Zergatik ukatzen du OpenConnect-ek atebidea ziurtagiria aldatu ondoren?
Atebideko ziurtagiria aldatu ondoren egiaztatzeak huts egitea konfiantza-erabakia da, ez tunel hondatua. Ziurtagiria jaulkitzen duen CAren eta gako bakarraren finkapenaren artean aukeratu.
Atebideek ziurtagiriak ordezten dituzte, eta atzo konektatzen zuen bezeroa lehen TLS trukean gelditzen hasten da. Mezuak egiaztatze-arrazoi bat aipatzen du, ez sare-hutsegite bat, eta makinak berak ez du aldatu, eta hori da arrasto erabilgarria. Hautsi dena orain aurkezten den ziurtagiriaren eta bezeroa kontuan hartzeko prest dagoen erroen arteko erlazioa da. Hori konpontzea konfiantza-erabakia da, beraz hartu erabaki hori aukera bat idatzi aurretik.
Irakurri hutsegitea konfiantza-ezarpena aldatu aurretik
Sinatzailea falta da motako erroreak katea onartzen ez duen zerbaitetan amaitzen dela esan nahi du. Barne-autoritate baten ziurtagiri berritua, publiko baten ordezkapena edo erdian bere ziurtagiria aurkezten duen gailu bat izan daiteke. Hitzek soilik ezin dituzte kasu horiek bereizi, beraz begiratu jaulkitzaileari erabaki aurretik.
Exekutatu konexioa behin aurreko planoan eta utzi huts egiten, irteera interaktiboak zerbitzariaren izena, jaulkitzaile-katea eta bezeroak kalkulatutako hatz-marka daramatzalako. Alderatu jaulkitzaile hori zure erakundeak benetan kudeatzen duen autoritate batekin. Hatz-marka aldatu bada eta jaulkitzailea ez, tratatu susmagarritzat jada fidatzen zaren kanal baten bidez berritzea baieztatu arte. Une honetan asmatzea da pertsona bat erasotzaile baten gakoa finkatzen amaitzeko modua.
Idatzi bezeroaren bertsioa ohar berean. Konfiantza-arazoak diruditen hutsegiteen zati handi bat bezero zaharrago bat atebideko truke berriago batekin topatzean dator.
Aukeratu jaulkitzaileari fidatzearen eta gako bat finkatzearen artean
Bi aukerek konexioa arrakastatsu egiten dute. Geroago modu kontrajarrietan hausten dira, beraz aukera jasan dezakezun hutsaren araberakoa da.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
Joan CA fitxategira ziurtagiria modu independentean egiaztatu dezakezun autoritate batetik datorrenean, berritzeek bezero-argumentuak ukitu gabe funtzionatzen jarraitzen dutelako. Parekatu sistemaren erroak desgaitzen dituen etengailuarekin, bestela autoritate publiko batek zure izenean bete dezake egiaztapena. Finkatu ordez atebideak lortu dezakezun CArik ez duenean edo ahalik eta salbuespen estuena helburua denean. Inongo bider ez da seguruagoa abstraktuan: CAk berritzeetan zehar eskalatzen du, finkapena errazago berrikusten da.
Edozein aukeratuta ere, konfiantzazko balioak aldaketa gertatu aurretik fidagarria zen kanal batetik iritsi behar du. Administratzaile bat, atebidean kontsolako saio bat edo aldez aurretik hartutako kopia bat guztiak dira egokiak. Gonbiteak erakusten duen hatz-marka edozein kopiatzea erosoa da eta erasotzaile batek hain zuzen espero duena.
Jarri balioa benetan abiarazten duzun komandoan
Finkapena zerbitzari-ziurtagiriaren aukera batean doa, eta haren aurrizkiak erabakitzen du kodeketa: gako publikoaren digests hamaseitarrak sha1 edo sha256 pean, eta base64 gako-finkapena pin-sha256 pean. Hura emateak sistema-konfiantza desgaitzen du exekuzio horretarako, beraz finkatutako gakoa erabaki osoa bihurtzen da.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustBezeroak digest moztu bat parekatzen du, aurrizkiaren ondoren lau karaktere soilik onartuz, eta hori tranpa da, ez erosotasuna. Balio laburtuak lokalean pasatzen du eta oraindik ez du identifikatzen buruan zenuen atebidea. Kopiatu bezeroak lehen saioan inprimatu zuen kate osoa, mezu batetik berridatzi ordez. Ondoren mugitu amaitutako aukera konexioa abiarazten duen bilgarri-script, unitate-fitxategi edo profilera, konfiantza-erabakia berrikusgarria izan dadin eta geroko aldaketak deliberatuak.
Mahaigaineko abiarazleek eta NetworkManager pluginak konexio-argumentuen beren kopia gordetzen dute. Diskoan editatutako script batek lehenago inportatutako profil batera ez da iristen, beraz gordetako balioak irabazten jarraitzen du.
Kudeatu txanda bat zeure burua kanpoan utzi gabe
Aukera behin baino gehiagotan eman daiteke, beraz aldaketa planifikatu batek irteten eta sartzen ari diren gakoak elkarrekin onar ditzake. Gehitu finkapen berria atebidea aldatu aurretik, eduki biak zerrendatuta saioak migratzen diren bitartean, eta kendu erretiratua gako zaharra desagertu denean. Leiho horrek arduradun bat behar du, ahaztutako finkapen bikoitzak gako bat konfiantzaz uzten baitu inork zaintzen ez duela. Gako-pare berri bat sortzen duen berreraikitzeak finkapen hutsa puskatzen du, eta berreskurapena beste norabideko prozedura bera da.
Idatzi aldaketaren data finkapenaren ondoan. Berrikuspen-datarik gabeko finkapena etorkizuneko eten bat da, errore-mezu nahasia daramana.
Baztertu bezeroaren bertsioa konfiantza editatu aurretik
Bezero zaharkitu batek huts egin dezake atebideak geroztik aldatu duen autentifikazio-erantzuna analizatzean, eta azaleko mezuak oraindik konexioaz hitz egiten du, ez analizatzaileaz. Alderatu instalatutako bertsioa atebideak dokumentatzen duenarekin, eta probatu uneko pakete bat erabilera bakarreko profilean konfiantza-ezarpena aldatu aurretik.
openconnect --versionKonpondu ondoren, egiaztatu bi gauza, bat ez: ataria tuneletik kargatzen da, eta barne-helbide arrunt batek erantzuten du. Amaitutako esku-emateak konfiantza-erabakia onartu zela baino ez du frogatzen.