Yaya OpenConnect ke juya kukin shiga zuwa tunel?

OpenConnect yana haɗa musanya biyu daban da ƙima ɗaya mai ɗan gajeren lokaci: shiga yanar gizo da tunel ɗin VPN. Musanya ta farko ita ce HTTPS ta yau da kullum: bayanan shiga, tafiyar SAML ko token suna zuwa ga ƙofar, kuma amsar tana ɗauke da kukin tabbaci. Musanya ta biyu tana gabatar da wannan kukin ga wannan ƙofar a matsayin hujjar cewa an riga an yi matakin yanar gizo, sannan tunel ɗin ya tashi.

Babu wani abu game da tunel ɗin da ake tattaunawa yayin shiga. Wannan shi ne ɓangaren da ya cancanci fahimta, domin yawancin kurakuran rubutun suna ɗauka cewa kukin kalmar sirri ne da za a adana, ko maɓalli da ke kare zirga-zirga, alhali a gaskiya tikiti ne mai ɗauka don wani zaman ƙofa.

Abin da abokin ciniki da ƙofar ke musanyawa, bisa tsari

Matakin tabbaci yana kama da wani shafi na yanar gizo mai kariya. OpenConnect yana aika bayanan shigar mai amfani, ko yana bin jujjuyar ƙofar zuwa mai ba da shaida, kuma ƙofar tana amsawa da takarda da ke ɗauke da kukin tabbaci. A cikin ka'idar AnyConnect wannan ƙimar tana tafiya a cikin kanun kuki a buƙatun da suka biyo baya, yawanci a ƙarƙashin suna kamar webvpn, kuma littafin jagora yana ɗaukarsa a matsayin bayanan da ke ɗaukar zaman gaba.

Mataki na biyu buƙatar CONNECT ce zuwa ƙarshen VPN na ƙofar tare da wannan kukin a haɗe. Ƙofar tana duba shi, tana ba da adireshi, kuma abokin ciniki yana fara CSTP a kan TLS, tare da DTLS a matsayin hanyar bayanai mafi sauri ta zaɓi idan zaman ya kasance. A wannan lokaci ne kawai ake kafa sigogin tunel, hanyoyi, saitunan DNS da maɓallan zirga-zirga na zaman. Kukin ya shigar da abokin ciniki ta ƙofar; bai ɓoye kome ba.

Wannan tsari yana bayyana dalilin da ya sa openconnect --authenticate yake wanzu. Ka gudanar da shi, zai yi matakin yanar gizo, ya buga ƙaramin rukuni na masu canji na harsashi kamar COOKIE, HOST, CONNECT_URL da FINGERPRINT, sannan ya fita kafin a gina kowane tunel. Rubutun nannade zai iya fara ainihin haɗin da waɗannan ƙimomin, wanda shi ne ainihin rabo da turawa marar kai ko ta kwantena biyu ke buƙata.

Kukin mai ɗauke da zaman ne, ba maɓalli ba

Ka bi ƙimar kamar yadda za ka bi ID na zaman a cikin manhajar yanar gizo. Duk wanda ya riƙe ta a tsawon rayuwarta zai iya neman tunel ɗin da wannan zaman ya cancanci daga ƙofar, don haka asirinta yana da muhimmanci. Amma kwafa ba ya tona zirga-zirga, domin sirrin tunel ɗin yana zuwa daga musafaha na TLS da maɓallan da aka samo, ba daga jerin kukin ba.

Hakanan ba izini ta dindindin ba ce. Ƙofar da mai ba da shaida ne ke yanke shawarar tsawon rayuwar zaman, kuma burauza da har yanzu ke nuna shafin da aka shiga ba ta ce kome ba game da ko zaman tunel ɗin har yanzu yana aiki. Sake haɗawa bayan ƙarewa yana nufin maimaita matakin yanar gizo da samar da sabon kuki, kuma wannan shi ne ma'anar sake tabbatarwa, ba damuwa da za a guje ta hanyar injiniya ba.

Kada ka ɗauki kuki a matsayin madadin gama-gari ga sauran bayanan shiga. Tabbacin SAML, kalmar sirrin burauza da kukin da wata hidima ta bayar abubu ne daban-daban masu masu sauraro daban-daban, kuma liƙa ɗaya a filin ɗayan yawanci yana kasawa a ƙofar ko, mafi muni, yana yin nasara a kan iyakar amana marar kyau.

Miƙa kukin ba tare da barin kwafi ba

Mafi amincin miƙa ta inji a Linux ita ce shigar da ma'auni. --cookie-on-stdin yana karanta ƙimar daga stdin, don haka kukin ba ya taɓa bayyana a jerin gardama na tsari, inda kowane mai amfani na gida zai iya karanta shi da ps. Bututun da ke tabbatarwa a tsari ɗaya kuma yana ciyar da tunel a wani yana riƙe ƙimar a cikin bututu maimakon fayil ko mai canjin muhalli.

Gardama da masu canjin muhalli sun fi rauni saboda dalilai daban-daban. Gardama tana bayyana a teburin tsari a tsawon rayuwar abokin ciniki kuma sau da yawa tana ƙarasa cikin tarihin harsashi. Mai canjin muhalli ana gado zuwa tsarin yara, kuma rukunin systemd da ke saita shi a cikin fayil ɗin rukuni yana adana sirrin a cikin tsari mai iya karantawa. Idan dole ne fayil, iyakance shi ga asusun hidima kuma cire shi idan zaman ya ƙare.

Ka kuma riƙe iyakar gata da gangan. Tsarin da ke magana da mai ba da shaida kuma wataƙila yana buɗe burauza ya kamata ya gudana a matsayin mai amfani wanda wannan shiga nasa ne. Tsarin da ke saita hanyoyi, DNS da na'urar tunel na iya buƙatar ƙarin gata. Gudanar da dukan burauza a matsayin root domin kukinsa ya samu ga tunel mallakar root shine musanya marar kyau, kuma saitunan OpenConnect na zamani na iya miƙa ƙimar a kan wannan iyaka a fili.

Rubutun ajiya ma ya cancanci wannan zato. Fitowar abokin ciniki mai zurfi, rubutun taimako da binciken ƙofar duk na iya maimaita kayan buƙata, kuma ba kowane matakin ajiya ne ke ɓoye kukin ba. Ɗauki ƙaramin rikodin kuskure da kake buƙata, ka kiyaye shi daga tashoshi na tarayya, kuma duba samfurin da aka ɓoye kafin ka haɗa shi da tikitin.

Tabbatarwa da ƙarewa a mataki na biyu

Mataki na biyu dole ne har yanzu ya tabbatar da uwar garken. FINGERPRINT da --authenticate ke bugawa shine ƙulla takardar shaida a sigar pin-sha256:, kuma miƙa shi ga kiran tunel da --servercert yana riƙe binciken a kan ƙofar da ka tabbatar da ita. Kashe binciken takardar shaida don sauƙaƙa rubutu yana cire hujja ɗaya tilo cewa ana miƙa kukin ga masaukin da aka nufa.

Lokacin da ƙofar ta ƙi kukin, maganin sabon zagaye ne na tabbaci, ba ajiya mai tsawo ba. Ajiye kukin kawai na tsawon rayuwar haɗin, goge fayilolin wucin gadi idan an fita, kuma yi amfani da tsarin cire zaman na mai ba da shaida ko na ƙofar idan zaman ya bayyana ko na'ura ta ɓace. Kukin da aka ajiye ba shine keɓewa daga MFA ba.

Kafin ka sarrafa wannan ta atomatik, tabbatar da abubuwa huɗu: tunel ɗin yana gudana a ƙarƙashin asusun da ya dace, kukin yana zuwa ta stdin, an ƙulla sawun yatsan takardar shaida, kuma ana watsar da zaman idan tunel ɗin ya rufe. Idan ɗaya daga cikinsu ya ɓace, sarrafawa ta atomatik ta faɗaɗa amincewa da kukin maimakon sake haifar da tafiyar hannu.