OpenConnect кіруі қате бетке түсіп жатыр ма? Алдымен жолды тексеріңіз

Сіз кіріспе хаттағы мекенжайды қоясыз, клиент шлюзге жетеді, ал пайда болатын кіру формасы — оператор сипаттаған серіктес порталы емес, жалпы портал. Ешнәрсе қате көрсетпейді, және дәл осы шатастырады: туннель тіпті көтерілуі мүмкін, бірақ қате кіру нүктесінің артында. Сол URL-дегі жол жұмыс істеп тұрды, және оны немен алмастырса да, сол жұмысты тастады.

Тикетте бір жол ретінде келетін екі нәрсені ажыратыңыз: қызметке жететін мекенжай және аутентификацияның қайдан басталатынын анықтайтын енгізу. Біріншісін түзетіп, екіншісін елемеу — дұрыс хост атауының өзі қате кіру беретін жолы.

Форманы көрмес бұрын клиент не жібереді

https://vpn.example.net/partners сияқты мекенжаймен клиенттің бірінші әрекеті — жалаң хостқа емес, сол жолға HTTPS сұранысы. Қайта келетін нәрсе әдетте кіру соңғы нүктесіне қайта бағыттау немесе форманың өзі. Тек vpn.example.net берілген клиент қандай әдепкі қону беті болса да содан бастайды, ол басқа портал, басқа топтар тізімі немесе мүлде басқа протоколды күтетін бет болуы мүмкін. Айырмашылық кез келген тіркелгі деректері енгізілмес бұрын жауап тақырыптарында көрінеді.

Сондықтан жұмыс істейтін браузер қойындысы мен сәтсіз клиент профилі бір шлюзді атап, бәрібір келісе алмауы мүмкін. Браузер жолды ұстанды; профильде ол ешқашан болмады.

Алмастыруға болатын сияқты көрінетін және ондай болмайтын екі енгізу

OpenConnect бастапқы HTTPS жолын --usergroup ретінде ашады, және нұсқаулық беті сол жолы бар толық URL-ді сол сұраныстың басқаша жазылған түрі деп қарайды. --authgroup бөлек опция: ол шлюз кіру формасының ішінде ұсынатын тізімнен жазба таңдайды. Кейбір протоколдар бұл жазбаны топ деп атайды, кейбіреулері домен немесе шлюз деп атайды, және дәл осы жерде екі жалауша шатасады.

Қызметке заңды түрде екеуі де қажет болуы мүмкін. Жол сізді дұрыс порталға әкелуі мүмкін, ал форма әлі де оның ішіндегі топтардың бірін таңдауды талап етеді. Портал атауын топ атауы ретінде беру немесе керісінше — қабылданған сияқты көрініп, содан кейін рұқсат бермейтін кіру жасайды, өйткені мән синтаксистік тұрғыдан дұрыс, мағыналық тұрғыдан қате еді.

Оператордан әр мәнді өз жолында сұраңыз: кіру жолы, формадағы таңдау және екеуі де қажет пе. Белгілер ұқсас естіледі деп бірін екіншісінен шығармаңыз.

Жолды қысқарту неге нәтижені өзгертеді

Тек хост пен портты қабылдайтын клиенттер жиі бәрібір қосылады, сондықтан симптом сирек қатты сәтсіздік болады. Оның орнына қате кіру беті, бос топтар тізімі, оператор жариялаған атауға енді сай келмейтін сертификат атауы немесе қалаған қызметке маршрутсыз көтерілген туннель аласыз. Олардың әрқайсысы басқа қабатта отырады, және хост атауы деп құжатталған өріске ұзын жол қою арқылы ешқайсысы түзелмейді. Олардың екеуін сырттан ажырату да мүмкін емес, өйткені екеуі де жай ғана жалғаспайтын кіру формасы ретінде келеді.

Хост атауын IP мекенжайымен алмастыру — осымен жиі бірге жүретін бөлек қате. Атауға негізделген қызмет таңдауы мен сертификатты тексеру екеуі де атауға тәуелді, сондықтан сандық мекенжай жол пішімінің мәселесін TLS қатесіне айналдыруы мүмкін.

Браузер мекенжайлары жолдардан да көп нәрсені алып жүреді. Сессия идентификаторлары, қайта бағыттау мақсаттары, тіл префикстері және уақытша кіру параметрлері — бәрі мекенжай жолағында көрінеді, және олардың ешқайсысы сақталған клиент профиліне тиесілі емес.

Басқа нәрсені өңдеу алдында кіру нүктесін растаңыз

Сізге берілген жолдың тақырыптарын оқыңыз. curl -sS -o /dev/null -D - https://vpn.example.net/partners сияқты сұраныс қайта бағыттауды ұстанбай күй жолы мен кез келген Location тақырыбын шығарады. Аталған кіру соңғы нүктесіне сілтейтін 302 жолдың бар екенін растайды және қайда апаратынын көрсетеді; 404 оператордың мекенжайы ескіргенін білдіреді.

Содан кейін сол кіру нүктесін бекітілген клиентте қайталаңыз, мысалы openconnect --usergroup=partners vpn.example.net, және қай форма шығатынын бақылаңыз. Егер форма дұрыс болса да туннель әлі істемесе, жол ешқашан мәселе болмаған және келесі аялдама — саясат немесе маршруттау.

Тикетте хост атауын, портты, протоколды, кіру жолын және формадағы таңдауды бес бөлек өріс ретінде жазыңыз. Дәл осы тізім келесі инженерге қолжетімсіз серверді TLS бас тартуынан, қабылданбаған таңдаудан және қажетті маршруттарсыз көтерілген туннельден ажыратуға мүмкіндік береді.