Mae proffil wedi'i gloi i'r gweinydd yn methu y tu ôl i ddirprwy TLS: pa genhedlaeth?
Mae Access Server 2.8 a 2.9 yn adeiladu proffiliau wedi'u cloi i'r gweinydd yn wahanol. Penderfynwch pa lwybr mae eich dirprwy yn ei dorri cyn newid y blaen.
Gall un defnyddiwr gysylltu ac ni all un arall, drwy'r un porth, ar yr un diwrnod. Mae gan y ddau broffiliau wedi'u cloi i'r gweinydd, mae'r ddau ar yr un adeiladwaith Access Server, a'r unig wahaniaeth yw pryd y cynhyrchwyd eu proffil. Dyna'r patrwm sy'n werth ei adnabod, oherwydd mae "wedi'i gloi i'r gweinydd" yn enwi polisi yn hytrach na dilyniant cysylltu. Mae Access Server wedi danfon dwy genhedlaeth o'r arteffact hwnnw, ac mae dirprwy gwrthdro TLS o flaen un o'u llwybrau yn unig. Mae tair amod yn penderfynu pa gangen rydych ynddi.
Dwy genhedlaeth, dau ddilyniant cysylltu
Yn y cynllun hŷn, sy'n parhau hyd at 2.8, mae'r ffeil a fewnforiwyd yn rhagbroffil. Mae OpenVPN Connect yn ei defnyddio i ddilysu yn erbyn API gwe Access Server dros HTTPS, yn derbyn proffil dros dro wedi'i gloi i'r defnyddiwr a thocyn sesiwn, ac yn unig wedyn yn sefydlu'r VPN. Mae dau gludydd yn rhedeg yn olynol, a'r cyntaf yw cais gwe cyffredin.
Nid yw'r fformat a gyflwynwyd gyda 2.9 yn gwneud y cychwyniad hwnnw fesul cysylltiad. Mae'n broffil brodorol y gall OpenVPN gleientiaid cydnaws ei ddefnyddio, nid OpenVPN Connect yn unig. Gall ei lawrlwytho neu ei fewnforio drwy URL o hyd gynnwys HTTPS — cam cyhoeddi yw hwnnw, nid caffael proffil dros dro fesul cysylltiad.
| Older server-locked (≤2.8) | Newer server-locked (2.9+) | |
|---|---|---|
| Before the tunnel | Web API call with credentials | Nothing; the profile is already local |
| Client requirement | OpenVPN Connect | Any compatible client |
| What a TLS web proxy can break | The bootstrap, before any VPN attempt | Download only, not the connection |
| Expected HTTP log on connect | A request from the client | Often nothing at all |
Nid yw uwchraddiad o reidrwydd yn ailysgrifennu proffiliau a gyhoeddwyd eisoes, felly gall fersiwn gweinydd cyfredol o hyd ddanfon yr hen arteffact. Mae adeiladwaith y gweinydd yn dweud wrthych beth sy'n bosibl, nid beth y mewnforiodd y defnyddiwr hwn.
Tair amod sy'n dewis eich cangen
Yr amod gyntaf yw cenhedlaeth yr arteffact. Gofynnwch am y ffeil, edrychwch sut y'i cynhyrchwyd, a nodwch fersiwn y cleient a'i mewnforiodd. Os na allwch sefydlu'r genhedlaeth o'r ffeil, bydd proffil newydd a gyhoeddwyd ar gyfer cyfrif prawf yn dweud wrthych beth mae'r gweinydd yn ei gynhyrchu heddiw, sy'n wybodaeth wahanol i'r hyn sydd gan y defnyddiwr sy'n methu.
Yr ail yw beth mae eich blaen yn ei derfynu mewn gwirionedd. Nid yw dirprwy gwrthdro HTTP haen saith sy'n dadlwytho TLS yr un gwrthrych â blaenyrrwr TCP haen pedwar, ac nid yw blaenyrrwr UDP chwaith. Mae trefniant arferol Access Server ar borth 443 yn gwneud i ellyll OpenVPN TCP adnabod traffig porwr a'i drosglwyddo i'r gwasanaethau gwe, felly nid yw mewnosod terfynydd HTTPS amherthnasol o'r blaen yn cadw triniaeth protocol yr ellyll hwnnw. Nid yw rhannu'r rhif 443 yn gwneud dau gynllun yn gyfatebol.
Y trydydd yw lle mae'r methiant yn glanio. Mae methiant cyn-VPN a methiant sianel reoli yn edrych yn debyg mewn cleient sy'n dweud "cysylltu" yn unig, ond maent yn gadael tystiolaeth mewn gwahanol leoedd. Os yw'r hen fformat ar waith, y cychwyniad yw'r ymgeisydd. Os yw'r fformat newydd ar waith, mae cofnod mynediad gwe gwag yn ddisgwyliedig ac nid yw'n profi dim y naill ffordd na'r llall.
Pan fo'r arteffact yn hen: mae'r cychwyniad yn methu gyntaf
Darllenwch wall gwirioneddol y cleient yn hytrach na'i gyflwr terfynol. Y meysydd diddorol yw'r gwall HTTPS, hunaniaeth y gweinydd a ddisgwyliwyd gan y cleient, y cyrchfan yr aeth y cais iddo, ac a gwblhawyd dilysu'r tystysgrif. Yna cyferbynnwch y rheini â chofnodion y gwasanaeth gwe a'r dirprwy ar ochr y gweinydd.
Nid yw porwr yn cyrraedd y dudalen fewngofnodi yn dystiolaeth bod dilysu API y cleient hwn wedi llwyddo. Ceisiadau gwahanol ydynt, â disgwyliadau tystysgrif gwahanol ac yn aml enwau gwesteiwr gwahanol. Os yw'r porth yn cael ei weini'n gywir a'r cleient yn dal i fethu, mae'r anghytundeb yn y llwybr cychwyn, nid yng nghyfrinair y defnyddiwr.
Peidiwch â gwneud y gymhariaeth yn llwyddiannus drwy analluogi dilysu TLS neu lacio polisi dilysu. Mae hynny'n troi anghysondeb cyfluniad y gellir ei ddiagnosio yn llwybr sy'n gweithio ond heb ei ddilysu, a dyna'n union y newid sy'n troi prawf dros dro yn dwll parhaol. Dogfennaeth Access Server ar broffiliau cysylltu yn disgrifio'r ddwy genhedlaeth a'r llif proffil dros dro, a hi yw'r cyfeirnod i'w wirio cyn tybio bod dirprwy ar fai.
Pan fo'r arteffact yn newydd: darllenwch y sianel reoli
Gyda phroffil arddull 2.9, mae'r cleient yn mynd yn syth i bwynt terfyn brodorol y VPN. Ymchwiliwch i'r pwyntiau terfyn yn y proffil, y cludydd a ddefnyddir, a gwall y sianel reoli. Os nad yw'r cleient byth yn cyhoeddi cais HTTP, mae hynny'n gyson â'r cynllun ac nid yn symptom.
Dyma hefyd lle mae cwestiwn y dirprwy yn newid siâp. Ni all dadlwythiad HTTPS dorri ffrwd TCP yn unig nad yw byth yn ei gweld, ond gall o hyd dorri'r lawrlwythiad sy'n cyhoeddi'r proffil, ac ni fydd blaenyrrwr TCP yn unig yn cario UDP o gwbl. Gwiriwch ba gludydd y mae'r proffil yn gofyn amdano cyn dod i'r casgliad bod y blaen yn amherthnasol.
Mae tramwya TLS ar gyfer un ffrwd yn drefniant cul. Nid yw'n darparu blaenyrru UDP, ac nid yw'n atgynhyrchu ymddygiad blaenyrru gwasanaethau'r ellyll ei hun ar 443. Os yw eich blaen yn gwneud un o'r pethau hynny, dywedwch pa un, oherwydd mae'r feddyginiaeth yn wahanol.
Meddyginiaethau sy'n aros yn gul
Y prawf lleiaf ymwthiol yw cynhyrchu proffil cefnogol newydd ar gyfer cyfrif prawf a chysylltu drwy'r pwynt terfyn brodorol a fwriedir gyda'r un gofynion dilysu. Os yw hynny'n gweithio ac nad yw'r hen broffil a gedwir yn gweithio, rydych wedi gwahanu'r arteffact oddi wrth y gweinydd ac oddi wrth y dirprwy mewn un cam.
Dosbarthu proffil wedi'i gloi i'r defnyddiwr yn dileu'r ddibyniaeth ar gychwyn etifeddol yn gyfan gwbl, oherwydd nid oes cyfnewid proffil dros dro i fethu. Rhaid ei gyhoeddi ar gyfer y defnyddiwr a fwriedir, byth yn cael ei gopïo oddi wrth weinyddwr, ac mae'n newid yr hyn y mae'r cleient wedi'i awdurdodi i'w wneud, felly triniwch ef fel penderfyniad polisi yn hytrach na chyfyng-gyngor.
Yna trwsiwch y drefn gyhoeddi fel bod pob llwybr gofynnol yn bodoli: y llwybr gwe ar gyfer lawrlwytho a defnyddio'r porth, a'r llwybr VPN brodorol ar y cludydd y mae'r proffiliau'n ei ddisgwyl. Cadwch waith y dirprwy ar un haen. Mae twnnel wedi'i gloi i'r defnyddiwr sy'n gweithio yn profi bod y llwybr hwnnw'n gweithio; nid yw'n profi bod pob trefniant dirprwy yn cefnogi pob cenhedlaeth, ac nid yw methiant cychwyn hen yn condemnio'r fformat mwy newydd.
- Nodwch genhedlaeth yr arteffact cyn cyffwrdd â'r dirprwy.
- Sefydlwch a yw'r methiant yn digwydd cyn y twnnel neu y tu mewn iddo.
- Cadarnhewch beth mae'r blaen yn ei derfynu: HTTP, ffrwd TCP, neu UDP.
- Profwch broffil newydd ei gyhoeddi yn erbyn y pwynt terfyn brodorol gyda'r polisi heb ei newid.