Kial OpenConnect rifuzas la enirejon post ŝanĝo de atestilo?

Enirejoj anstataŭigas atestilojn, kaj kliento, kiu konektiĝis hieraŭ, komencas halti ĉe la unua TLS interŝanĝo. La mesaĝo nomas kontrolan kaŭzon anstataŭ retan difekton, kaj la maŝino mem ne ŝanĝiĝis, kio estas la utila indico. Kio rompiĝis estas la rilato inter la atestilo nun prezentata kaj la radikoj, kiujn la kliento pretas konsideri. Ripari tion estas decido pri fido, do faru tiun decidon antaŭ ol vi tajpi opcion.

Legu la malsukceson antaŭ ol ŝanĝi ajnan fidan agordon

Eraro de la tipo mankanta subskribanto signifas, ke la ĉeno finiĝas ĉe io, kion la kliento ne akceptas. Tio povas esti renovigita atestilo de interna aŭtoritato, anstataŭigo de publika, aŭ aparato meze, kiu prezentas sian propran atestilon. Nur la vortigo ne povas distingi tiujn kazojn, do rigardu la eldonanton antaŭ ol decidi.

Rulu la konekton unufoje en la unua plano kaj lasu ĝin malsukcesi, ĉar la interaga eligilo portas la servilan nomon, la eldonan ĉenon kaj la fingrospuron, kiun la kliento komputis. Komparu tiun eldonanton kun aŭtoritato, kiun via organizo efektive funkciigas. Se la fingrospuro ŝanĝiĝis dum la eldonanto ne, traktu ĝin kiel suspektindan ĝis renovigo konfirmiĝos per kanalo, kiun vi jam fidas. Diveni ĉi-momente estas kiel persono finas fiksante la ŝlosilon de interkaptanto.

Notu la klientan version en la sama noto. Granda parto de la malsukcesoj, kiuj aspektas kiel fidproblemoj, venas de pli malnova kliento renkontanta pli novan enirejan interŝanĝon.

Elektu inter fidi la eldonanton kaj fiksi unu ŝlosilon

Ambaŭ opcioj sukcesigas la konekton. Ili rompiĝas poste laŭ kontraŭaj manieroj, do la elekto apartenas al la malsukceso, kiun vi povas toleri.

Uzu la CA-dosieron, kiam la atestilo venas de aŭtoritato, kiun vi povas sendepende kontroli, ĉar renovigoj tiam daŭre funkcias sen tuŝi klientajn argumentojn. Paru ĝin kun la ŝaltilo, kiu malŝaltas sistemajn radikojn, alie publika aŭtoritato povas plenumi la kontrolon anstataŭ vi. Fiksu anstataŭe, kiam la enirejo ne havas CA, kiun vi povas akiri, aŭ kiam la plej mallarĝa ebla escepto estas la celo. Neniu vojo estas pli sekura abstrakte: la CA skaliĝas tra renovigoj, la fiksado estas pli facile revizienda.

Kiun ajn vi elektos, la fidinda valoro devas alveni per kanalo, kiu estis fidinda antaŭ ol okazis la ŝanĝo. Administranto, konsola seanco sur la enirejo aŭ antaŭe prenita kopio ĉiuj taŭgas. Kopii ajnan fingrospuron, kiun la invito montras, estas oportune kaj estas ĝuste tio, kion interkaptanto esperas.

Metu la valoron en la komandon, kiun vi efektive lanĉas

La fiksado vojaĝas en servila atestila opcio, kaj ĝia prefikso decidas la kodadon: deksesumaj publikŝlosilaj resumoj sub sha1 aŭ sha256, kaj la base64 ŝlosila fiksado sub pin-sha256. Provizi ĝin ankaŭ malŝaltas sisteman fidon por tiu rulo, do la fiksita ŝlosilo fariĝas la tuta decido.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

La kliento kongruas stumpigitan resumon, akceptante nur kvar signojn post la prefikso, kio estas kaptilo, ne oportuneco. Mallongigita valoro pasas loke kaj ankoraŭ ne identigas la enirejon, kiun vi intencis. Kopiu la plenan ĉenon, kiun la kliento presis ĉe la unua provo, anstataŭ retajpi ĝin el mesaĝo. Poste movu la pretan opcion en la envolvigan skripton, unit-dosieron aŭ profilon, kiu lanĉas la konekton, por ke la fida decido estu revizienda kaj postaj redaktoj intencaj.

Laborseĝaj lanĉiloj kaj la NetworkManager-plugeno konservas sian propran kopion de la konektaj argumentoj. Skripto redaktita sur la disko ne atingas antaŭe importitan profilon, do la konservita valoro daŭre venkas.

Traktu ŝanĝon sen ŝlosi vin ekstere

La opcion eblas doni pli ol unufoje, do planita ŝanĝo povas akcepti la forirantan kaj alvenantan ŝlosilojn kune. Aldonu la novan fiksadon antaŭ ol la enirejo ŝaltiĝos, tenu ambaŭ listigitaj dum seancoj migras, kaj forigu la emeritiĝintan, kiam la malnova ŝlosilo malaperis. Tiu fenestro bezonas posedanton, ĉar forgesita duobla fiksado lasas ŝlosilon fidata sen iu ajn observanta ĝin. Rekonstruo, kiu produktas freŝan ŝlosilparon, rompas puran fiksadon, kaj reakiro estas la sama proceduro en la alia direkto.

Skribu la ŝanĝodaton apud la fiksado. Fiksado sen reviziodato estas estonta paneo portanta konfuzan erarmesaĝon.

Ekskludu la klientan version antaŭ ol redakti fidon

Malfrua kliento povas malsukcesi dum analizado de aŭtentiga respondo, kiun la enirejo ekde tiam ŝanĝis, kaj la surfaca mesaĝo ankoraŭ parolas pri la konekto anstataŭ pri la analizilo. Komparu la instalitan version kun tio, kion la enirejo dokumentas, kaj testu aktualan pakaĵon en unu-foja profilo antaŭ ol ŝanĝi ajnan fidan agordon.

openconnect --version

Post la riparo, kontrolu du aferojn anstataŭ unu: la portalo ŝarĝiĝas tra la tunelo, kaj ordinara interna adreso respondas. Kompletigita manpremo pruvas nur, ke la fida decido estis akceptita.