પ્રમાણપત્ર બદલ્યા પછી OpenConnect ગેટવેને કેમ નકારે છે?
ગેટવેનું પ્રમાણપત્ર બદલ્યા પછી ચકાસણીની નિષ્ફળતા વિશ્વાસનો નિર્ણય છે, તૂટેલી ટનલ નહીં. ઈશ્યુ કરતી CA અને એક જ કી પિન કરવા વચ્ચે પસંદ કરો.
ગેટવે પ્રમાણપત્રો બદલે છે, અને ગઈકાલે જોડાયેલો ક્લાયન્ટ પહેલા TLS વિનિમય પર અટકવા લાગે છે. સંદેશ નેટવર્ક ખામીને બદલે ચકાસણીનું કારણ જણાવે છે, અને મશીન પોતે બદલાયું નથી, જે ઉપયોગી સૂત્ર છે. જે તૂટ્યું તે હવે રજૂ થતા પ્રમાણપત્ર અને ક્લાયન્ટ સ્વીકારવા તૈયાર હોય તે મૂળ વચ્ચેનો સંબંધ છે. તેને સુધારવો વિશ્વાસનો નિર્ણય છે, તેથી કોઈ વિકલ્પ લખતા પહેલા તે નિર્ણય લો.
કોઈપણ વિશ્વાસ સેટિંગ બદલતા પહેલા નિષ્ફળતા વાંચો
ગુમ થયેલા સહીકર્તા પ્રકારની ભૂલનો અર્થ છે કે સાંકળ એવી વસ્તુ પર પૂરી થાય છે જે ક્લાયન્ટ સ્વીકારતો નથી. તે આંતરિક સત્તાધિકારીનું નવીકૃત પ્રમાણપત્ર, જાહેર સત્તાધિકારીનું બદલાવ, અથવા વચ્ચેનું ઉપકરણ પોતાનું પ્રમાણપત્ર રજૂ કરતું હોઈ શકે. ફક્ત શબ્દરચના તે કેસોને અલગ કરી શકતી નથી, તેથી નિર્ણય લેતા પહેલા ઈશ્યુકર્તા તરફ જુઓ.
જોડાણ એક વાર ફોરગ્રાઉન્ડમાં ચલાવો અને નિષ્ફળ થવા દો, કારણ કે ઇન્ટરેક્ટિવ આઉટપુટમાં સર્વર નામ, ઈશ્યુકર્તા સાંકળ અને ક્લાયન્ટે ગણેલી ફિંગરપ્રિન્ટ હોય છે. તે ઈશ્યુકર્તાને તમારી સંસ્થા ખરેખર ચલાવે છે તેવી સત્તાધિકારી સાથે સરખાવો. જો ફિંગરપ્રિન્ટ બદલાઈ પણ ઈશ્યુકર્તા નહીં, તો તમે પહેલેથી વિશ્વાસ કરો તેવા માધ્યમ દ્વારા નવીકરણ પુષ્ટિ ન થાય ત્યાં સુધી તેને શંકાસ્પદ ગણો. આ સમયે અનુમાન કરવા એ જ રીતે વ્યક્તિ અંતે વચ્ચે આવનારની કી પિન કરે છે.
તે જ નોંધમાં ક્લાયન્ટ સંસ્કરણ લખો. વિશ્વાસની સમસ્યા જેવી દેખાતી ઘણી નિષ્ફળતાઓ જૂના ક્લાયન્ટ નવા ગેટવે વિનિમયનો સામનો કરવાથી આવે છે.
ઈશ્યુકર્તા પર વિશ્વાસ કરવા અને એક કી પિન કરવા વચ્ચે પસંદ કરો
બંને વિકલ્પો જોડાણ સફળ કરે છે. પછીથી તેઓ વિરોધી રીતે તૂટે છે, તેથી પસંદગી તમે સહન કરી શકો તે નિષ્ફળતાની છે.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
CA ફાઇલ તરફ જાઓ જ્યારે પ્રમાણપત્ર એવી સત્તાધિકારી તરફથી આવે જેને તમે સ્વતંત્ર રીતે ચકાસી શકો, કારણ કે પછી નવીકરણ ક્લાયન્ટ આર્ગ્યુમેન્ટને અડ્યા વિના ચાલુ રહે છે. તેને સિસ્ટમ મૂળ નિષ્ક્રિય કરતા સ્વિચ સાથે જોડો, નહીંતર જાહેર સત્તાધિકારી તમારા વતી ચકાસણી પૂરી કરી શકે. તેના બદલે પિન કરો જ્યારે ગેટવે પાસે મેળવી શકાય તેવી CA ન હોય અથવા જ્યારે શક્ય સૌથી સાંકડો અપવાદ લક્ષ્ય હોય. કોઈ પણ માર્ગ અમૂર્ત રીતે વધુ સુરક્ષિત નથી: CA નવીકરણોમાં વિસ્તરે છે, પિન સમીક્ષા કરવી સહેલી છે.
તમે જે પણ પસંદ કરો, વિશ્વસનીય મૂલ્ય એવા માધ્યમથી આવવું જોઈએ જે પરિવર્તન પહેલા વિશ્વસનીય હતું. વ્યવસ્થાપક, ગેટવે પર કન્સોલ સેશન, અથવા અગાઉથી લીધેલી નકલ—બધા યોગ્ય છે. પ્રોમ્પ્ટ જે ફિંગરપ્રિન્ટ દર્શાવે તેની નકલ કરવી અનુકૂળ છે અને તે જ વચ્ચે આવનાર ઈચ્છે છે.
મૂલ્ય એ આદેશમાં મૂકો જે તમે ખરેખર શરૂ કરો છો
પિન સર્વર-પ્રમાણપત્ર વિકલ્પમાં જાય છે, અને તેનો ઉપસર્ગ એન્કોડિંગ નક્કી કરે છે: sha1 અથવા sha256 હેઠળ હેક્સાડેસિમલ જાહેર-કી ડાયજેસ્ટ, અને pin-sha256 હેઠળ base64 કી પિન. તે આપવાથી તે રન માટે સિસ્ટમ વિશ્વાસ પણ નિષ્ક્રિય થાય છે, તેથી પિન કરેલી કી આખો નિર્ણય બની જાય છે.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustક્લાયન્ટ કપાયેલા ડાયજેસ્ટને મેળવે છે, ઉપસર્ગ પછી ફક્ત ચાર અક્ષરો પણ સ્વીકારે છે, જે સુવિધા નહીં પણ જાળ છે. ટૂંકું મૂલ્ય સ્થાનિક રીતે પસાર થાય છે અને તોપણ તમે ધારેલા ગેટવેને ઓળખતું નથી. સંદેશમાંથી ફરી ટાઇપ કરવાને બદલે ક્લાયન્ટે પહેલા પ્રયાસે છાપેલી આખી શ્રેણીની નકલ કરો. પછી તૈયાર વિકલ્પને રેપર સ્ક્રિપ્ટ, યુનિટ ફાઇલ અથવા પ્રોફાઇલમાં ખસેડો જે જોડાણ શરૂ કરે છે, જેથી વિશ્વાસનો નિર્ણય સમીક્ષાયોગ્ય રહે અને પછીના ફેરફારો જાણી જોઈને થાય.
ડેસ્કટોપ લોન્ચર અને NetworkManager પ્લગઇન જોડાણ આર્ગ્યુમેન્ટની પોતાની નકલ રાખે છે. ડિસ્ક પર સંપાદિત સ્ક્રિપ્ટ પહેલા આયાત કરેલી પ્રોફાઇલ સુધી પહોંચતી નથી, તેથી સંગ્રહિત મૂલ્ય જીતતું રહે છે.
જાતને બહાર લોક કર્યા વિના રોલઓવર સંભાળો
વિકલ્પ એક કરતાં વધુ વાર આપી શકાય, તેથી આયોજિત ફેરફાર જતી અને આવતી કી સાથે સ્વીકારી શકે. ગેટવે બદલાય તે પહેલા નવો પિન ઉમેરો, સેશન સ્થળાંતર થાય ત્યાં સુધી બંનેને સૂચિબદ્ધ રાખો, અને જૂની કી ગયા પછી નિવૃત્તને કાઢી નાખો. તે વિન્ડોને માલિકની જરૂર છે, કારણ કે ભૂલી ગયેલો દ્વિ પિન કીને કોઈની દેખરેખ વિના વિશ્વસનીય રાખે છે. નવી કી-જોડી બનાવતું પુનર્નિર્માણ શુદ્ધ પિન તોડે છે, અને પુનઃપ્રાપ્તિ બીજી દિશામાં એ જ પ્રક્રિયા છે.
પિનની બાજુમાં ફેરફારની તારીખ લખો. સમીક્ષા તારીખ વિનાનો પિન ગૂંચવણભર્યો ભૂલ સંદેશ લઈને આવતો ભાવિ વિક્ષેપ છે.
વિશ્વાસ સંપાદિત કરતા પહેલા ક્લાયન્ટ સંસ્કરણને બાકાત રાખો
જૂનો ક્લાયન્ટ ગેટવેએ ત્યારથી બદલેલા પ્રમાણીકરણ જવાબને પાર્સ કરતી વખતે નિષ્ફળ થઈ શકે છે, અને સપાટીનો સંદેશ હજી પણ પાર્સરને બદલે જોડાણની વાત કરે છે. સ્થાપિત સંસ્કરણની સરખામણી ગેટવે જે દસ્તાવેજીકરણ કરે તેની સાથે કરો, અને કોઈપણ વિશ્વાસ સેટિંગ બદલતા પહેલા વર્તમાન પેકેજને એકવારના પ્રોફાઇલમાં પરીક્ષણ કરો.
openconnect --versionસુધારા પછી, એક નહીં પણ બે વસ્તુઓ ચકાસો: પોર્ટલ ટનલ દ્વારા લોડ થાય છે, અને સામાન્ય આંતરિક સરનામું જવાબ આપે છે. પૂર્ણ થયેલો હેન્ડશેક ફક્ત એ સાબિત કરે છે કે વિશ્વાસનો નિર્ણય સ્વીકારવામાં આવ્યો.