Эмне үчүн OpenConnect сертификат алмаштырылгандан кийин шлюзду четке кагат?
Шлюздун сертификаты алмаштырылгандан кийинки текшерүүнүн ийгиликсиздиги — ишеним чечими, бузулган туннель эмес. Чыгаруучу CA менен бир ачкычты бекемдөөнүн ортосунда тандаңыз.
Шлюздар сертификаттарды алмаштырат, ал эми кечээ туташкан кардар биринчи TLS алмашуусунда токтоп баштайт. Билдирүү тармактык бузулууну эмес, текшерүү себебин атайт, ал эми машина өзү өзгөргөн жок, бул пайдалуу белги. Бузулганы — азыр сунушталып жаткан сертификат менен кардар карап чыгууга даяр болгон тамырлардын ортосундагы мамиле. Муну оңдоо — ишеним чечими, ошондуктан параметрди терип баштаардан мурун ушул чечимди кабыл алыңыз.
Каалаган ишеним жөндөөсүн өзгөртүүдөн мурун ийгиликсиздикти окуңуз
«Кол коюучу жок» тибиндеги ката чынжыр кардар кабыл албаган нерсе менен бүтөөрүн билдирет. Бул ички органдын жаңыртылган сертификаты, коомдук органдын алмаштыруусу же ортодо өзүнүн сертификатын сунуштаган түзмөк болушу мүмкүн. Жалгыз сүз айкашы ал учурларды ажырата албайт, ошондуктан чечим кабыл алуудан мурун чыгаруучуга көз чаптырыңыз.
Туташууну бир жолу алдыңкы планда иштетип, ийгиликсиз болушуна жол бериңиз, анткени интерактивдүү чыгарылыш сервер аталышын, чыгаруучулар чынжырын жана кардар эсептеген манжа изин камтыйт. Ал чыгаруучуну уюмуңуз чындап башкарган орган менен салыштырыңыз. Эгер манжа изи өзгөрүп, чыгаруучу өзгөрбөсө, сиз мурунтан ишенген канал аркылуу жаңыртуу тастыкталганга чейин аны шектүү деп эсептеңиз. Ушул учурда божомолдоо — адамдын акыры ортомчунун ачкычын бекемдеп калышына алып баруучу жол.
Кардардын версиясын ошол эле жазууга жазыңыз. Ишеним маселесине окшош көрүнгөн ийгиликсиздиктердин көп бөлүгү эски кардардын жаңыраак шлюз алмашуусуна туш болушунан келет.
Чыгаруучуга ишенүү жана бир ачкычты бекемдөө ортосунда тандаңыз
Эки вариант тең туташууну ийгиликтүү кылат. Алар кийин карама-каршы жолдор менен бузулат, ошондуктан тандоо сиз көтөрө ала турган ийгиликсиздикке таандык.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
Сертификат өз алдынча текшере ала турган органдан келсе, CA файлына кайрылыңыз, анткени анда жаңыртуулар кардардын аргументтерине тийбестен иштей берет. Аны системалык тамырларды өчүргөн которгуч менен жупташтырыңыз, болбосо коомдук орган текшерүүнү сиздин ордуңузга аткара алат. Тескерисинче, шлюзда алууга боло турган CA жок болсо же максат мүмкүн болушунча тар өзгөчөлүк болсо, бекемдеңиз. Эч бир жол абстрактуу түрдө коопсузураак эмес: CA жаңыртуулар бою масштабдалат, бекемдөөнү карап чыгуу жеңил.
Кайсынысын тандасаңыз да, ишенимдүү маани өзгөрүү болгонго чейин ишенимдүү болгон канал аркылуу келиши керек. Администратор, шлюздагы консолдук сессия же алдын ала алынган көчүрмө — баары жарактуу. Сурам көрсөткөн каалаган манжа изин көчүрүү ыңгайлуу жана дал ортомчу күткөн нерсе.
Маанини чындап иштетүүчү буйрукка салыңыз
Бекемдөө сервер сертификатынын параметринде жүрөт, анын префикси коддоону чечет: sha1 же sha256 астындагы он алтылык коомдук ачкыч дайджесттери, жана pin-sha256 астындагы base64 ачкыч бекемдөөсү. Аны берүү ошол аткаруу үчүн системалык ишенимди да өчүрөт, ошондуктан бекемделген ачкыч бүт чечимге айланат.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustКардар кыркылган дайджестти далдап, префикстен кийин төрт белгини эле кабыл алат, бул ыңгайлуулук эмес, тузак. Кыскартылган маани жергиликтүү өтөт жана сиз көздөгөн шлюзду дагы эле аныктабайт. Билдирүүдөн кайра терүүнүн ордуна кардар биринчи аракетте басып чыгарган толук сапты көчүрүңүз. Андан кийин даяр параметрди туташууну иштетүүчү каптоочу скриптке, unit файлына же профилге жылдырыңыз, ишеним чечими каралууга мүмкүн болсун жана кийинки түзөтүүлөр атайын болсун.
Иш тактасындагы иштеткичтер жана NetworkManager плагини туташуу аргументтеринин өз көчүрмөсүн сактайт. Дискте түзөтүлгөн скрипт мурун импорттолгон профилге жетпейт, ошондуктан сакталган маани утуп келе берет.
Өзүңүздү сыртка камабастан алмашууну чечиңиз
Параметрди бир нече жолу берүүгө болот, ошондуктан пландалган өзгөрүү чыгуучу жана кирүүчү ачкычтарды чогуу кабыл ала алат. Шлюз алмашардан мурун жаңы бекемдөөнү кошуңуз, сессиялар көчкөнчө экөөнү тең тизмеде кармаңыз, эски ачкыч кеткенде пенсияга чыкканын алып салыңыз. Ал терезеге ээ керек, анткени унутулган кош бекемдөө ачкычты эч ким карабастан ишенимдүү калтырат. Жаңы ачкыч жупун жараткан кайра куруу таза бекемдөөнү бузат, ал эми калыбына келтирүү — карама-каршы багыттагы ошол эле жол-жобо.
Бекемдөөнүн жанына өзгөрүү күнүн жазыңыз. Карап чыгуу күнү жок бекемдөө — баш аламан ката билдирүүсү бар келечектеги тыныгуу.
Ишенимди түзөтүүдөн мурун кардардын версиясын четтетиңиз
Эскирген кардар шлюз кийин өзгөрткөн аутентификация жообун талдоодо ийгиликсиз болушу мүмкүн, ал эми үстүртөн билдирүү дагы эле талдоочу эмес, туташуу жөнүндө айтат. Орнотулган версияны шлюз документтештирген нерсе менен салыштырыңыз жана каалаган ишеним жөндөөсүн өзгөртүүдөн мурун учурдагы топтомду бир жолку профилде сынап көрүңүз.
openconnect --versionОңдоодон кийин бир эмес, эки нерсени текшериңиз: портал туннель аркылуу жүктөлөт жана кадимки ички дарек жооп берет. Бүткөн кол кармашуу ишеним чечими кабыл алынганын гана далилдейт.