Kuidas panna OpenConnect interaktiivse sisselogimise järel taustale tööle

Lõpetate MFA-küsimuse, tunnel tõuseb ja terminali sulgemine viib ühenduse endaga kaasa. See on järelevalve, mitte autentimise probleem, ja OpenConnectil on juba lüliti, mis selle lahendab. Lahendus on lasta kliendil pärast käivituse lõppemist taustale hargneda, kui interaktiivne osa on tõesti läbi. Järgneb kontrollide jada: käige need järjekorras läbi ja peatuge esimesel, mis teie lüüsi puhul ei kehti.

Kinnitage, mida lüüs sisselogimisel nõuab

Enne käsu sisestamist kirjutage üles volituste tee, mille juurutamine kehtestab. Ainult sertifikaat, parool pluss token ja brauseri ringkäik SAML-pakkuja kaudu käituvad erinevalt ning taustarežiim ei saa neist ühtegi vahele jätta. Valik muudab seda, mis toimub pärast käivitust, mitte kunagi seda, mis toimub selle ajal.

Kiusatus on küsimus automatiseerida. Ümbris, mis trükib fikseeritud vastuse, kui tunneb ära parooliküsimuse, läheb katki hetkel, kui lüüs küsib ühekordset koodi, ja jätab volituse faili, mida teised kontod saavad lugeda. Kui inimene peab sessiooni kinnitama, hoidke inimene ahelas.

Käivitage esimene sessioon esiplaanil ja lugege väljundit

Ühenduge korra tavaliselt ja laske kogu kätlemine välja trükkida. Märkige üles kasutatav protokoll, sertifikaadi või tokeni tee, serveri määratud tunneli aadress ja iga hoiatus enne ühenduse vastuvõtmist. See kirje on teie baasjoon ja ainus odav viis hiljem eristada kliendi probleemi lüüsi muudatusest. Salvestage see väljaspool terminali puhvrit.

Seejärel korrake sama kutset taustarežiimi ja lisatud PID-failiga, näiteks openconnect --background --pid-file /run/openconnect.pid vpn.example.net, hoides lüüsi nõutavaid protokolli- ja autentimisvalikuid samal real. OpenConnecti käsiraamat kirjeldab seda valikut taustal jätkamisena pärast käivituse lõppu ja just seetõttu peab interaktiivne faas olema esimesena lõpetatud.

Tehke töötav protsess leitavaks ja peatatavaks

PID-fail on tõestus ainult seni, kuni see vastab elavale protsessile. Pange see teenusekonto omanduses olevasse kataloogi ja võrrelge kirja pandud numbrit protsessitabeliga enne signaali saatmist. Restardid ja krahhid jätavad faili maha ning aegunud fail on tavaline põhjus, miks stoppskript teatab edust, kui tunnel alles töötab. Käsitlege kontrolli peatumisprotseduuri osana, mitte valikulise sammuna.

Saatke signaal kinnitatud PID-ile ja veenduge seejärel, et tunneli liides on tõesti kadunud, mitte ärge usaldage väljumisolekut. Kui klient vajab liidese seadistamiseks kõrgendatud õigusi, peab signaal tulema kontolt, millel on luba seda saata.

Ärge virnastage taustarežiimi järelevalve alla

systemd ja sarnased järelevalvurid eeldavad, et nad omavad käivitatud protsessi, mistõttu hargnev klient ajab nad segadusse. Järelevalvur näeb käivitaja väljumist, samal ajal kui tegelik ühendus elab edasi, nii et restartimise loogika, olekuteated ja peatamise ajapiirid kirjeldavad midagi, mis enam tõsi pole. Kirjutage üksus toetatud esiplaani paigutuses ja laske järelevalvuril deemonitöö ära teha.

Hoidke --background sessioonide jaoks, mille inimene algatab ja siis lahkub. Kui nõue on tunnel, mis eksisteerib enne, kui keegi sisse logib, on puudu kinnitatud mitteinteraktiivne identiteet ja selle uuendamise plaan, ning ükski käsurealipuke ei anna kumbagi. Lipu lisamine alglaadimisskripti loob tunneli, mis ebaõnnestub vaikselt esimesel aegunud volitusel.

Käsitlege sessiooniküpsist volitusena

OpenConnect dokumenteerib eraldi autentimisfaasi --authenticate kaudu ja saadud materjali saab tagastada --cookie-on-stdin-ga. See paar on integratsioonitöö jaoks ja see, mida see toodab, on sama tundlik kui parool, mis selle lõi.

Hoidke väärtust shelli ajaloost, logidest ja igast avatud piletist eemal. Üleandmisskript peab säilitama ka kinnitatud lõpp-punkti info, mille klient küpsisega koos sai; kui see kaob, võib hilisem käivitus ühenduda hostiga, mida te kunagi ei autentinud, mis on hullem kui lihtsalt ebaõnnestuv ühendus.

Käige nimekiri läbi enne terminali sulgemist

Neli asja peavad paika pidama: interaktiivne sisselogimine lõppes esiplaanil, PID-fail osutab teie kinnitatud protsessile, järelevalve küsimus on ühele või teisele poole otsustatud ja küpsisel on salvestusplaan, mis pole tavaline tekstifail. Kui kõik neli kehtivad, on terminalist eemaldumine ohutu ja tunnel töötab edasi.

Kui üks neist ebaõnnestub, parandage see punkt enne teiste puudutamist, sest ülejäänud kontrollid ei suuda seda korvata. Hoidke ka esimese käivituse esiplaani kirje: järgmisel korral, kui tunnel hoiatamata maha kukub, eristab just see baasjoon lüüsipoolset muudatust kliendipoolsest.