Wêrom wegeret OpenConnect de gateway nei in sertifikaatwiksel?

Gateways ferfange sertifikaten, en in klient dy't juster noch ferbûn wie, begjint by de earste TLS-útwikseling te stopjen. It berjocht neamt in ferifikaasjereden yn plak fan in netwurkflater, en de masine sels is net feroare, dat is de nuttige oanwizing. Wat brutsen is, is de relaasje tusken it sertifikaat dat no oanbean wurdt en de woartels dy't de klient ree is te beskôgjen. Dat reparearje is in fertrouwensbeslissing, dus nim dy beslissing foardat jo in opsje yntype.

Lês de flater foardat jo in fertrouwensynstelling feroarje

In flater fan it type ûntbrekkende ûndertekener betsjut dat de keatling einiget by eat dat de klient net akseptearret. Dat kin in fernijde sertifikaat fan in ynterne autoriteit wêze, in ferfanging fan in iepenbiere, of in apparaat yn 'e midden dat syn eigen sertifikaat oanbiedt. Allinne de formulearring kin dy gefallen net ûnderskiede, dus sjoch nei de útjouwer foardat jo beslute.

Rin de ferbining ien kear op 'e foargrûn en lit it mislearje, want de ynteraktive útfier draacht de servernamme, de útjouwerskeatling en de fingerôfdruk dy't de klient berekkene hat. Fergelykje dy útjouwer mei in autoriteit dy't jo organisaasje echt betsjinnet. As de fingerôfdruk feroare is wylst de útjouwer dat net die, behannelje it as fertocht oant in fernijing befêstige wurdt fia in kanaal dat jo al fertrouwe. Op dit punt geasse is hoe't immen úteinlik de kaai fan in ûnderskepper fêstset.

Skriuw de klientferzje yn deselde notysje. In grut part fan 'e flaters dy't op fertrouwensproblemen lykje, komt fan in âldere klient dy't in nijere gateway-útwikseling treft.

Kies tusken de útjouwer fertrouwe en ien kaai fêstsette

Beide opsjes meitsje de ferbining suksesfol. Se brekke letter op tsjinoerstelde wizen, dus de kar heart by de flater dy't jo ferneare kinne.

Grypt nei it CA-bestân as it sertifikaat fan in autoriteit komt dy't jo ûnôfhinklik ferifiearje kinne, want fernijingen bliuwe dan wurkjen sûnder klientarguminten oan te reitsjen. Keppelje it oan 'e skeakel dy't systeemwoartels útskeakelet, oars kin in iepenbiere autoriteit de kontrôle foar jo dwaan. Fêstsette ynstee as de gateway gjin CA hat dy't jo krije kinne, of as de smalst mooglike útsûndering it doel is. Gjin fan beide paden is abstrakt feiliger: de CA skalearret oer fernijingen, it fêstsetten is makliker te kontrolearjen.

Hokker jo ek kieze, de fertroude wearde moat binnenkomme fia in kanaal dat fertroud wie foardat de feroaring barde. In behearder, in konsolesesje op 'e gateway, of in kopy dy't foarôf nommen is, kwalifisearje allegear. It kopiearjen fan hokker fingerôfdruk de opdracht dan ek toant is handich en is ek krekt wat in ûnderskepper hoopet.

Set de wearde yn it kommando dat jo echt starte

It fêstsetten reizget yn in server-sertifikaat-opsje, en syn foarheaksel bepaalt de kodearring: heksadesimale iepenbiere-kaai-digests ûnder sha1 of sha256, en it base64-kaaifêstsetten ûnder pin-sha256. It jaan derfan skeakelet ek systeemfertrouwen út foar dy rinn, dus de fêstsette kaai wurdt de hiele beslissing.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

De klient matcht in ôfkoarte digest, en akseptearret sa min as fjouwer tekens nei it foarheaksel, wat in fal is yn plak fan in gemak. In ferkoarte wearde slagget lokaal en identifisearret noch altyd net de gateway dy't jo bedoelden. Kopiearje de folsleine tekenrige dy't de klient by de earste besiking printe, yn plak fan dy opnij te typen út in berjocht. Ferpleats dan de klearmakke opsje yn it wrapper-skript, ienheidsbestân of profyl dat de ferbining start, sadat de fertrouwensbeslissing kontrolearber is en lettere bewurkings bewust binne.

Buroblêd-starters en de NetworkManager-plug-in bewarje har eigen kopy fan 'e ferbiningsarguminten. In skript dat op skiif bewurke is, berikt gjin profyl dat earder ymportearre is, dus de bewarre wearde bliuwt winne.

Behanje in omskeakeling sûnder josels bûten te sluten

De opsje kin mear as ien kear jûn wurde, dus in plande feroaring kin de útgeande en ynkommende kaaien tegearre akseptearje. Foegje it nije fêstsetten ta foardat de gateway omskeakelet, hâld beide neamd wylst sesjes migrearje, en lit de pensjonearre falle as de âlde kaai fuort is. Dat finster hat in eigner nedich, want in fergetten dûbele fêstsetting lit in kaai fertroud efter sûnder immen dy't der op let. In werbou dy't in nij kaaipear produsearret, brekt in suver fêstsetten, en weromsetten is deselde proseduere yn 'e oare rjochting.

Skriuw de feroaringsdatum njonken it fêstsetten. In fêstsetten sûnder kontroledatum is in takomstige ûnderbrekking mei in betiizjende flaterboodskip.

Slút de klientferzje út foardat jo fertrouwen bewurkje

In ferâldere klient kin mislearje wylst er in autentikaasje-antwurd parset dat de gateway sûnt feroare hat, en it oerflakberjocht praat noch altyd oer de ferbining yn plak fan de parser. Fergelykje de ynstallearre ferzje mei wat de gateway dokumintearret, en test in aktueel pakket yn in eigensinnich profyl foardat jo in fertrouwensynstelling feroarje.

openconnect --version

Nei de reparaasje, ferifiearje twa dingen yn plak fan ien: it portaal laden troch de tunnel, en in gewoane ynterne adres antwurdet. In foltôge hânskodding bewiist allinne dat de fertrouwensbeslissing akseptearre is.