ಪ್ರಮಾಣಪತ್ರ ಬದಲಾಯಿಸಿದ ನಂತರ OpenConnect ಗೇಟ್ವೇಯನ್ನು ಏಕೆ ನಿರಾಕರಿಸುತ್ತದೆ?
ಗೇಟ್ವೇಯ ಪ್ರಮಾಣಪತ್ರ ಬದಲಾವಣೆಯ ನಂತರ ಪರಿಶೀಲನಾ ವೈಫಲ್ಯವು ನಂಬಿಕೆಯ ನಿರ್ಣಯ, ಮುರಿದ ಸುರಂಗವಲ್ಲ. ಪ್ರಮಾಣಪತ್ರ ನೀಡುವ CA ಮತ್ತು ಒಂದೇ ಕೀಲಿಯ ಪಿನ್ ನಡುವೆ ಆಯ್ಕೆಮಾಡಿ.
ಗೇಟ್ವೇಗಳು ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಬದಲಿಸುತ್ತವೆ, ಮತ್ತು ನಿನ್ನೆ ಸಂಪರ್ಕಗೊಂಡ ಕ್ಲೈಂಟ್ ಮೊದಲ TLS ವಿನಿಮಯದಲ್ಲಿ ನಿಲ್ಲಲು ಪ್ರಾರಂಭಿಸುತ್ತದೆ. ಸಂದೇಶವು ನೆಟ್ವರ್ಕ್ ದೋಷವಲ್ಲ, ಪರಿಶೀಲನಾ ಕಾರಣವನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಮತ್ತು ಯಂತ್ರ ಸ್ವತಃ ಬದಲಾಗಿಲ್ಲ, ಅದೇ ಉಪಯುಕ್ತ ಸುಳಿವು. ಮುರಿದದ್ದು ಈಗ ಪ್ರಸ್ತುತಪಡಿಸಲಾದ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕ್ಲೈಂಟ್ ಪರಿಗಣಿಸಲು ಸಿದ್ಧವಿರುವ ಮೂಲಗಳ ನಡುವಿನ ಸಂಬಂಧ. ಇದನ್ನು ಸರಿಪಡಿಸುವುದು ನಂಬಿಕೆಯ ನಿರ್ಣಯ, ಆದ್ದರಿಂದ ಯಾವುದೇ ಆಯ್ಕೆ ಬರೆಯುವ ಮೊದಲು ಆ ನಿರ್ಣಯ ತೆಗೆದುಕೊಳ್ಳಿ.
ಯಾವುದೇ ನಂಬಿಕೆ ಸೆಟ್ಟಿಂಗ್ ಬದಲಿಸುವ ಮೊದಲು ವೈಫಲ್ಯ ಓದಿ
ಕಾಣೆಯಾದ ಸಹಿದಾರರ ರೀತಿಯ ದೋಷ ಎಂದರೆ ಸರಪಳಿಯು ಕ್ಲೈಂಟ್ ಸ್ವೀಕರಿಸದ ಯಾವುದೋ ಒಂದರಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ. ಅದು ಆಂತರಿಕ ಪ್ರಾಧಿಕಾರದ ನವೀಕೃತ ಪ್ರಮಾಣಪತ್ರ, ಸಾರ್ವಜನಿಕ ಪ್ರಾಧಿಕಾರದ ಬದಲಿ, ಅಥವಾ ಮಧ್ಯದಲ್ಲಿ ತನ್ನದೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುವ ಸಾಧನವಾಗಿರಬಹುದು. ಬರೀ ಪದಪುಂಜವು ಆ ಪ್ರಕರಣಗಳನ್ನು ಪ್ರತ್ಯೇಕಿಸಲಾರದು, ಆದ್ದರಿಂದ ನಿರ್ಣಯಿಸುವ ಮೊದಲು ನೀಡುವವರನ್ನು ನೋಡಿ.
ಸಂಪರ್ಕವನ್ನು ಒಮ್ಮೆ ಮುಂಭಾಗದಲ್ಲಿ ಚಲಾಯಿಸಿ ಮತ್ತು ವಿಫಲವಾಗಲು ಬಿಡಿ, ಏಕೆಂದರೆ ಸಂವಾದಾತ್ಮಕ ಔಟ್ಪುಟ್ ಸರ್ವರ್ ಹೆಸರು, ನೀಡುವವರ ಸರಪಳಿ ಮತ್ತು ಕ್ಲೈಂಟ್ ಲೆಕ್ಕಹಾಕಿದ ಬೆರಳಚ್ಚನ್ನು ಹೊಂದಿರುತ್ತದೆ. ಆ ನೀಡುವವರನ್ನು ನಿಮ್ಮ ಸಂಸ್ಥೆ ನಿಜವಾಗಿ ನಿರ್ವಹಿಸುವ ಪ್ರಾಧಿಕಾರದೊಂದಿಗೆ ಹೋಲಿಸಿ. ಬೆರಳಚ್ಚು ಬದಲಾಗಿ ನೀಡುವವರು ಬದಲಾಗದಿದ್ದರೆ, ನೀವು ಈಗಾಗಲೇ ನಂಬುವ ಮಾರ್ಗದ ಮೂಲಕ ನವೀಕರಣ ದೃಢೀಕರಣವಾಗುವವರೆಗೆ ಅದನ್ನು ಸಂಶಯಾಸ್ಪದವೆಂದು ಪರಿಗಣಿಸಿ. ಈ ಹಂತದಲ್ಲಿ ಊಹಿಸುವುದು ವ್ಯಕ್ತಿಯು ಕೊನೆಗೆ ಮಧ್ಯಸ್ಥನ ಕೀಲಿಯನ್ನು ಪಿನ್ ಮಾಡುವ ದಾರಿ.
ಅದೇ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಕ್ಲೈಂಟ್ ಆವೃತ್ತಿ ಬರೆಯಿರಿ. ನಂಬಿಕೆಯ ಸಮಸ್ಯೆಗಳಂತೆ ಕಾಣುವ ಅನೇಕ ವೈಫಲ್ಯಗಳು ಹಳೆಯ ಕ್ಲೈಂಟ್ ಹೊಸ ಗೇಟ್ವೇ ವಿನಿಮಯವನ್ನು ಎದುರಿಸುವುದರಿಂದ ಬರುತ್ತವೆ.
ನೀಡುವವರನ್ನು ನಂಬುವುದು ಮತ್ತು ಒಂದು ಕೀಲಿಯನ್ನು ಪಿನ್ ಮಾಡುವುದರ ನಡುವೆ ಆಯ್ಕೆಮಾಡಿ
ಎರಡೂ ಆಯ್ಕೆಗಳು ಸಂಪರ್ಕವನ್ನು ಯಶಸ್ವಿಗೊಳಿಸುತ್ತವೆ. ಅವು ನಂತರ ವಿರುದ್ಧ ರೀತಿಯಲ್ಲಿ ಮುರಿಯುತ್ತವೆ, ಆದ್ದರಿಂದ ಆಯ್ಕೆ ನೀವು ಸಹಿಸಬಹುದಾದ ವೈಫಲ್ಯಕ್ಕೆ ಸೇರಿದೆ.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
ಪ್ರಮಾಣಪತ್ರವು ನೀವು ಸ್ವತಂತ್ರವಾಗಿ ಪರಿಶೀಲಿಸಬಹುದಾದ ಪ್ರಾಧಿಕಾರದಿಂದ ಬಂದಾಗ CA ಫೈಲ್ಗೆ ಹೋಗಿ, ಏಕೆಂದರೆ ಆಗ ನವೀಕರಣಗಳು ಕ್ಲೈಂಟ್ ಆರ್ಗ್ಯುಮೆಂಟ್ಗಳನ್ನು ಮುಟ್ಟದೆ ಕೆಲಸ ಮುಂದುವರಿಸುತ್ತವೆ. ಅದನ್ನು ಸಿಸ್ಟಂ ಮೂಲಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಸ್ವಿಚ್ ಜೊತೆ ಜೋಡಿಸಿ, ಇಲ್ಲದಿದ್ದರೆ ಸಾರ್ವಜನಿಕ ಪ್ರಾಧಿಕಾರ ನಿಮ್ಮ ಪರವಾಗಿ ಪರಿಶೀಲನೆಯನ್ನು ಪೂರೈಸಬಹುದು. ಬದಲಿಗೆ ಗೇಟ್ವೇಗೆ ನೀವು ಪಡೆಯಬಹುದಾದ CA ಇಲ್ಲದಿದ್ದಾಗ ಅಥವಾ ಸಾಧ್ಯವಾದಷ್ಟು ಸಂಕುಚಿತ ವಿನಾಯಿತಿಯೇ ಗುರಿಯಾದಾಗ ಪಿನ್ ಮಾಡಿ. ಯಾವುದೇ ಮಾರ್ಗವೂ ಅಮೂರ್ತವಾಗಿ ಹೆಚ್ಚು ಸುರಕ್ಷಿತವಲ್ಲ: CA ನವೀಕರಣಗಳಾದ್ಯಂತ ವಿಸ್ತರಿಸುತ್ತದೆ, ಪಿನ್ ಅನ್ನು ಪರಿಶೀಲಿಸುವುದು ಸುಲಭ.
ನೀವು ಯಾವುದನ್ನು ಆಯ್ಕೆಮಾಡಿದರೂ, ನಂಬಲಾದ ಮೌಲ್ಯವು ಬದಲಾವಣೆಗೆ ಮೊದಲು ನಂಬಲಾದ ಮಾರ್ಗದ ಮೂಲಕ ಬರಬೇಕು. ನಿರ್ವಾಹಕ, ಗೇಟ್ವೇಯಲ್ಲಿ ಕನ್ಸೋಲ್ ಸೆಷನ್, ಅಥವಾ ಮೊದಲೇ ತೆಗೆದ ಪ್ರತಿ ಎಲ್ಲವೂ ಅರ್ಹ. ಪ್ರಾಂಪ್ಟ್ ತೋರಿಸುವ ಯಾವುದೇ ಬೆರಳಚ್ಚನ್ನು ನಕಲಿಸುವುದು ಅನುಕೂಲಕರ ಮತ್ತು ಮಧ್ಯಸ್ಥನು ನಿರೀಕ್ಷಿಸುವುದೂ ನಿಖರವಾಗಿ ಅದೇ.
ನೀವು ನಿಜವಾಗಿ ಪ್ರಾರಂಭಿಸುವ ಆದೇಶದಲ್ಲಿ ಮೌಲ್ಯ ಇರಿಸಿ
ಪಿನ್ ಸರ್ವರ್-ಪ್ರಮಾಣಪತ್ರ ಆಯ್ಕೆಯಲ್ಲಿ ಚಲಿಸುತ್ತದೆ, ಮತ್ತು ಅದರ ಪೂರ್ವಪ್ರತ್ಯಯ ಎನ್ಕೋಡಿಂಗ್ ನಿರ್ಧರಿಸುತ್ತದೆ: sha1 ಅಥವಾ sha256 ಅಡಿಯಲ್ಲಿ ಹೆಕ್ಸಾಡೆಸಿಮಲ್ ಸಾರ್ವಜನಿಕ-ಕೀಲಿ ಡೈಜೆಸ್ಟ್ಗಳು, ಮತ್ತು pin-sha256 ಅಡಿಯಲ್ಲಿ base64 ಕೀಲಿ ಪಿನ್. ಅದನ್ನು ಒದಗಿಸುವುದು ಆ ಓಟಕ್ಕೆ ಸಿಸ್ಟಂ ನಂಬಿಕೆಯನ್ನೂ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪಿನ್ ಮಾಡಿದ ಕೀಲಿಯೇ ಇಡೀ ನಿರ್ಣಯವಾಗುತ್ತದೆ.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustಕ್ಲೈಂಟ್ ಕತ್ತರಿಸಿದ ಡೈಜೆಸ್ಟ್ ಅನ್ನು ಹೊಂದಿಸುತ್ತದೆ, ಪೂರ್ವಪ್ರತ್ಯಯದ ನಂತರ ನಾಲ್ಕು ಅಕ್ಷರಗಳಷ್ಟನ್ನೇ ಸ್ವೀಕರಿಸುತ್ತದೆ, ಅದು ಅನುಕೂಲವಲ್ಲ, ಬಲೆ. ಕಿರಿದಾದ ಮೌಲ್ಯ ಸ್ಥಳೀಯವಾಗಿ ರಹದಾರಿ ಪಡೆಯುತ್ತದೆ ಮತ್ತು ನೀವು ಉದ್ದೇಶಿಸಿದ ಗೇಟ್ವೇಯನ್ನು ಇನ್ನೂ ಗುರುತಿಸುವುದಿಲ್ಲ. ಸಂದೇಶದಿಂದ ಮತ್ತೆ ಟೈಪ್ ಮಾಡುವ ಬದಲು ಕ್ಲೈಂಟ್ ಮೊದಲ ಪ್ರಯತ್ನದಲ್ಲಿ ಮುದ್ರಿಸಿದ ಪೂರ್ಣ ಸರಣಿಯನ್ನು ನಕಲಿಸಿ. ನಂತರ ಮುಗಿದ ಆಯ್ಕೆಯನ್ನು ಸಂಪರ್ಕವನ್ನು ಪ್ರಾರಂಭಿಸುವ ರ್ಯಾಪರ್ ಸ್ಕ್ರಿಪ್ಟ್, ಯುನಿಟ್ ಫೈಲ್ ಅಥವಾ ಪ್ರೊಫೈಲ್ಗೆ ಸರಿಸಿ, ನಂಬಿಕೆಯ ನಿರ್ಣಯವು ಪರಿಶೀಲನೀಯವಾಗಿರಲಿ ಮತ್ತು ನಂತರದ ಸಂಪಾದನೆಗಳು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿರಲಿ.
ಡೆಸ್ಕ್ಟಾಪ್ ಲಾಂಚರ್ಗಳು ಮತ್ತು NetworkManager ಪ್ಲಗಿನ್ ಸಂಪರ್ಕ ಆರ್ಗ್ಯುಮೆಂಟ್ಗಳ ತಮ್ಮದೇ ಪ್ರತಿಯನ್ನು ಸಂಗ್ರಹಿಸುತ್ತವೆ. ಡಿಸ್ಕ್ನಲ್ಲಿ ಸಂಪಾದಿಸಿದ ಸ್ಕ್ರಿಪ್ಟ್ ಮೊದಲೇ ಆಮದು ಮಾಡಿದ ಪ್ರೊಫೈಲ್ಗೆ ತಲುಪುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಸಂಗ್ರಹಿತ ಮೌಲ್ಯವೇ ಗೆಲ್ಲುತ್ತದೆ.
ನಿಮ್ಮನ್ನು ಹೊರಗೆ ಲಾಕ್ ಮಾಡದೆ ರೋಲ್ಓವರ್ ನಿಭಾಯಿಸಿ
ಆಯ್ಕೆಯನ್ನು ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ಬಾರಿ ನೀಡಬಹುದು, ಆದ್ದರಿಂದ ಯೋಜಿತ ಬದಲಾವಣೆ ಹೊರಹೋಗುವ ಮತ್ತು ಒಳಬರುವ ಕೀಲಿಗಳನ್ನು ಒಟ್ಟಿಗೆ ಸ್ವೀಕರಿಸಬಹುದು. ಗೇಟ್ವೇ ಬದಲಾಗುವ ಮೊದಲು ಹೊಸ ಪಿನ್ ಸೇರಿಸಿ, ಸೆಷನ್ಗಳು ವಲಸೆ ಹೋಗುವವರೆಗೆ ಎರಡನ್ನೂ ಪಟ್ಟಿ ಮಾಡಿ, ಹಳೆಯ ಕೀಲಿ ಹೋದ ನಂತರ ನಿವೃತ್ತವಾದದ್ದನ್ನು ತೆಗೆಯಿರಿ. ಆ ಕಿಟಕಿಗೆ ಮಾಲೀಕ ಬೇಕು, ಏಕೆಂದರೆ ಮರೆತ ದ್ವಿಗುಣ ಪಿನ್ ಕೀಲಿಯನ್ನು ಯಾರೂ ಕಾಯದೆ ನಂಬಲಾದಂತೆ ಬಿಡುತ್ತದೆ. ಹೊಸ ಕೀಲಿ ಜೋಡಿ ಉತ್ಪಾದಿಸುವ ಪುನರ್ನಿರ್ಮಾಣ ಶುದ್ಧ ಪಿನ್ ಅನ್ನು ಮುರಿಯುತ್ತದೆ, ಮತ್ತು ಚೇತರಿಕೆ ಇನ್ನೊಂದು ದಿಕ್ಕಿನಲ್ಲಿ ಅದೇ ಕಾರ್ಯವಿಧಾನ.
ಪಿನ್ ಪಕ್ಕದಲ್ಲಿ ಬದಲಾವಣೆ ದಿನಾಂಕ ಬರೆಯಿರಿ. ಪರಿಶೀಲನಾ ದಿನಾಂಕವಿಲ್ಲದ ಪಿನ್ ಗೊಂದಲದ ದೋಷ ಸಂದೇಶವನ್ನು ಹೊತ್ತ ಭವಿಷ್ಯದ ಅಡಚಣೆ.
ನಂಬಿಕೆಯನ್ನು ಸಂಪಾದಿಸುವ ಮೊದಲು ಕ್ಲೈಂಟ್ ಆವೃತ್ತಿಯನ್ನು ಹೊರಗಿಡಿ
ಹಳೆಯ ಕ್ಲೈಂಟ್ ಗೇಟ್ವೇ ನಂತರ ಬದಲಿಸಿದ ದೃಢೀಕರಣ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಪಾರ್ಸ್ ಮಾಡುವಾಗ ವಿಫಲವಾಗಬಹುದು, ಮತ್ತು ಮೇಲ್ಮೈ ಸಂದೇಶ ಇನ್ನೂ ಪಾರ್ಸರ್ ಬದಲು ಸಂಪರ್ಕದ ಬಗ್ಗೆ ಮಾತನಾಡುತ್ತದೆ. ಸ್ಥಾಪಿತ ಆವೃತ್ತಿಯನ್ನು ಗೇಟ್ವೇ ದಾಖಲಿಸುವುದರೊಂದಿಗೆ ಹೋಲಿಸಿ, ಮತ್ತು ಯಾವುದೇ ನಂಬಿಕೆ ಸೆಟ್ಟಿಂಗ್ ಬದಲಿಸುವ ಮೊದಲು ಪ್ರಸ್ತುತ ಪ್ಯಾಕೇಜ್ ಅನ್ನು ಒಂದು ಬಾರಿಯ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಪರೀಕ್ಷಿಸಿ.
openconnect --versionಸರಿಪಡಿಸಿದ ನಂತರ ಒಂದಲ್ಲ, ಎರಡು ವಿಷಯಗಳನ್ನು ಪರಿಶೀಲಿಸಿ: ಪೋರ್ಟಲ್ ಸುರಂಗದ ಮೂಲಕ ಲೋಡ್ ಆಗುತ್ತದೆ, ಮತ್ತು ಸಾಮಾನ್ಯ ಆಂತರಿಕ ವಿಳಾಸ ಉತ್ತರಿಸುತ್ತದೆ. ಪೂರ್ಣಗೊಂಡ ಹ್ಯಾಂಡ್ಶೇಕ್ ನಂಬಿಕೆಯ ನಿರ್ಣಯ ಸ್ವೀಕೃತವಾಯಿತು ಎಂಬುದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.