Η σύνδεση του OpenConnect προσγειώνεται σε λάθος σελίδα; Ελέγξτε πρώτα τη διαδρομή

Επικολλάτε τη διεύθυνση από το μήνυμα εισαγωγής, ο πελάτης φτάνει στην πύλη και η φόρμα σύνδεσης που εμφανίζεται είναι η γενική πύλη και όχι η πύλη συνεργάτη που περιέγραψε ο διαχειριστής. Τίποτα δεν επιστρέφει σφάλμα, και αυτό ακριβώς μπερδεύει: η σήραγγα μπορεί ακόμη και να σηκωθεί, μόνο πίσω από λάθος σημείο εισόδου. Η διαδρομή σε αυτό το URL έκανε δουλειά, και ό,τι την αντικατέστησε έχασε αυτή τη δουλειά.

Χωρίστε δύο πράγματα που φτάνουν ως ένα κείμενο σε ένα δελτίο: τη διεύθυνση που φτάνει στην υπηρεσία και την είσοδο που αποφασίζει από πού αρχίζει η ταυτοποίηση. Το να διορθώσεις το πρώτο αγνοώντας το δεύτερο είναι ο τρόπος με τον οποίο ένα σωστό όνομα κεντρικού υπολογιστή παράγει ακόμη λάθος σύνδεση.

Τι στέλνει ο πελάτης πριν δείτε φόρμα

Με διεύθυνση όπως https://vpn.example.net/partners, η πρώτη ενέργεια του πελάτη είναι αίτημα HTTPS σε αυτή τη διαδρομή και όχι στον γυμνό κεντρικό υπολογιστή. Αυτό που επιστρέφει είναι συνήθως ανακατεύθυνση στο σημείο σύνδεσης ή η ίδια η φόρμα. Ένας πελάτης που παίρνει μόνο το vpn.example.net ξεκινά από όποια είναι η προεπιλεγμένη σελίδα προορισμού, που μπορεί να είναι άλλη πύλη, άλλη λίστα ομάδων ή σελίδα που περιμένει εντελώς άλλο πρωτόκολλο. Η διαφορά φαίνεται στις κεφαλίδες απόκρισης πολύ πριν πληκτρολογηθεί οποιοδήποτε διαπιστευτήριο.

Γι’ αυτό μια καρτέλα προγράμματος περιήγησης που δουλεύει και ένα προφίλ πελάτη που αποτυγχάνει μπορούν να ονομάζουν την ίδια πύλη και παρ’ όλα αυτά να διαφωνούν. Το πρόγραμμα περιήγησης ακολούθησε τη διαδρομή· το προφίλ δεν την είχε ποτέ.

Δύο είσοδοι που μοιάζουν εναλλάξιμες και δεν είναι

Το OpenConnect εκθέτει την αρχική διαδρομή HTTPS ως --usergroup, και η σελίδα του εγχειριδίου αντιμετωπίζει ένα πλήρες URL που φέρει αυτή τη διαδρομή ως το ίδιο αίτημα γραμμένο διαφορετικά. Το --authgroup είναι ξεχωριστή επιλογή: διαλέγει μια καταχώριση από τη λίστα που παρουσιάζει η πύλη μέσα στη φόρμα σύνδεσης. Ορισμένα πρωτόκολλα ονομάζουν αυτή την καταχώριση ομάδα, άλλα τομέα ή πύλη, και εκεί ακριβώς μπερδεύονται οι δύο παράμετροι.

Μια υπηρεσία μπορεί νόμιμα να χρειάζεται και τα δύο. Η διαδρομή μπορεί να σας φέρει στη σωστή πύλη ενώ η φόρμα ζητά ακόμη να διαλέξετε ανάμεσα σε ομάδες μέσα της. Το να δώσετε το όνομα της πύλης ως όνομα ομάδας, ή το αντίστροφο, παράγει σύνδεση που φαίνεται αποδεκτή και μετά δεν εξουσιοδοτεί, επειδή η τιμή ήταν συντακτικά έγκυρη και σημασιολογικά λάθος.

Ζητήστε από τον διαχειριστή κάθε τιμή σε δική της γραμμή: διαδρομή εισόδου, επιλογή φόρμας και αν χρειάζονται και τα δύο. Μην παράγετε το ένα από το άλλο επειδή οι ετικέτες ακούγονται παρόμοιες.

Γιατί το κόψιμο της διαδρομής αλλάζει το αποτέλεσμα

Οι πελάτες που δέχονται μόνο κεντρικό υπολογιστή και θύρα συχνά συνδέονται παρ’ όλα αυτά, οπότε το σύμπτωμα σπάνια είναι σκληρή αποτυχία. Αντ’ αυτού παίρνετε λάθος σελίδα σύνδεσης, άδεια λίστα ομάδων, όνομα πιστοποιητικού που δεν ταιριάζει πια με αυτό που δημοσίευσε ο διαχειριστής, ή σήραγγα που σηκώνεται χωρίς διαδρομή προς την υπηρεσία που θέλατε. Κάθε ένα από αυτά κάθεται σε διαφορετικό επίπεδο, και κανένα δεν διορθώνεται επικολλώντας μεγαλύτερο κείμενο σε πεδίο που τεκμηριώνεται ως όνομα κεντρικού υπολογιστή. Δύο από αυτά είναι και δυσδιάκριτα από έξω, αφού και τα δύο φτάνουν ως φόρμα σύνδεσης που απλώς δεν συνεχίζει.

Η αντικατάσταση του ονόματος κεντρικού υπολογιστή με διεύθυνση IP είναι ξεχωριστό λάθος που συχνά ταξιδεύει μαζί με αυτό. Η επιλογή υπηρεσίας με βάση το όνομα και η επικύρωση πιστοποιητικού εξαρτώνται και οι δύο από το όνομα, οπότε μια αριθμητική διεύθυνση μπορεί να μετατρέψει πρόβλημα μορφής διαδρομής σε σφάλμα TLS.

Οι διευθύνσεις του προγράμματος περιήγησης φέρουν και περισσότερα από διαδρομές. Αναγνωριστικά συνεδρίας, στόχοι ανακατεύθυνσης, προθέματα γλώσσας και προσωρινές παράμετροι σύνδεσης εμφανίζονται όλα στη γραμμή διευθύνσεων, και κανένα από αυτά δεν ανήκει σε αποθηκευμένο προφίλ πελάτη.

Επιβεβαιώστε το σημείο εισόδου πριν επεξεργαστείτε οτιδήποτε άλλο

Διαβάστε τις κεφαλίδες για τη διαδρομή που σας δόθηκε. Αίτημα όπως curl -sS -o /dev/null -D - https://vpn.example.net/partners εκτυπώνει τη γραμμή κατάστασης και οποιαδήποτε κεφαλίδα Location χωρίς να ακολουθεί την ανακατεύθυνση. Ένα 302 που δείχνει σε ονομασμένο σημείο σύνδεσης επιβεβαιώνει ότι η διαδρομή υπάρχει και δείχνει πού οδηγεί· ένα 404 σημαίνει ότι η διεύθυνση του διαχειριστή είναι παλιά.

Έπειτα αναπαράγετε το ίδιο σημείο εισόδου στον εγκεκριμένο πελάτη, για παράδειγμα openconnect --usergroup=partners vpn.example.net, και παρατηρήστε ποια φόρμα εμφανίζεται. Αν η φόρμα είναι σωστή και η σήραγγα αποτυγχάνει ακόμη, η διαδρομή δεν ήταν ποτέ το πρόβλημα και ο επόμενος σταθμός είναι πολιτική ή δρομολόγηση.

Καταγράψτε όνομα κεντρικού υπολογιστή, θύρα, πρωτόκολλο, διαδρομή εισόδου και επιλογή φόρμας ως πέντε ξεχωριστά πεδία στο δελτίο. Αυτή η λίστα είναι που επιτρέπει στον επόμενο μηχανικό να ξεχωρίσει έναν μη προσβάσιμο διακομιστή από μια απόρριψη TLS, μια απορριφθείσα επιλογή και μια σήραγγα που σηκώθηκε χωρίς τις διαδρομές που χρειαζόταν.