Conas a iompaíonn OpenConnect fianán logála isteach ina thunáil?

Ceanglaíonn OpenConnect dhá mhalartú ar leith le luach amháin gearrshaolach: an logáil isteach gréasáin agus an tunáil VPN. Is HTTPS gnáth é an chéad mhalartú: téann dintiúir, turas SAML nó comhartha chuig an ngeata, agus iompraíonn an freagra fianán fíordheimhnithe. Cuireann an dara malartú an fianán sin i láthair an gheata chéanna mar chruthúnas gur tharla an chéim ghréasáin cheana, agus ní thagann an tunáil aníos ach ansin.

Ní dhéantar aon rud faoin tunáil a chaibidil le linn an logála isteach. Sin an chuid is fiú a thuiscint, mar glactar i bhformhór na ndearmad scripteanna gur focal faire é an fianán atá le stóráil, nó eochair a chosnaíonn trácht, cé gur ticéad iompraí seisiúin gheata ar leith é i ndáiríre.

An rud a mhalartaíonn an cliant agus an geata, in ord

Tá cuma shuíomh gréasáin chosanta ghnáthach ar an gcéim fíordheimhnithe. Seolann OpenConnect dintiúir an úsáideora, nó leanann sé atreorú an gheata chuig soláthraí féiniúlachta, agus freagraíonn an geata le doiciméad a leabaíonn an fianán fíordheimhnithe. I bprótacal AnyConnect téann an luach sin i gceanntásc fianáin ar na hiarratais ina dhiaidh sin, de ghnáth faoi ainm mar webvpn, agus measann an lámhleabhar gurb é an dintiúr é a iompraíonn an seisiún ar aghaidh.

Is iarraidh CONNECT chuig críochphointe VPN an gheata é an dara céim agus an fianán sin ceangailte leis. Seiceálann an geata é, sannann sé seoladh, agus tosaíonn an cliant CSTP thar TLS, agus DTLS mar chonair sonraí níos tapúla roghnach nuair a bhíonn an seisiún ann. Ní shocraítear paraiméadair na tunála, na bealaí, socruithe DNS agus eochracha tráchta an tseisiúin ach ag an bpointe seo. Thug an fianán an cliant tríd an doras; níor chriptigh sé aon rud.

Míníonn an t-ord seo cén fáth a bhfuil openconnect --authenticate ann. Rith é, agus déanann sé an chéim ghréasáin, priontálann sé bloc beag athróg bhlaosc mar COOKIE, HOST, CONNECT_URL agus FINGERPRINT, agus ansin fágann sé sula dtógtar aon tunáil. Is féidir le scripteanna fillte an fíorchónasc a thosú ansin leis na luachanna sin, agus sin go díreach an deighilt a theastaíonn ó imscaradh gan cheann nó dhá choimeádán.

Is iompróir seisiúin é an fianán, ní eochair

Caith leis an luach mar a chaithfeá le haitheantóir seisiúin in feidhmchlár gréasáin. Is féidir le duine ar bith a bhfuil sé aige le linn a shaoil tunáil a iarraidh ar an ngeata a bhfuil teideal ag an seisiún sin chuige, mar sin tá a rúndacht tábhachtach. Ach ní nochtann cóipeáil trácht, mar tagann rúndacht na tunála ó chroitheadh láimhe TLS agus ó na heochracha díorthaithe, ní ó shreang an fhianáin.

Ní deontas buan é ach an oiread. Cinneann an geata agus an soláthraí féiniúlachta cé chomh fada is a mhaireann an seisiún, agus ní deir brabhsálaí a thaispeánann leathanach logáilte isteach fós aon rud faoi cé acu atá seisiún na tunála bailí fós. Ciallaíonn athnascadh tar éis dul in éag an chéim ghréasáin a athrá agus fianán úr a tháirgeadh, agus sin é an pointe atá le hathfhíordheimhniú, ní crá atá le seachaint trí innealtóireacht.

Ná caith le fianán mar ionadaí uilíoch ar dhintiúir eile. Is rudaí éagsúla iad dearbhú SAML, focal faire brabhsálaí agus fianán a d'eisigh seirbhís eile, le lucht féachana éagsúil, agus teipeann ar ghreamú ceann amháin i réimse an chinn eile ag an ngeata de ghnáth nó, níos measa, éiríonn leis i gcoinne na teorann muiníne mícheart.

An fianán a thabhairt ar aghaidh gan cóipeanna a fhágáil

Is é an t-ionchur caighdeánach an t-aistriú meicniúil is sábháilte ar Linux. Léann --cookie-on-stdin an luach ó stdin, mar sin ní thagann an fianán riamh i liosta argóintí an phróisis, áit ar féidir le haon úsáideoir áitiúil é a léamh le ps. Coinníonn píblíne a fhíordheimhníonn i bpróiseas amháin agus a chothaíonn an tunáil i bpróiseas eile an luach i bpíopa seachas i gcomhad nó in athróg timpeallachta.

Tá argóintí agus athróga timpeallachta níos laige ar chúiseanna éagsúla. Bíonn argóint le feiceáil i dtábla na bpróiseas ar feadh shaolré an chliaint agus is minic a chríochnaíonn sé i stair an bhlaosc. Faightear athróg timpeallachta le hoidhreacht ag próisis linbh, agus stórálann aonad systemd a shocraíonn í sa chomhad aonaid an rún i gcumraíocht inléite. Mura féidir comhad a sheachaint, cuir teorainn leis an gcuntas seirbhíse é agus bain é nuair a chríochnaíonn an seisiún.

Coinnigh an teorainn phribhléide d'aon ghnó freisin. Ba cheart don phróiseas a labhraíonn leis an soláthraí féiniúlachta agus a osclaíonn brabhsálaí b'fhéidir rith mar an t-úsáideoir ar leis an logáil isteach sin. D'fhéadfadh níos mó pribhléide a bheith ag teastáil ón bpróiseas a chumraíonn bealaí, DNS agus gléas na tunála. Is é an mhalairt mhícheart é an brabhsálaí ar fad a rith mar root ionas go mbeadh a fhianán ar fáil do thunáil atá faoi úinéireacht root, agus is féidir le socrúcháin OpenConnect nua-aimseartha an luach a thabhairt thar an teorainn sin go sainráite.

Tuilleann an lógáil an amhras céanna. Is féidir le haschur mionsonraithe cliaint, scripteanna cabhracha agus diagnóisic an gheata ábhar iarratais a athinsint, agus ní chuireann gach leibhéal lógála an fianán i bhfolach. Gabh an taifead earráide is lú a theastaíonn uait, coinnigh amach ó chainéil chomhroinnte é, agus seiceáil sampla folaithe sula gceanglaíonn tú le ticéad é.

Fíorú agus dul in éag sa dara céim

Caithfidh an dara céim an freastalaí a fhíorú fós. Is biorán deimhnithe é an FINGERPRINT a phriontálann --authenticate i bhfoirm pin-sha256:, agus má thugtar don ghlao tunála é le --servercert fanann an tseiceáil fréamhaithe sa gheata ar fhíoraigh tú ina choinne. Má mhúchtar seiceáil deimhnithe chun script a shimpliú, baintear an t-aon chruthúnas go bhfuil an fianán á thabhairt don óstach beartaithe.

Nuair a dhiúltaíonn an geata don fhianán, is babhta fíordheimhnithe nua an réiteach, ní taisce níos faide. Ná stórálann an fianán ach ar feadh shaolré an naisc, scrios comhaid shealadacha ag imeacht, agus bain úsáid as próiseas bainte seisiúin an tsoláthraí féiniúlachta nó an gheata nuair a nochtar seisiún nó nuair a chailleann gléas. Ní hé fianán i dtaisce díolúine ó MFA.

Sula ndéanann tú é seo a uathoibriú, fíoraigh ceithre rud: ritheann an tunáil faoin gcuntas ceart, tagann an fianán isteach trí stdin, tá méarlorg an deimhnithe bioráin, agus caithtear an seisiún nuair a dhúnann an tunáil. Má tá aon cheann acu in easnamh, tá an uathoibriú tar éis muinín san fhianán a leathnú seachas an sreabhadh láimhe a atáirgeadh.