Hvers vegna hafnar OpenConnect gáttinni eftir skipti á vottorði?

Gáttir skipta um vottorð, og biðlari sem tengdist í gær byrjar að stöðvast við fyrsta TLS skiptin. Skilaboðin nefna staðfestingarástæðu frekar en netbilun, og vélin sjálf hefur ekki breyst, sem er gagnlega vísbendingin. Það sem brotnaði er sambandið milli vottorðsins sem nú er lagt fram og rótanna sem biðlarinn er tilbúinn að íhuga. Að laga það er traustsákvörðun, svo taktu þá ákvörðun áður en þú slærð inn valkost.

Lestu brestinn áður en þú breytir einhverri traustsstillingu

Villa af gerðinni vantar undirritanda þýðir að keðjan endar á einhverju sem biðlarinn samþykkir ekki. Það gæti verið endurnýjað vottorð frá innra yfirvaldi, staðgengill frá opinberu, eða tæki í miðjunni sem leggur fram sitt eigið vottorð. Orðalagið eitt getur ekki greint þessi tilvik, svo skoðaðu útgefandann áður en þú ákveður.

Keyrðu tenginguna einu sinni í forgrunni og láttu hana mistakast, því gagnvirka úttakið ber netheitið, útgefandakeðjuna og fingrafarið sem biðlarinn reiknaði. Berðu þann útgefanda saman við yfirvald sem stofnunin þín rekur í raun. Ef fingrafarið breyttist en útgefandinn ekki, meðhöndlaðu það sem grunsamlegt þar til endurnýjun er staðfest um rás sem þú treystir þegar. Að giska á þessum punkti er leiðin sem einhver endar á að festa lykil afhlustara.

Skráðu útgáfu biðlarans í sömu athugasemd. Stór hluti bresta sem líta út eins og traustsvandamál kemur frá eldri biðlara sem mætir nýrri gáttarskiptingu.

Veldu milli að treysta útgefandanum og að festa einn lykil

Báðir valkostir láta tenginguna heppnast. Þeir brotna síðar á gagnstæðan hátt, svo valið tilheyrir brestinum sem þú getur þolað.

Gríptu til CA skránnar þegar vottorðið kemur frá yfirvaldi sem þú getur staðfest sjálfstætt, því endurnýjanir halda þá áfram að virka án þess að snerta rök biðlarans. Paraðu hana við rofann sem slökkvir á kerfisrótum, annars getur opinbert yfirvald uppfyllt prófið þitt vegna. Festu í staðinn þegar gáttin hefur ekki CA sem þú getur fengið eða þegar þrengsta mögulega undantekningin er markmiðið. Engin leið er öruggari í abstrakt skilningi: CA skalar yfir endurnýjanir, festingin er auðveldari að yfirfara.

Hverju sem þú velur verður traustgildið að koma um rás sem var treyst fyrir breytinguna. Stjórnandi, stjórnborðsseta á gáttinni eða afrit sem tekið var fyrirfram standast öll. Að afrita hvaða fingrafar sem skjátextinn sýnir er þægilegt og er einmitt það sem afhlustari vonar.

Settu gildið í skipunina sem þú keyrir í raun

Festingin fer í valkost um þjónustuvottorð, og forskeytið ræður kóðuninni: sextánstafa almenns lykils þurrkar undir sha1 eða sha256, og base64 lyklafesting undir pin-sha256. Að gefa hana slökkvir einnig á kerfistrausti fyrir þá keyrslu, svo festi lykillinn verður öll ákvörðunin.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Biðlarinn passar þurrkað þurrk, og samþykkir eins fá og fjögur stafir eftir forskeytið, sem er gildra frekar en þægindi. Stytt gildi fer í gegn staðbundið og auðkennir samt ekki gáttina sem þú ætlaðir. Afritaðu fulla strenginn sem biðlarinn prentaði í fyrstu tilraun í stað þess að slá hann inn aftur úr skilaboðum. Færðu síðan tilbúinn valkostinn í umbúðaskriftuna, einingarskrána eða sniðið sem ræsir tenginguna, svo traustsákvörðunin sé yfirfarð og síðari breytingar viljandi.

Skjáborðsræsir og NetworkManager viðbótin geyma eigið afrit af tengirökunum. Skrift sem breytt er á diski nær ekki sniði sem flutt var inn fyrr, svo geymda gildið vinnur áfram.

Takast á við skiptingu án þess að læsa þig úti

Hægt er að gefa valkostinn oftar en einu sinni, svo fyrirhuguð breyting getur samþykkt útfarandi og innkomandi lyklana saman. Bættu nýju festingunni við áður en gáttin skiptir, haltu báðum skráðum á meðan setur flytjast, og slepptu þeim sem hætt er að nota þegar gamli lykillinn er farinn. Þessi gluggi þarf eiganda, því gleymd tvöföld festing skilur lykil eftir treystum án þess að nokkur fylgist með honum. Endurbygging sem framleiðir nýtt lyklapar brýtur hreina festingu, og endurheimt er sama aðferðin í hina áttina.

Skrifaðu breytingardagsetninguna við hlið festingarinnar. Festing án yfirfarðagsetningar er framtíðarstopp með ruglandi villuskilaboðum.

Útilokaðu útgáfu biðlarans áður en þú breytir trausti

Úreltur biðlari getur mistekist við að þátta auðkenningarsvar sem gáttin hefur breytt síðan, og yfirborðsskilaboðin tala enn um tenginguna frekar en þáttarann. Berðu uppsettu útgáfuna saman við það sem gáttin skjalfestir, og prófaðu núverandi pakka í einnota sniði áður en þú breytir einhverri traustsstillingu.

openconnect --version

Eftir viðgerðina skaltu staðfesta tvennt í stað eins: gáttin hleðst í gegnum göngin, og venjulegt innra vistfang svarar. Lokið handaband sannar aðeins að traustsákvörðunin hafi verið samþykkt.