Útrunnið vafrakökur í ConnMan OpenConnect, ekki vandamál með skírteini

ConnMan virkar síðdegi og neitar svo, og annálalínan nefnir skírteinisstaðfestingu. Sú lína sendir fólk að CA-vöndum sem voru aldrei bilaðir. Tvö ólík mistök framleiða næstum sömu mynd af bilun: setukakan rennur út, eða skírteini þjónsins breyttist í raun. Hægt er að greina þau á um það bil mínútu, og aðeins annað þeirra varðar fingrafarið yfirhöfuð.

Tvö mistök, ein ruglingsleg annálalína

Þau aðgreinast á tveimur athugunum, og hvorug þeirra krefst annarrar lestrar. Fyrsta er hvenær bilunin hófst: útrunnin kaka kemur eftir klukkustundir eða daga af vinnu, og skipt skírteini kemur strax eftir breytingu á hliði.

Mínútuprufan er authenticate-keyrslan hér að neðan. Berið FINGERPRINT hennar saman við OpenConnect.ServerCert í skránni. Eins fingrafar með öðru COOKIE þýðir að skipta aðeins um kökuna. Annað fingrafar þýðir að skírteini þjónsins breyttist í raun, svo festið það aftur viljandi og skráið hver samþykkti það.

Búið til efnið í stað þess að slá það inn

ConnMan hefur ekkert innflutningsþrep fyrir OpenConnect-snið, ólíkt NetworkManager. Það les útvegunarskrá þar sem gildin verða að vera framleidd fyrirfram, og studd leið til að framleiða þau er authenticate-stilling OpenConnect.

sudo openconnect --csd-wrapper=/home/user/.cisco/csd-wrapper.sh \
  --authenticate --user myuser vpn.example.com

Úttakið prentar fjögur gildi: POST, COOKIE, HOST og FINGERPRINT. Fingrafarið, með forskeytinu sha256:, er festing þjónsins. Kakan er setuhluti með líftíma sem hliðið ákveður. Meðhöndlið þau sem ólíkar tegundir leyndarmála: þau renna út samkvæmt ólíkum áætlunum, og aðeins er búist við að annað breytist.

Skráin ber bæði, og þau eldast á ólíkan hátt

Útvegunarskráin er undir /var/lib/connman-vpn/ og er lesin fyrir hverja tengingu af VPN-þjónustunni, ekki af forriti á bakkanum. Haldið tengiheitinu í almenna hlutanum og samskiptareglunum í hluta veitandans.

[global]
Name = Company VPN

[provider_openconnect]
Type = OpenConnect
Name = Company Cisco VPN
Host = vpn.example.com
Domain = corp.example
OpenConnect.ServerCert = sha256:...
OpenConnect.Cookie = ...

Notið það hýslisheiti sem gáttin þjónar í raun. Bert IP-tala getur staðiðst skírteinisprófið og samt mistekist, því tækið beinir eftir sýndarhýslinu og væntir heitisins.

systemctl status connman-vpn --no-pager   # is the daemon even installed and running
sudo systemctl restart connman-vpn       # after the file edit
journalctl -u connman-vpn --since '1 hour ago'  # after the connection attempt

Hvað annállinn sýnir í raun

Ábending á bakkanum segir ekki hvaða mistök þú hefur. Annállinn segir það, ef þú lest röðina frekar en fyrstu ógnvekjandi línuna. Útrunnin kaka sýnir venjulega að TLS-samningaviðræðum ljúki og HTTP-lagið hafni eftir á, og þess vegna standa orðin um skírteini við hlið heimildarbilunar.

Berðu saman nýja authenticate-keyrslu við gildin í skránni. Ef fingrafarið passar og aðeins kakan er öðruvísi, hefurðu svarið án að snerta trauststillingar.

Endurnýið svæðið sem rann út

Endurtakið authenticate-skipunina, skiptið út OpenConnect.Cookie og endurræsið þjónustuna. Látið fingrafarið í friði nema nýja úttakið sýni annað gildi; í því tilviki var skírteini þjónsins í raun skipt og endurfesting er ákvörðun sem einhver á að skrá, ekki líma úr villuboðum.

Að automatisera endurnýjunina er skynsamlegt: lítill skriftur les lykilorðið af staðalinntaki, keyrir authenticate-stillingu og endurskrifar aðeins kökulínuna. Haldið auðkenninu utan skriftunnar og læsilegu aðeins fyrir reikninginn sem keyrir hana, og gerið endurskrifunina atómíska svo misheppnuð keyrsla skilji ekki hálfskrifaða skrá eftir.

Ef endurnýjunar er þörf á nokkurra klukkustunda fresti, skráið bilið. Það er eiginleiki setustefnu hliðsins, og það ræður því hvort automatisera eigi endurnýjunina eða biðja um lengri setu.