Cén fáth a ndiúltaíonn OpenConnect don gheata tar éis malartú teastais?

Malartaíonn geataí teastais, agus tosaíonn cliant a bhí nasctha inné ag stopadh ag an gcéad mhalartú TLS. Ainmníonn an teachtaireacht cúis fíorúcháin seachas locht líonra, agus níl an meaisín féin athraithe, agus sin an leid úsáideach. Is é a bhris an gaol idir an teastas a chuirtear i láthair anois agus na fréamhacha a bhfuil an cliant sásta iad a mheas. Is cinneadh muiníne é é a dheisiú, mar sin déan an cinneadh sin sula gclóscríobhann tú rogha.

Léigh an teip sula n-athraíonn tú aon socrú muiníne

Ciallaíonn earráid de chineál síneoir ar iarraidh go gcríochnaíonn an slabhra ag rud nach nglacann an cliant leis. D'fhéadfadh sé a bheith ina theastas athnuachan ó údarás inmheánach, ina ionadaí ó cheann poiblí, nó ina ghléas sa lár a chuireann a theastas féin i láthair. Ní féidir leis an bhfoclaíocht amháin na cásanna sin a idirdhealú, mar sin féach ar an eisitheoir sula gcinnfidh tú.

Rith an nasc uair amháin sa réimse tosaigh agus lig dó teip, mar go n-iompraíonn an t-aschur idirghníomhach ainm an fhreastalaí, slabhra an eisitheora agus an mhéarlorg a ríomh an cliant. Cuir an t-eisitheoir sin i gcomparáid le húdarás a fheidhmíonn d'eagraíocht i ndáiríre. Má d'athraigh an mhéarlorg agus nár athraigh an t-eisitheoir, caith leis mar rud amhrasach go dtí go ndeimhnítear athnuachan trí chainéal a bhfuil muinín agat cheana féin as. Is é an buille faoi thuairim ag an bpointe seo an bealach a gcríochnaíonn duine ag pionáil eochair idircheapóra.

Taifead leagan an chliaint sa nóta céanna. Tagann cuid mhór de na teipeanna a bhfuil cuma fadhbanna muiníne orthu ó chliant níos sine a bhuaileann le malartú geata níos nuaí.

Roghnaigh idir muinín a bheith agat san eisitheoir agus aon eochair amháin a phionáil

Éiríonn leis an nasc leis an dá rogha. Bristear iad ar bhealaí contrártha níos déanaí, mar sin baineann an rogha leis an teip ar féidir leat cur suas léi.

Sroich an comhad CA nuair a thagann an teastas ó údarás ar féidir leat a fhíorú go neamhspleách, mar go leanann athnuachana ag obair gan argóintí an chliaint a thoucháil. Péireáil é leis an lasc a dhíchumasaíonn fréamhacha an chórais, nó is féidir le húdarás poiblí an tseiceáil a shásamh ar do shon. Pionáil ina ionad nuair nach bhfuil CA ag an ngeata is féidir leat a fháil, nó nuair is é an t-eisceacht is cúinge is féidir an sprioc. Níl ceachtar den dá chosán níos sábháilte go teibí: scálaíonn an CA thar athnuachana, is fusa an phionáil a athbhreithniú.

Cibé ceann a roghnaíonn tú, caithfidh an luach muiníne teacht trí chainéal a raibh muinín ann roimh an athrú. Cáilíonn riarthóir, seisiún consóil ar an ngeata, nó cóip a tógadh roimh ré. Tá sé áisiúil an mhéarlorg a thaispeánann an leid a chóipeáil agus is é go beacht an rud a bhfuil idircheapóir ag súil leis.

Cuir an luach sa ordú a sheolann tú i ndáiríre

Taistealaíonn an phionáil in rogha teastais freastalaí, agus socraíonn a réimír an ionchódú: achoimrí heicsidheachúla eochrach poiblí faoi sha1 nó sha256, agus pionáil eochrach base64 faoi pin-sha256. Má thugtar é, díchumasaítear muinín an chórais don rith sin freisin, mar sin is é an eochair phionáilte an cinneadh iomlán.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Meaitsíonn an cliant achoimre teasctha, ag glacadh le ceithre charachtar chomh beag agus atá tar éis an réimír, rud is gaiste seachas áis. Éiríonn le luach giorraithe go háitiúil agus ní aithníonn sé fós an geata a bhí beartaithe agat. Cóipeáil an teaghrán iomlán a phriontáil an cliant ar an gcéad iarracht in ionad é a athchlóscríobh ó theachtaireacht. Ansin bog an rogha chríochnaithe isteach sa script timfhilleadh, sa chomhad aonaid nó sa phróifíl a sheolann an nasc, ionas go mbeidh an cinneadh muiníne in-athbhreithnithe agus na heagarthóireachtaí níos déanaí d'aon ghnó.

Stórálann lainseálaithe deisce agus breiseán NetworkManager a gcóip féin de na hargóintí nasctha. Ní shroicheann script a cuireadh in eagar ar an diosca próifíl a allmhaireadh níos luaithe, mar sin leanann an luach stóráilte de bheith ag buachan.

Láimhseáil rolladh gan tú féin a chur amach

Is féidir an rogha a thabhairt níos mó ná uair amháin, mar sin is féidir le hathrú pleanáilte glacadh leis an eochair amach agus isteach le chéile. Cuir an phionáil nua leis sula n-athraíonn an geata, coinnigh an dá cheann liostáilte agus na seisiúin ag imirce, agus tóg an ceann scortha nuair a bheidh an tseaneochair imithe. Teastaíonn úinéir ón bhfuinneog sin, mar go bhfágann pionáil dúbailte dearmadta eochair faoi mhuinín gan aon duine ag faire uirthi. Bristear pionáil íon le hatógáil a tháirgeann péire eochrach nua, agus is í an nós imeachta céanna sa treo eile an t-aisghabháil.

Scríobh dáta an athraithe in aice na pionála. Is éard atá i bpionáil gan dáta athbhreithnithe ach briseadh amach anseo a iompraíonn teachtaireacht earráide mhearbhallach.

Eisiaigh leagan an chliaint sula n-athraíonn tú muinín

Féadfaidh cliant dátaithe teip agus é ag parsáil freagra fíordheimhnithe a d'athraigh an geata ó shin, agus labhraíonn an teachtaireacht dhromchla fós faoin nasc seachas faoin bparsálaí. Cuir an leagan suiteáilte i gcomparáid lena ndoiciméadaíonn an geata, agus tástáil pacáiste reatha i bpróifíl indiúscartha sula n-athraíonn tú aon socrú muiníne.

openconnect --version

Tar éis an deisithe, fíoraigh dhá rud seachas aon rud amháin: lódálann an tairseach tríd an tollán, agus freagraíonn gnáthsheoladh inmheánach. Ní chruthaíonn críochnú na láimhe ach go nglacadh leis an gcinneadh muiníne.