Miks OpenConnect lükkab lüüsi tagasi pärast sertifikaadi vahetust?

Lüüsid vahetavad sertifikaate ja klient, mis eile veel ühendus, hakkab esimesel TLS vahetusel seisma jääma. Teade nimetab kontrolli põhjust, mitte võrgu tõrget, ja masin ise ei ole muutunud, mis on kasulik vihje. Katki on läinud suhe praegu esitatava sertifikaadi ja juurte vahel, mida klient on valmis arvestama. Selle parandamine on usaldusotsus, seega tehke see otsus enne, kui kirjutate mõne valiku.

Lugege tõrget enne, kui muudate ükskõik millist usaldusseadet

Puuduva allkirjastaja tüüpi viga tähendab, et ahel lõpeb millegi juures, mida klient ei aktsepteeri. Selleks võib olla sisemise asutuse uuendatud sertifikaat, avaliku asutuse asendus või vahepealne seade, mis esitab omaenda sertifikaati. Üksi sõnastus ei suuda neid juhtumeid eristada, seega vaadake enne otsustamist väljaandjat.

Käivitage ühendus korra esiplaanil ja laske sellel ebaõnnestuda, sest interaktiivne väljund kannab serveri nime, väljaandja ahelat ja sõrmejälge, mille klient arvutas. Võrrelge seda väljaandjat asutusega, mida teie organisatsioon tõesti haldab. Kui sõrmejälg muutus, väljaandja aga mitte, käsitlege seda kahtlasena, kuni uuendus kinnitatakse kanali kaudu, mida te juba usaldate. Praegu oletamine on see, kuidas inimene lõpuks kinnitab vahendaja võtme.

Kirjutage kliendi versioon samasse märkmesse. Suur osa tõrgetest, mis näevad välja nagu usaldusprobleemid, tuleb vanemast kliendist, mis kohtab uuemat lüüsi vahetust.

Valige, kas usaldada väljaandjat või kinnitada üks võti

Mõlemad valikud teevad ühenduse edukaks. Need katkevad hiljem vastandlikel viisidel, seega kuulub valik tõrkele, mida suudate taluda.

Haarake CA-faili järele, kui sertifikaat pärineb asutusest, mida saate iseseisvalt kontrollida, sest siis jätkavad uuendused töötamist ilma kliendi argumente puutumata. Paaritage see lülitiga, mis keelab süsteemi juured, muidu võib avalik asutus kontrolli teie eest rahuldada. Kinnitage selle asemel siis, kui lüüsil pole CA-d, mille saate hankida, või kui eesmärk on kitsaim võimalik erand. Kumbki tee ei ole abstraktselt turvalisem: CA skaleerub üle uuenduste, kinnitust on lihtsam üle vaadata.

Ükskõik mille valite, peab usaldusväärne väärtus saabuma kanali kaudu, mida usaldati enne muutust. Administraator, konsoolisessioon lüüsil või varem võetud koopia kõik kõlbavad. Kopeerida mis tahes sõrmejälge, mida viip näitab, on mugav ja täpselt see, mida vahendaja loodab.

Pange väärtus käsku, mille te tegelikult käivitate

Kinnitus liigub serveri sertifikaadi valikus ja selle eesliide otsustab kodeeringu: kuueteistkümnendsüsteemi avaliku võtme räsisid sha1 või sha256 all ning base64 võtmekinnitus pin-sha256 all. Selle esitamine keelab ka süsteemi usalduse selle käivituse jaoks, seega kinnitatud võtmest saab kogu otsus.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Klient sobitab kärbitud räsi, võttes vastu vaid neli tähemärki pärast eesliidet, mis on lõks, mitte mugavus. Lühendatud väärtus läbib kohapeal ja ei tuvasta ikkagi lüüsi, mida kavatsesite. Kopeerige täisstring, mille klient esimesel katsel trükkis, selle asemel et seda teatest ümber trükkida. Seejärel liigutage valmis valik ühenduse käivitavasse mähisskripti, unit-faili või profiili, et usaldusotsus oleks ülevaadatav ja hilisemad muudatused teadlikud.

Töölaua käivitajad ja NetworkManageri plugin hoiavad ühenduse argumentidest oma koopiat. Kettale redigeeritud skript ei jõua varem imporditud profiilini, seega salvestatud väärtus võidab edasi.

Käsitlege üleminekut ilma end välja lukustamata

Valikut võib anda rohkem kui korra, seega kavandatud muudatus võib võtta vastu väljuva ja saabuva võtme korraga. Lisage uus kinnitus enne, kui lüüs lülitub, hoidke mõlemat loetletuna, kuni sessioonid migreeruvad, ja eemaldage pensionile jäänud, kui vana võti on kadunud. See aken vajab omanikku, sest unustatud kahekordne kinnitus jätab võtme usaldatuks ilma, et keegi seda jälgiks. Värske võtmepaari tootev ümberehitus rikub puhta kinnituse ja taastamine on sama protseduur vastassuunas.

Kirjutage muutmise kuupäev kinnituse kõrvale. Ilma ülevaatamiskuupäevata kinnitus on tulevane katkestus, mis kannab segast veateadet.

Välistage kliendi versioon enne usalduse redigeerimist

Vananenud klient võib ebaõnnestuda autentimisvastuse parsimisel, mida lüüs on vahepeal muutnud, ja pinnateade räägib endiselt ühendusest, mitte parserist. Võrrelge paigaldatud versiooni sellega, mida lüüs dokumenteerib, ja katsetage praegust paketti ühekordses profiilis enne ükskõik millise usaldusseade muutmist.

openconnect --version

Pärast parandust kontrollige kahte asja, mitte ühte: portaal laadib läbi tunneli ja tavaline sisemine aadress vastab. Lõpetatud kätlus tõestab ainult seda, et usaldusotsus võeti vastu.