Teip an fhianáin ConnMan OpenConnect, ní fadhb teastais é

Oibríonn ConnMan tráthnóna agus ansin diúltaíonn sé, agus luann líne an log fíorú teastais. Seolann an líne sin daoine chuig babhtaí CA nár briseadh riamh. Táirgeann dhá locht éagsúla beagnach an chruth céanna teipe: téann fianán an tseisiúin in éag, nó d'athraigh teastas an fhreastalaí i ndáiríre. Is féidir iad a scaradh i gceann nóiméid nó mar sin, agus ní bhaineann ach ceann acu leis an méarlorg ar chor ar bith.

Dhá locht, aon líne log mhearbhallach

Scarann siad ar dhá bhreathnóireacht, agus ní gá ceann ar bith acu a léamh faoi dhó. Is é an chéad cheann cathain a thosaigh an teip: tagann fianán as feidhm tar éis uaireanta nó laethanta oibre, agus tagann teastas athsheachadta díreach tar éis athrú geata.

Is é an tástáil nóiméid an rith authenticate thíos. Cuir a FINGERPRINT i gcomparáid le OpenConnect.ServerCert sa chomhad. Ciallaíonn méarlorg comhionann le COOKIE difriúil nach ndéantar ach an fianán a athsholáthar. Ciallaíonn méarlorg difriúil gur athraigh teastas an fhreastalaí i ndáiríre, mar sin déan é a phionnáil arís go d'aon ghnó agus taifead cé a cheadaigh é sin.

Gin an t-ábhar seachas é a chlóscríobh

Níl aon chéim iompórtála ag ConnMan do phróifíl OpenConnect, murab ionann agus NetworkManager. Léann sé comhad soláthair a gcaithfear a luachanna a tháirgeadh roimh ré, agus is é an bealach tacaithe chun iad a tháirgeadh mód authenticate OpenConnect.

sudo openconnect --csd-wrapper=/home/user/.cisco/csd-wrapper.sh \
  --authenticate --user myuser vpn.example.com

Priontálann an t-aschur ceithre luach: POST, COOKIE, HOST agus FINGERPRINT. Is é an méarlorg, le réimír sha256:, pionnáil an fhreastalaí. Is é an fianán déantús an tseisiúin a bhfuil a shaolré socraithe ag an ngeata. Caith leo mar chineálacha éagsúla rúin: téann siad in éag de réir sceideal éagsúil, agus ní mheastar ach ceann amháin acu a athrú.

Iompraíonn an comhad an dá rud, agus éiríonn siad níos sine ar bhealaí difriúla

Tá an comhad soláthair faoi /var/lib/connman-vpn/ agus léann an daemon VPN é in aghaidh an naisc, ní ag applet an tráidire. Coinnigh ainm an naisc sa chuid domhanda agus sonraí an phrótacail i gcuid an tsoláthraí.

[global]
Name = Company VPN

[provider_openconnect]
Type = OpenConnect
Name = Company Cisco VPN
Host = vpn.example.com
Domain = corp.example
OpenConnect.ServerCert = sha256:...
OpenConnect.Cookie = ...

Úsáid an t-ainm óstach a fhreastalaíonn an tairseach air i ndáiríre. Is féidir le seoladh IP lom an tseiceáil teastais a rith agus mainneachtain fós, mar go ndéanann an feiste ródú ar an óstach fíorúil agus go bhfuil an t-ainm ag teastáil uaidh.

systemctl status connman-vpn --no-pager   # is the daemon even installed and running
sudo systemctl restart connman-vpn       # after the file edit
journalctl -u connman-vpn --since '1 hour ago'  # after the connection attempt

Cad a thaispeánann an log i ndáiríre

Ní inseoidh leid an tráidire cén locht atá agat. Inseoidh an log é, má léann tú an tseicheamh seachas an chéad líne scanrúil. Taispeánann fianán stale go hiondúil go gcríochnaíonn an chaibidlíocht TLS agus go ndiúltaíonn an ciseal HTTP ina dhiaidh sin, agus is é sin an fáth a bhfuil na focail faoi theastais in aice le teip údaraithe.

Cuir rith authenticate nua i gcomparáid leis na luachanna sa chomhad. Má mheaitseálann an méarlorg agus nach bhfuil ach an fianán difriúil, tá do fhreagra agat gan na socruithe iontaoibhe a bhaint.

Athnuaigh an réimse atá imithe in éag

Déan an t-ordú authenticate arís, cuir OpenConnect.Cookie ina áit, agus atosaigh an daemon. Fág an méarlorg mar atá mura dtaispeánann an t-aschur nua luach difriúil; sa chás sin athsholáthraíodh teastas an fhreastalaí i ndáiríre agus is cinneadh é an phionnáil athnuaite ar cheart do dhuine é a thaifeadadh, ní rud a ghreamú ó theachtaireacht earráide.

Tá sé réasúnach an t-athnuachan a uathoibriú: léann script bheag an focal faire ón ionchur caighdeánach, ritheann sí mód authenticate agus ní athscríobhann sí ach líne an fhianáin. Coinnigh an creidiúnaí amach ón script agus inléite ach ag an gcuntas a ritheann é, agus déan an athscríobh adamhach ionas nach bhfágfaidh rith teipthe comhad leathscríofa.

Má tá an t-athnuachan ag teastáil gach cúpla uair an chloig, scríobh an t-eatramh síos. Is airí de pholasaí seisiúin an gheata é, agus socraíonn sé an ndéanfar an t-athnuachan a uathoibriú nó an iarrfar seisiún níos faide.