ConnMan OpenConnect-en cookiearen iraungitzea, ez ziurtagiri-arazoa

ConnMan-ek arratsalde oso bat funtzionatzen du eta gero uko egiten dio, eta egunkariko lerroak ziurtagiriaren egiaztapena aipatzen du. Lerro horrek jendea inoiz hautsi ez ziren CA sortetara bidaltzen du. Bi hutsegite desberdinek porrotaren ia forma bera sortzen dute: saio-cookiea iraungi egiten da, edo zerbitzariaren ziurtagiria benetan aldatu da. Minutu batean bereiz daitezke, eta horietako batek soilik du hatz-markarekin zerikusirik.

Bi hutsegite, egunkari-lerro nahasgarri bat

Bi behaketaren bidez bereizten dira, eta batek ere ez du bigarren irakurketa behar. Lehena hutsegitea noiz hasi zen da: iraungitako cookiea ordu edo egunetako lanaren ondoren iristen da, eta ordezkatutako ziurtagiria atebidearen aldaketaren ondoren bertan iristen da.

Minutuko proba beheko authenticate exekuzioa da. Alderatu haren FINGERPRINT fitxategiko OpenConnect.ServerCert-rekin. Hatz-marka bera eta COOKIE desberdina bada, cookiea soilik ordezkatu behar da. Hatz-marka desberdina bada, zerbitzariaren ziurtagiria benetan aldatu da, beraz, finkatu berriro nahita eta erregistratu nork onartu zuen.

Sortu materiala, idatzi ordez

ConnMan-ek ez du OpenConnect profil bat inportatzeko urratsik, NetworkManager-en aldean. Baliabide-fitxategi bat irakurtzen du, zeinaren balioak aldez aurretik sortu behar diren, eta horiek sortzeko modu onartua OpenConnect-en authenticate modua da.

sudo openconnect --csd-wrapper=/home/user/.cisco/csd-wrapper.sh \
  --authenticate --user myuser vpn.example.com

Irteerak lau balio inprimatzen ditu: POST, COOKIE, HOST eta FINGERPRINT. Hatz-marka, sha256: aurrizkiarekin, zerbitzariaren finkapena da. Cookiea atebideak erabakitzen duen bizitzaldia duen saio-artefaktua da. Trata itzazu sekretu mota desberdin gisa: egutegi desberdinetan iraungitzen dira, eta bakarra aldatzea espero da.

Fitxategiak biak daramatza, eta desberdin zahartzen dira

Baliabide-fitxategia /var/lib/connman-vpn/ azpian dago eta VPN daemonak irakurtzen du konexio bakoitzeko, ez erretilu-aplikazioak. Mantendu konexioaren izena atal globalean eta protokoloaren xehetasunak hornitzailearen atalean.

[global]
Name = Company VPN

[provider_openconnect]
Type = OpenConnect
Name = Company Cisco VPN
Host = vpn.example.com
Domain = corp.example
OpenConnect.ServerCert = sha256:...
OpenConnect.Cookie = ...

Erabili atebideak benetan zerbitzatzen duen ostalari-izena. IP helbide soilak ziurtagiriaren egiaztapena gaindi dezake eta hala ere huts egin, gailuak ostalari birtualaren arabera bideratzen duelako eta izena espero duelako.

systemctl status connman-vpn --no-pager   # is the daemon even installed and running
sudo systemctl restart connman-vpn       # after the file edit
journalctl -u connman-vpn --since '1 hour ago'  # after the connection attempt

Zer erakusten duen egunkariak benetan

Erretiluaren aholkuak ez dizu esango zein hutsegite duzun. Egunkariak bai, sekuentzia irakurtzen baduzu lehen lerro kezkagarria beharrean. Cookie zaharkituak TLS negoziazioa amaitu eta HTTP geruzak gero uko egin ziola erakutsi ohi du, eta horregatik daude ziurtagiriei buruzko hitzak baimen-hutsegite baten ondoan.

Alderatu authenticate exekuzio berri bat fitxategiko balioekin. Hatz-marka bat badator eta cookiea soilik desberdina bada, erantzuna duzu konfiantza-ezarpenak ukitu gabe.

Berritu iraungitako eremua

Errepikatu authenticate komandoa, ordezkatu OpenConnect.Cookie, eta berrabiarazi daemona. Utzi hatz-marka bakean irteera berriak balio desberdina erakusten ez badu; kasu horretan zerbitzariaren ziurtagiria benetan ordezkatu da eta berriro finkatzea norbaitek erregistratu beharreko erabakia da, ez errore-mezu batetik itsastea.

Berritzea automatizatzea zentzuzkoa da: script txiki batek pasahitza sarrera estandarraretik irakurtzen du, authenticate modua exekutatzen du eta cookiearen lerroa soilik berridazten du. Eduki ezazu kredentziala scriptetik kanpo eta hura exekutatzen duen konturako soilik irakurgarri, eta egin berridazketa atomikoa, exekuzio huts batek erdi idatzitako fitxategirik utz ez dezan.

Berritzea ordu gutxiro behar bada, idatzi tartea. Atebidearen saio-politikaren ezaugarria da, eta erabakitzen du berritzea automatizatu edo saio luzeagoa eskatu.