Неге OpenConnect сертификат ауыстырылғаннан кейін шлюзді қабылдамайды?
Шлюз сертификаты ауыстырылғаннан кейінгі тексеру сәтсіздігі — сенім шешімі, бұзылған туннель емес. Шығарушы CA мен бір кілтті бекіту арасында таңдаңыз.
Шлюздер сертификаттарды ауыстырады, ал кеше қосылған клиент бірінші TLS алмасуында тоқтай бастайды. Хабарлама желілік ақауды емес, тексеру себебін атайды, ал машинаның өзі өзгермеген, бұл пайдалы белгі. Бұзылғаны — қазір ұсынылып отырған сертификат пен клиент қарастыруға дайын тамырлар арасындағы қатынас. Мұны жөндеу — сенім шешімі, сондықтан опцияны термес бұрын сол шешімді қабылдаңыз.
Кез келген сенім параметрін өзгертуден бұрын сәтсіздікті оқыңыз
«Қол қоюшы жоқ» типті қате тізбектің клиент қабылдамайтын нәрсемен аяқталатынын білдіреді. Бұл ішкі органның жаңартылған сертификаты, жария органның алмастыруы немесе ортада өз сертификатын ұсынатын құрылғы болуы мүмкін. Тек тұжырымдау сол жағдайларды ажырата алмайды, сондықтан шешім қабылдамас бұрын шығарушыға қараңыз.
Қосылымды бір рет алдыңғы планда іске қосып, сәтсіз болуына жол беріңіз, өйткені интерактивті шығыс сервер атауын, шығарушылар тізбегін және клиент есептеген саусақ ізін қамтиды. Сол шығарушыны ұйымыңыз шынымен басқаратын органмен салыстырыңыз. Егер саусақ ізі өзгеріп, шығарушы өзгермесе, оны сіз бұрыннан сенетін арна арқылы жаңарту расталғанша күдікті деп қараңыз. Осы сәтте болжау — адамның ақырында араға кірушінің кілтін бекітуіне әкелетін жол.
Клиент нұсқасын сол жазбаға жазыңыз. Сенім мәселесіне ұқсайтын сәтсіздіктердің көп бөлігі ескі клиенттің жаңарақ шлюз алмасуына тап болуынан келеді.
Шығарушыға сену мен бір кілтті бекіту арасында таңдаңыз
Екі нұсқа да қосылымды сәтті етеді. Олар кейін қарама-қарсы жолдармен бұзылады, сондықтан таңдау сіз шыдай алатын сәтсіздікке тиесілі.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
Сертификат өз бетінше тексере алатын органнан келсе, CA файлына жүгініңіз, өйткені сонда жаңартулар клиент аргументтеріне тимей жұмысын жалғастырады. Оны жүйелік тамырларды өшіретін ажыратқышпен жұптаңыз, әйтпесе жария орган тексеруді сіздің орныңызға қанағаттандыра алады. Оның орнына шлюзде алуға болатын CA болмаса немесе мақсат мүмкін болатын ең тар ерекшелік болса, бекітіңіз. Ешбір жол абстрактілі түрде қауіпсіз емес: CA жаңартулар бойына масштабталады, бекітуді тексеру оңайырақ.
Қайсысын таңдасаңыз да, сенімді мән өзгеріс болмас бұрын сенімді болған арна арқылы жетуі керек. Әкімші, шлюздегі консоль сессиясы немесе алдын ала алынған көшірме — бәрі жарамды. Сұраныс көрсеткен кез келген саусақ ізін көшіру ыңғайлы және дәл араға кірушінің күтетіні.
Мәнді шынымен іске қосатын пәрменге қойыңыз
Бекіту сервер сертификаты опциясында жүреді, ал оның префиксі кодтауды шешеді: sha1 немесе sha256 астында он алтылық жария кілт дайджесттері, және pin-sha256 астында base64 кілт бекітуі. Оны беру сол іске қосу үшін жүйелік сенімді де өшіреді, сондықтан бекітілген кілт бүкіл шешімге айналады.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustКлиент қысқартылған дайджесті сәйкестендіреді, префикстен кейін төрт таңбаны да қабылдайды, бұл ыңғайлылық емес, тұзақ. Қысқартылған мән жергілікті түрде өтеді және сіз көздеген шлюзді әлі де анықтамайды. Хабарламадан қайта тергеннен гөрі клиенттің бірінші әрекетте басып шығарған толық жолын көшіріңіз. Содан кейін дайын опцияны қосылымды іске қосатын қаптама скриптіне, unit файлына немесе профильге жылжытыңыз, сенім шешімі қаралуға болатын және кейінгі өңдеулер әдейі болсын.
Жұмыс үстелі іске қосқыштары мен NetworkManager плагині қосылым аргументтерінің өз көшірмесін сақтайды. Дискіде өңделген скрипт бұрын импортталған профильге жетпейді, сондықтан сақталған мән жеңе береді.
Өзіңізді сыртта қалдырмай ауысуды реттеңіз
Опцияны бірнеше рет беруге болады, сондықтан жоспарланған өзгеріс шығыс және кіріс кілттерді бірге қабылдай алады. Шлюз ауыспас бұрын жаңа бекітуді қосыңыз, сессиялар көшкенше екеуін де тізімде ұстаңыз, ескі кілт кеткен соң зейнеткерлікке шыққанды алып тастаңыз. Бұл терезеге ие қажет, өйткені ұмытылған қосарлы бекіту кілтті ешкім қарамай сенімді күйде қалдырады. Жаңа кілт жұбын жасайтын қайта құру таза бекітуді бұзады, ал қалпына келтіру — кері бағыттағы сол рәсім.
Бекітудің қасына өзгеріс күнін жазыңыз. Қарау күні жоқ бекіту — шатастыратын қате хабарламасы бар болашақ үзіліс.
Сенімді өңдеу алдында клиент нұсқасын шығарып тастаңыз
Ескірген клиент шлюз кейін өзгерткен аутентификация жауабын талдағанда сәтсіз болуы мүмкін, ал беткі хабарлама әлі де талдаушы емес, қосылым туралы айтады. Орнатылған нұсқаны шлюз құжаттайтынмен салыстырыңыз және кез келген сенім параметрін өзгертуден бұрын ағымдағы буманы бір реттік профильде сынап көріңіз.
openconnect --versionЖөндеуден кейін бір емес, екі нәрсені тексеріңіз: портал туннель арқылы жүктеледі және қарапайым ішкі мекенжай жауап береді. Аяқталған қол алысу тек сенім шешімінің қабылданғанын дәлелдейді.