OpenConnect кирүүсү туура эмес баракка түшүп жатабы? Адегенде жолду текшериңиз

Сиз киришүү катындагы даректи чаптайсыз, кардар шлюзге жетет, жана пайда болгон кирүү формасы оператор сүрөттөгөн өнөктөш порталы эмес, жалпы портал. Эч нерсе ката көрсөтпөйт, жана дал ошол адаштырат: туннель атүгүл көтөрүлүшү мүмкүн, бирок туура эмес кирүү чекитинин артында. Ошол URLдеги жол иш аткарып жаткан, жана аны эмне менен алмаштырбасын, ошол ишти таштады.

Тикетте бир сап катары келген эки нерсени ажыратыңыз: кызматка жеткен дарек жана аутентификация кайдан башталарын аныктаган киргизүү. Биринчисин оңдоп, экинчисин эске албоо — туура хост аталышы да туура эмес кирүү берүүнүн жолу.

Форманы көрүүдөн мурун кардар эмне жөнөтөт

https://vpn.example.net/partners сыяктуу дарек менен кардардын биринчи аракети жалаң хостко эмес, ошол жолго HTTPS сурамы. Кайтып келгени адатта кирүү акыркы чекитине кайра багыттоо, же форманын өзү. Бир гана vpn.example.net алган кардар кандай демейки конуу баракчасы болбосун ошондон баштайт, ал башка портал, башка топтордун тизмеси же таптакыр башка протоколду күткөн барак болушу мүмкүн. Айырма ар кандай эсептик маалымат жазылганга чейин эле жооп баш жазууларында көрүнөт.

Ошондуктан иштеген браузер өтмөгү менен ийгиликсиз кардар профили бир эле шлюзду атап, баары бир макул болбой калышы мүмкүн. Браузер жолду ээрчиди; профилде ал эч качан болгон эмес.

Алмаштырууга болот окшогон жана андай болбогон эки киргизүү

OpenConnect баштапкы HTTPS жолун --usergroup катары ачат, жана нускама баракчасы ошол жолу бар толук URLди ошол эле сурамдын башкача жазылган түрү деп карайт. --authgroup өзүнчө параметр: ал шлюз кирүү формасынын ичинде сунуштаган тизмеден жазуу тандайт. Айрым протоколдор бул жазууну топ деп аташат, айрымдары домен же шлюз деп аташат, жана дал ошол жерде эки желеги аралашат.

Кызматка мыйзамдуу түрдө экөө тең керек болушу мүмкүн. Жол сизди туура порталга алып келиши мүмкүн, ал эми форма дагы эле анын ичиндеги топтордун бирин тандоону талап кылат. Порталдын атын топтун аты катары берүү, же тескерисинче, кабыл алынгандай көрүнүп, анан укук бербеген кирүүнү жаратат, анткени маани синтаксистик жактан туура, семантикалык жактан туура эмес болгон.

Оператордон ар бир маанини өз сабында сураңыз: кирүү жолу, формадагы тандоо жана экөө тең керекпи. Белгилер окшош угулат деп бирин экинчисинен чыгарбаңыз.

Жолду кыскартуу эмне үчүн натыйжаны өзгөртөт

Бир гана хост жана портту кабыл алган кардарлар көп учурда баары бир туташат, ошондуктан симптом сейрек катуу ийгиликсиздик болот. Анын ордуна туура эмес кирүү баракчасы, бош топтор тизмеси, оператор жарыялаган атка эми туура келбеген сертификат аты, же каалаган кызматка маршрутсуз көтөрүлгөн туннель аласыз. Алардын ар бири башка катмарда отурат, жана хост аты деп документтелген талаага узун сап чаптоо менен эч бири оңдолбойт. Алардын экөөнү сырттан ажыратуу да мүмкүн эмес, анткени экөө тең жөн эле уланбаган кирүү формасы катары келет.

Хост атын IP дареги менен алмаштыруу — бул менен көп жүргөн өзүнчө ката. Атка негизделген кызмат тандоо жана сертификатты текшерүү экөө тең атка көз каранды, ошондуктан сандык дарек жол форматынын көйгөйүн TLS катасына айландырышы мүмкүн.

Браузер даректери жолдордон да көп нерсени алып жүрөт. Сессия идентификаторлору, кайра багыттоо максаттары, тил префикстери жана убактылуу кирүү параметрлери — баары дарек тилкесинде көрүнөт, жана алардын эч бири сакталган кардар профилине таандык эмес.

Башка нерсени түзөтүүдөн мурун кирүү чекитин ырастаңыз

Сизге берилген жолдун баш жазууларын окуңуз. curl -sS -o /dev/null -D - https://vpn.example.net/partners сыяктуу сурам кайра багыттоону ээрчибей эле статус сабын жана каалаган Location баш жазуусун басып чыгарат. Аталган кирүү акыркы чекитине көрсөткөн 302 жолдун бар экенин ырастайт жана кайда алып барарын көрсөтөт; 404 оператордун дареги эскиргенин билдирет.

Анан ошол кирүү чекитин бекитилген кардарда кайталаңыз, мисалы openconnect --usergroup=partners vpn.example.net, жана кайсы форма чыгарын байкаңыз. Эгер форма туура болсо да туннель иштебесе, жол эч качан көйгөй болгон эмес жана кийинки токтоп — саясат же маршруттоо.

Тикетте хост атын, портту, протоколду, кирүү жолун жана формадагы тандоону беш өзүнчө талаа катары жазыңыз. Дал ошол тизме кийинки инженерге жеткиликсиз серверди TLS баш тартуусунан, четке кагылган тандоодон жана керектүү маршруттарсыз көтөрүлгөн туннелден ажыратууга мүмкүндүк берет.