Hogyan vigyük háttérbe az OpenConnectet interaktív bejelentkezés után

Befejezi az MFA-kérést, az alagút feljön, és a terminál bezárása magával viszi a kapcsolatot. Ez felügyeleti probléma, nem hitelesítési, és az OpenConnect már tartalmazza a kapcsolót, amely megoldja. A megoldás az, hogy a kliens az indítás után a háttérbe ágazzon, amikor az interaktív rész valóban véget ért. Következik az ellenőrzések sora: haladjon rajtuk sorban, és álljon meg az elsőnél, amely nem érvényes az átjárójára.

Erősítse meg, mit kér az átjáró bejelentkezéskor

Mielőtt parancsot ír, jegyezze fel a telepítés által előírt hitelesítő adatok útvonalát. Csak tanúsítvány, jelszó plusz token, és böngészős körút SAML-szolgáltatón keresztül másképp viselkednek, és a háttérmód egyiket sem hagyhatja ki. A kapcsoló azt változtatja meg, ami az indítás után történik, soha azt, ami közben.

A csábító megoldás a kérés automatizálása. Az a burkoló, amely fix választ ír be, amikor jelszókérést ismer fel, abban a pillanatban törik el, amikor az átjáró egyszeri kódot kér, és olyan fájlban hagy hitelesítő adatot, amelyet más fiókok olvashatnak. Ha embernek kell jóváhagynia a munkamenetet, tartsa benne az embert.

Futtassa az első munkamenetet előtérben, és olvassa el a kimenetet

Csatlakozzon egyszer normálisan, és hagyja, hogy a teljes kézfogás kinyomtatódjon. Jegyezze fel a használt protokollt, a tanúsítvány vagy token útvonalát, a kiszolgáló által kiosztott alagútcímet és minden figyelmeztetést a kapcsolat elfogadása előtt. Ez a feljegyzés az alapvonala, és ez az egyetlen olcsó módja annak, hogy később megkülönböztesse a klienshibát az átjáró változásától. Mentse a terminál pufferén kívülre.

Ezután ismételje meg ugyanazt a hívást háttérmóddal és hozzáadott PID-fájllal, például openconnect --background --pid-file /run/openconnect.pid vpn.example.net, az átjárója által igényelt protokoll- és hitelesítési beállításokat ugyanabban a sorban tartva. Az OpenConnect kézikönyv ezt a lehetőséget az indítás befejezése utáni háttérbeli folytatásként írja le, és éppen ezért kell az interaktív szakasznak előbb véget érnie.

Tegye a futó folyamatot megtalálhatóvá és leállíthatóvá

A PID-fájl csak addig bizonyíték, amíg egy élő folyamathoz illeszkedik. Tegye a szolgáltatásfiók tulajdonában lévő könyvtárba, és hasonlítsa össze a rögzített számot a folyamattáblával, mielőtt bármit szignál. Az újraindítások és összeomlások otthagyják a fájlt, és az elavult fájl a szokásos oka annak, hogy a leállító szkript sikert jelent, miközben az alagút még áll. Kezelje az ellenőrzést a leállítási eljárás részeként, nem választható lépésként.

Küldjön jelet az ellenőrzött PID-nek, majd erősítse meg, hogy az alagút interfésze valóban eltűnt, ahelyett hogy a kilépési állapotban bízna. Ha a kliensnek emelt jogosultság kell az interfész beállításához, a jelnek olyan fiókból kell jönnie, amely jogosult elküldeni.

Ne rétegezze a háttérmódot felügyelő alá

A systemd és hasonló felügyelők azt várják, hogy ők birtokolják az általuk indított folyamatot, ezért az elágazó kliens összezavarja őket. A felügyelő azt látja, hogy az indító kilép, miközben a valódi kapcsolat tovább él, így az újraindítási logika, az állapotjelentés és a leállítási időkorlátok olyasmit írnak le, ami már nem igaz. Írja az egységet a támogatott előtér-elrendezésben, és hagyja a felügyelőre a daemonmunkát.

A --background-et olyan munkameneteknek tartsa, amelyeket ember indít, majd elmegy. Ha a követelmény egy alagút, amely bárki bejelentkezése előtt létezik, a hiányzó elem egy jóváhagyott nem interaktív identitás és megújítási terv, és egyetlen parancssori kapcsoló sem ad egyiket sem. A kapcsoló rendszerindító szkripthez adása olyan alagutat hoz létre, amely az első lejárt hitelesítő adatnál csendesen meghiúsul.

Kezelje a munkamenet-sütit hitelesítő adatként

Az OpenConnect külön hitelesítési fázist dokumentál a --authenticate révén, és a keletkező anyag a --cookie-on-stdin-mal adható vissza. Ez a pár integrációs munkára való, és amit létrehoz, olyan érzékeny, mint a létrehozó jelszó.

Tartsa az értéket a shell-előzményeken, a naplókon és minden megnyitott jegyen kívül. Az átadó szkriptnek meg kell őriznie a kliens által a sütivel együtt kapott ellenőrzött végpontadatokat is; ha ezek elvesznek, egy későbbi futás olyan hoszthoz csatlakozhat, amelyet soha nem hitelesített, ami rosszabb, mint egy egyszerűen meghiúsuló kapcsolat.

Menjen végig a listán, mielőtt bezárja a terminált

Négy dolognak kell igaznak lennie: az interaktív bejelentkezés előtérben befejeződött, a PID-fájl egy ellenőrzött folyamatra mutat, a felügyelő kérdése egyik vagy másik irányba eldőlt, és a sütinek van olyan tárolási terve, amely nem egyszerű szövegfájl. Ha mind a négy teljesül, a termináltól való eltávolodás biztonságos, és az alagút tovább működik.

Ha valamelyik meghiúsul, javítsa azt a tételt, mielőtt a többit érintené, mert a többi ellenőrzés nem tudja pótolni. Őrizze meg az első futás előtéri feljegyzését is: amikor az alagút legközelebb figyelmeztetés nélkül leesik, ez az alapvonal választja el az átjáró oldali változást a kliens oldalitól.