Nola jarri OpenConnect bigarren planoan saio-hasiera interaktiboaren ondoren

MFA eskaera amaitzen duzu, tunela altxatzen da eta terminala ixteak konexioa ere eramaten du. Gainbegiratze arazoa da, ez autentifikazioarena, eta OpenConnectek badu hori konpontzen duen etengailua. Konponbidea da bezeroak atzeko planora adarkatzea abiaraztea amaitu ondoren, parte interaktiboa benetan amaituta dagoenean. Ondoren egiaztapen zerrenda dator: egin itzazu ordenan eta gelditu zure atebideari egokitzen ez zaion lehenengoan.

Egiaztatu atebideak saio-hasieran zer eskatzen duen

Komando bat idatzi aurretik, idatzi ezazu inplementazioak ezartzen duen kredentzial bidea. Bakarrik ziurtagiria, pasahitza gehi tokena, eta SAML hornitzailearen bidezko nabigatzaile ibilbidea desberdin jokatzen dute, eta atzeko planoko moduak ezin du bat bera ere saihestu. Aukerak abiaraztearen ondoren gertatzen dena aldatzen du, ez inoiz haren zehar gertatzen dena.

Tentagarria den konponbidea eskaera automatizatzea da. Pasahitz eskaera bat ezagutzean erantzun finkoa idazten duen bilgarriak unean bertan huts egiten du atebideak behin-behineko kodea eskatzen duenean, eta kredentziala beste kontu batzuek irakur dezaketen fitxategi batean uzten du. Pertsona batek saioa onartu behar badu, mantendu pertsona hori prozesuan.

Exekutatu lehen saioa lehen planoan eta irakurri irteera

Konektatu behin normaltasunez eta utzi esku-emate osoa inprimatzen. Idatzi erabiltzen den protokoloa, ziurtagiri edo token bidea, zerbitzariak esleitzen duen tunel helbidea eta konexioa onartu aurretik emandako abisu guztiak. Transkripzio hori zure oinarri-lerroa da eta geroago bezero arazoa atebide aldaketatatik bereizteko modu merke bakarra. Gorde terminaleko bufferretik kanpo.

Ondoren errepikatu deialdi bera atzeko planoko moduarekin eta PID fitxategi bat gehituta, adibidez openconnect --background --pid-file /run/openconnect.pid vpn.example.net, zure atebideak eskatzen dituen protokolo eta autentifikazio aukerak lerro berean mantenduz. OpenConnect eskuliburuak aukera hori abiaraztea amaitu ondoren atzeko planoan jarraitzea bezala deskribatzen du, eta horregatik behar du fase interaktiboak lehenengo amaitu.

Egin exekuzioan dagoen prozesua aurkitzen eta gelditzen erraza

PID fitxategia froga da soilik prozesu bizi batekin bat datorren bitartean. Jarri zerbitzu-kontuaren jabetzako direktorioan eta alderatu erregistratutako zenbakia prozesuen taularekin seinalerik bidali aurretik. Berrabiarazteak eta kraskadak fitxategia uzten dute, eta fitxategi zaharkitua da ohiko arrazoia gelditze-script batek arrakasta jakinarazteko tunela oraindik altxatuta dagoela. Hartu egiaztapena gelditze-prozeduraren zati gisa, ez urrats aukerako gisa.

Bidali seinalea egiaztatutako PIDari eta gero egiaztatu tunel interfazea benetan desagertu dela, irteera-egoeran fidatu beharrean. Bezeroak pribilegio altuak behar baditu interfazea konfiguratzeko, seinalea bidaltzeko baimena duen kontutik etorri behar du.

Ez pilatu atzeko planoko modua gainbegirale baten azpian

systemd eta antzeko gainbegiraleek beren abiarazitako prozesuaren jabe izatea espero dute, eta horregatik adarkatzen den bezero batek nahasten ditu. Gainbegiraleak abiarazlea irteten ikusten du benetako konexioa bizirik dagoen bitartean, beraz berrabiarazte logikak, egoera-txostenek eta gelditze-denborak jada egia ez den zerbait deskribatzen dute. Idatzi unitatea onartutako lehen planoko antolamenduan eta utzi gainbegiraleari daemon lana.

Gorde --background pertsona batek hasi eta gero alde egiten duen saioetarako. Baldintza inor saio-hasiera egin aurretik existitzen den tunela bada, falta den pieza da onartutako identitate ez-interaktiboa eta hura berritzeko plana, eta komando-lerroko bandera batek ere ez du bat ere ematen. Bandera abiarazte-script bati gehitzeak lehen kredentzial iraungitzean isilki huts egiten duen tunela sortzen du.

Hartu saioaren cookiea kredentzial gisa

OpenConnectek --authenticate bidezko autentifikazio fase bereizia dokumentatzen du, eta lortutako materiala --cookie-on-stdin-rekin itzul daiteke. Bikote hori integrazio lanetarako dago, eta sortzen duena sortu zuen pasahitza bezain sentikorra da.

Eduki balioa shell historiatik, logetatik eta irekitzen duzun edozein tiketetatik kanpo. Eskualdaketa-script batek cookiearekin batera bezeroak jaso zituen amaierako puntu egiaztatuen informazioa ere gorde behar du; hura galtzen baduzu, geroagoko exekuzio bat inoiz autentifikatu ez duzun ostalari batetara konekta daiteke, huts egiten duen konexio bat baino okerragoa dena.

Egin zerrenda osoa terminala itxi aurretik

Lau gauza egia izan behar dira: saio-hasiera interaktiboa lehen planoan amaitu da, PID fitxategiak egiaztatu duzun prozesu bat seinalatzen du, gainbegiralearen kontua alde batera edo bestera erabaki da, eta cookieak testu-fitxategi arrunta ez den biltegiratze plana du. Lauak betetzen direnean, terminaletik urruntzea segurua da eta tunelak funtzionatzen jarraitzen du.

Horietako bat huts egiten badu, konpondu elementu hori besteak ukitu aurretik, gainerako egiaztapenek ezin baitute hura konpentsatu. Gorde lehen exekuzioko lehen planoko transkripzioa ere: hurrengoan tunela abisurik gabe erortzen denean, oinarri-lerro horrek bereizten du atebide aldeko aldaketa bezero aldeko aldaketatatik.