OpenConnecti sisselogimine maandub valel lehel? Kontrolli esmalt rada

Kleebid aadressi sissejuhatavast e-kirjast, klient jõuab lüüsini ja ilmuv sisselogimisvorm on üldportaal, mitte operaatori kirjeldatud partnerportaal. Miski ei näita viga, ja just see ajab segadusse: tunnel võib isegi püsti tulla, lihtsalt vale sisendpunkti taga. Selle URL-i rada tegi tööd, ja mis iganes selle asendas, kaotas selle töö.

Eralda kaks asja, mis saabuvad piletil ühe stringina: aadress, mis jõuab teenuseni, ja sisend, mis otsustab, kust autentimine algab. Esimese parandamine teist eirates on viis, kuidas õige hostinimi annab ikkagi vale sisselogimise.

Mida klient saadab enne, kui näed vormi

Aadressiga nagu https://vpn.example.net/partners on kliendi esimene tegu HTTPS-päring sellele rajale, mitte paljale hostile. Vastuseks tuleb tavaliselt ümbersuunamine sisselogimise lõpp-punkti või vorm ise. Klient, kes saab ainult vpn.example.net, alustab sellest, mis iganes on vaikimisi maandumisleht, ja see võib olla teine portaal, teine grupinimekiri või leht, mis ootab hoopis teist protokolli. Erinevus on vastuse päistes näha kaua enne, kui ükski sisselogimisandmed on sisestatud.

Seetõttu võivad töötav brauserivahekaart ja nurjuv kliendiprofiil nimetada sama lüüsi ja ikkagi mitte ühtida. Brauser järgis rada; profiilil ei olnud seda kunagi.

Kaks sisendit, mis näivad vahetatavad ja ei ole

OpenConnect avaldab algse HTTPS-raja kui --usergroup, ja käsiraamatu leht käsitleb seda rada kandvat täielikku URL-i sama päringuna teisiti kirjutatuna. --authgroup on eraldi valik: see valib kirje nimekirjast, mille lüüs sisselogimisvormi sees esitab. Mõned protokollid nimetavad seda kirjet grupiks, teised domeeniks või lüüsiks, ja täpselt seal lähevad kaks lippu segamini.

Teenus võib õiguspäraselt vajada mõlemat. Rada võib viia sind õigesse portaali, samal ajal kui vorm palub endiselt valida selle sees olevate gruppide vahel. Portaali nime andmine grupi nimena, või vastupidi, annab sisselogimise, mis näib vastuvõetuna ja seejärel ei autoriseeri, sest väärtus oli süntaktiliselt korrektne ja semantiliselt vale.

Küsi operaatorilt iga väärtus eraldi real: sisendirada, vormivalik ja kas mõlemad on vajalikud. Ära tuleta üht teisest, sest siltide kõla on sarnane.

Miks raja kärpimine tulemust muudab

Kliendid, mis aktsepteerivad ainult hosti ja porti, ühenduvad sageli ikkagi, nii et sümptom on harva karm viga. Selle asemel saad vale sisselogimislehe, tühja grupinimekirja, sertifikaadi nime, mis ei vasta enam operaatori avaldatule, või tunneli, mis tõuseb ilma marsruudita soovitud teenuseni. Igaüks neist asub erinevas kihis ja ühtki neist ei paranda pikema stringi kleepimine väljale, mis on dokumenteeritud hostinimena. Kaks neist on ka väljastpoolt eristamatud, sest mõlemad saabuvad sisselogimisvormina, mis lihtsalt ei jätku.

Hostinime asendamine IP-aadressiga on eraldi viga, mis sageli sõidab sellega kaasas. Nimel põhinev teenusevalik ja sertifikaadi valideerimine sõltuvad mõlemad nimest, seega võib numbriline aadress muuta rajaformaadi probleemi TLS-veaks.

Brauseri aadressid kannavad ka enamat kui radu. Sessiooniidentifikaatorid, ümbersuunamise sihtmärgid, keeleprefiksid ja ajutised sisselogimisparameetrid ilmuvad kõik aadressiribale ja ükski neist ei kuulu salvestatud kliendiprofiili.

Kinnita sisendpunkt enne, kui muud midagi

Loe selle raja päiseid, mille said. Päring nagu curl -sS -o /dev/null -D - https://vpn.example.net/partners prindib olekurida ja iga Location-päise ümbersuunamist järgimata. Nimetatud sisselogimise lõpp-punktile osutav 302 kinnitab, et rada on olemas, ja näitab, kuhu see viib; 404 tähendab, et operaatori aadress on aegunud.

Seejärel korda sama sisendpunkti heakskiidetud kliendis, näiteks openconnect --usergroup=partners vpn.example.net, ja vaata, milline vorm ilmub. Kui vorm on õige ja tunnel siiski nurjub, ei olnud rada kunagi probleem ja järgmine peatus on poliitika või marsruutimine.

Märgi piletile hostinimi, port, protokoll, sisendirada ja vormivalik viie eraldi väljana. Just see nimekiri võimaldab järgmisel inseneril eristada kättesaamatut serverit TLS-i keeldumisest, keeldutud valikust ja tunnelist, mis tõusis ilma vajalike marsruutideta.