbyniol yn ddiweddarach, felly mae’r dewis yn perthyn i’r methiant y gallwch ei oddef.

Cyrhaeddwch am y ffeil AC pan ddaw’r dystysgrif o awdurdod y gallwch ei dilysu’n annibynnol, oherwydd yna mae adnewyddiadau yn parhau i weithio heb gyffwrdd â dadleuon y cleient. Parwch ef â’r switsh sy’n analluogi gwreiddiau’r system, fel arall gall awdurdod cyhoeddus fodloni’r prawf ar eich rhan. Piniwch yn lle hynny pan nad oes gan y porth AC y gallwch ei chael neu pan mai’r eithriad culaf posibl yw’r nod. Nid yw’r un llwybr yn fwy diogel yn haniaethol: mae’r AC yn graddio ar draws adnewyddiadau, mae’r pin yn haws ei adolygu.

Pa un bynnag a ddewiswch, rhaid i’r gwerth ymddiriedig gyrraedd trwy sianel a oedd yn ymddiriedig cyn i’r newid ddigwydd. Mae gweinyddwr, sesiwn consol ar y porth, neu gopi a gymerwyd ymlaen llaw i gyd yn gymwys. Mae copïo pa bynnag ôl-bys y mae’r anogwr yn ei ddangos yn gyfleus ac yn union yr hyn y mae rhyng-gipiwr yn gobeithio amdano.

Rhowch y gwerth yn y gorchymyn rydych chi’n ei lansio mewn gwirionedd

Mae’r pin yn teithio mewn opsiwn tystysgrif gweinydd, ac mae ei ragosodiad yn penderfynu’r amgodiad: treuliadau allwedd gyhoeddus hecsadegol o dan sha1 neu sha256, a’r pin allwedd base64 o dan pin-sha256. Mae ei ddarparu hefyd yn analluogi ymddiriedaeth system ar gyfer y rhediad hwnnw, felly’r allwedd wedi’i phinio yn dod yn benderfyniad cyfan.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Mae’r cleient yn cyd-fynd â threuliad byr, gan dderbyn cyn lleied â phedwar nodyn ar ôl y rhagosodiad, sy’n fagl yn hytrach na hwylustod. Mae gwerth byr yn pasio’n lleol ac yn dal i beidio â nodi’r porth a fwriadwyd. Copïwch y llinyn llawn a argraffodd y cleient ar y cynnig cyntaf yn lle ei ail-deipio o neges. Yna symudwch yr opsiwn gorffenedig i’r sgript lapio, y ffeil uned neu’r proffil sy’n lansio’r cysylltiad, fel bod y penderfyniad ymddiriedaeth yn adolygadwy ac mae golygiadau diweddarach yn fwriadol.

Mae lanswyr byrddau gwaith a’r ategyn NetworkManager yn storio eu copi eu hunain o ddadleuon y cysylltiad. Nid yw sgript a olygwyd ar y disg yn cyrraedd proffil a fewnforiwyd yn gynharach, felly mae’r gwerth a storwyd yn parhau i ennill.

Trin rholio drosodd heb eich cloi allan

Gellir rhoi’r opsiwn fwy nag unwaith, felly gall newid a gynlluniwyd dderbyn yr allweddau sy’n gadael ac yn dod i mewn gyda’i gilydd. Ychwanegwch y pin newydd cyn i’r porth newid, cadwch y ddau wedi’u rhestru tra bod sesiynau’n mudo, a gollyngwch yr un wedi ymddeol unwaith y bydd yr hen allwedd wedi mynd. Mae angen perchennog ar y ffenestr honno, gan fod pin deuol wedi’i anghofio yn gadael allwedd yn ymddiriedig heb neb yn ei gwylio. Mae ailadeiladu sy’n cynhyrchu pâr allwedd newydd yn torri pin pur, a’r un weithdrefn yw adferiad i’r cyfeiriad arall.

Ysgrifennwch y dyddiad newid wrth ymyl y pin. Mae pin heb ddyddiad adolygu yn ddiffyg yn y dyfodol sy’n cario neges gwall ddryslyd.

Diystyru fersiwn y cleient cyn golygu ymddiriedaeth

Gall cleient dyddiedig fethu wrth ddadansoddi ateb dilysu y mae’r porth wedi’i newid ers hynny, ac mae’r neges arwyneb yn dal i sôn am y cysylltiad yn hytrach na’r parslydd. Cymharwch y fersiwn sydd wedi’i osod â’r hyn y mae’r porth yn ei ddogfennu, a phrofwch becyn cyfredol mewn proffil tafladwy cyn newid unrhyw osodiad ymddiriedaeth.

openconnect --version

Ar ôl y trwsio, dilyswch ddau beth yn hytrach nag un: mae’r porthfa yn llwytho trwy’r dwnnel, ac mae cyfeiriad mewnol cyffredin yn ateb. Mae ysgwyd llaw wedi’i gwblhau ond yn profi bod y penderfyniad ymddiriedaeth wedi’i dderbyn.