Серверге бекитилген профиль TLS проксисинин артында иштей албайт: кайсы муун?

Бир колдонуучу туташа алат, экинчиси туташпайт, ошол эле портал аркылуу, ошол эле күнү. Экөөнүн тең серверге бекитилген профили бар, экөө тең бирдей Access Server курулушунда, жана жалгыз айырма — алардын профили качан түзүлгөнү. Бул таанууга татыктуу үзүк, анткени "серверге бекитилген" туташуу тартибин эмес, саясатты атайт. Access Server бул артефакттын эки муунун чыгарган, ал эми TLS тескери проксиси алардын бир гана жолунун алдында турат. Кайсы бутакта экениңизди үч шарт аныктайт.

Эки муун, эки туташуу тартиби

2.8ге чейин колдонулган эски дизайнда импорттолгон файл псевдопрофиль болуп саналат. OpenVPN Connect аны HTTPS аркылуу Access Serverдин веб APIсинин алдында аутентификациялоо үчүн колдонот, убактылуу колдонуучуга бекитилген профиль жана сессия токенин алат, ошондон кийин гана VPNди орнотот. Эки транспорт кезек менен иштейт, ал эми биринчиси кадимки веб сурам.

2.9 менен киргизилген формат ал туташуу сайын жүктөөнү аткарбайт. Бул шайкеш OpenVPN кардарлар колдоно ала турган жергиликтүү профиль, OpenVPN Connect гана эмес. Аны жүктөө же URL аркылуу импорттоо дагы эле HTTPSти камтышы мүмкүн — бул жарыялоо кадамы, туташуу сайын убактылуу профиль алуу эмес.

Жаңыртуу мурун берилген профилдерди сөзсүз кайра жазбайт, ошондуктан учурдагы сервер версиясы эски артефактты дагы эле тарата алат. Сервердин курулушу эмне мүмкүн экенин айтат, бул колдонуучу эмне импорттогонун эмес.

Бутагыңызды тандаган үч шарт

Биринчи шарт — артефакттын мууну. Файлды сураңыз, анын кантип жасалганын көрүңүз жана аны импорттогон кардардын версиясын жазып алыңыз. Эгер муунду файлдан аныктай албасаңыз, сыноо эсеби үчүн берилген жаңы профиль сервердин бүгүн эмне өндүрөрүн айтат, жана бул ийгиликсиз колдонуучудагы маалыматтан башкача.

Экинчиси — алдыңкы бөлүгүңүз чындыгында эмнени бүтүрөт. TLSти түшүргөн жетинчи катмардын HTTP тескери проксиси төртүнчү катмардын TCP жиберүүчүсү менен бирдей объект эмес, UDP жиберүүчүсү да андай эмес. Access Serverдин 443 портундагы кадимки жайгашуусу OpenVPN TCP демонун браузер трафигин таанып, аны веб кызматтарга өткөрүп берүүгө мажбурлайт, ошондуктан алдыга байланышы жок HTTPS бүтүрүүчүсүн коюу ошол демондун протокол иштетүүсүн сактабайт. 443 санын бөлүшүү эки дизайнды барабар кылбайт.

Үчүнчүсү — ийгиликсиздик кайда түшөт. VPNге чейинки ийгиликсиздик жана башкаруу каналынын ийгиликсиздиги "туташып жатат" деген гана кардарда окшош көрүнөт, бирок алар издерди ар башка жерлерде калтырат. Эски формат колдонулса, жүктөө талапкер. Жаңы формат колдонулса, бош веб кирүү журналы күтүлөт жана эч бир тарапка эч нерсени далилдебейт.

Артефакт эски болгондо: жүктөө биринчи ийгиликсиз болот

Кардардын акыркы абалын эмес, чыныгы катасын окуңуз. Кызыктуу талаалар — HTTPS катасы, кардар күткөн сервер инсандыгы, сурам барган багыт, жана сертификат текшерүүсү бүттүбү. Андан кийин аларды сервер тараптагы веб кызмат жана прокси журналдары менен салыштырыңыз.

Браузердин кирүү барагына жетүү бул кардардын API аутентификациясы ийгиликтүү болгонунун далили эмес. Булар ар башка сурамдар, сертификат күтүүлөрү ар башка жана көбүнчө хост аттары ар башка. Эгер портал туура тейленсе да кардар ийгиликсиз болсо, келишпестик жүктөө жолунда, колдонуучунун сырсөзүндө эмес.

Салыштырууну TLS текшерүүсүн өчүрүү же аутентификация саясатын жеңилдетүү менен өткөрбөңүз. Бул диагностикалоого боло турган конфигурация дал келбестигин иштеген, бирок текшерилбеген жолго айландырат, жана так ушул өзгөртүү убактылуу сыноону туруктуу тешикке айландырат. Access Serverдин туташуу профилдери боюнча документтери эки муунду жана убактылуу профиль агымын сүрөттөйт, жана проксини күнөөлүү деп ойлоодон мурун текшерүүгө тийиш болгон булак ушул.

Артефакт жаңы болгондо: анын ордуна башкаруу каналын окуңуз

2.9 стилиндеги профиль менен кардар түз эле жергиликтүү VPN акыркы чекитине барат. Профилдеги акыркы чекиттерди, колдонулган транспортту жана башкаруу каналынын катасын изилдеңиз. Эгер кардар эч качан HTTP сурамын жибербесе, бул дизайнга туура келет жана симптом эмес.

Прокси маселеси да ушул жерде формасын өзгөртөт. HTTPSти түшүрүү эч качан көрбөгөн TCP гана агымын буза албайт, бирок профилди жарыялаган жүктөөнү дагы эле буза алат, ал эми TCP гана жиберүүчүсү UDPни такыр ташыбайт. Алдыңкы бөлүк маанисиз деп жыйынтыктоодон мурун профиль кайсы транспортту талап кылаарын текшериңиз.

Бир агым үчүн TLS өткөрүү — тар жайгашуу. Ал UDP жиберүүнү камсыз кылбайт жана демондун 443төгү өз кызмат жиберүү жүрүм-турумун кайра өндүрбөйт. Эгер алдыңкы бөлүгүңүз ошолордун бирин жасаса, кайсынысы экенин айтыңыз, анткени чечим ар башка.

Тар бойдон калган чечимдер

Эң аз кийлигишкен текшерүү — сыноо эсеби үчүн жаңы колдоого алынган профиль түзүү жана ошол эле аутентификация талаптары менен көздөлгөн жергиликтүү акыркы чекит аркылуу туташуу. Эгер ал иштесе, ал эми сакталган эски профиль иштебесе, сиз бир кадам менен артефактты серверден жана проксиден бөлдүңүз.

Колдонуучуга бекитилген профилди таркатуу мурастык жүктөө көз карандылыгын толугу менен жоёт, анткени ийгиликсиз болушу мүмкүн болгон убактылуу профиль алмашуусу жок. Ал көздөлгөн колдонуучуга берилиши керек, эч качан администратордон көчүрүлбөшү керек, жана кардардын эмнеге укуктуу экенин өзгөртөт, ошондуктан аны айланып өтүү жолу эмес, саясат чечими катары караңыз.

Андан кийин жарыялоо жайгашуусун ар бир керектүү жол боло тургандай оңдоңуз: жүктөөлөр жана порталды колдонуу үчүн веб жолу, жана профилдер күткөн транспорттогу жергиликтүү VPN жолу. Проксинин ишин бир катмарда кармаңыз. Иштеген колдонуучуга бекитилген туннель ошол жолдун иштээрин далилдейт; ал ар бир прокси жайгашуусу ар бир муунду колдойт деп далилдебейт, жана эски жүктөө ийгиликсиздиги жаңы форматты айыптабайт.

• Проксиге тийүүдөн мурун артефакттын муунун аныктаңыз.
• Ийгиликсиздик туннелге чейинби же анын ичиндеби экенин аныктаңыз.
• Алдыңкы бөлүк эмнени бүтүрөрүн ырастаңыз: HTTP, TCP агымы же UDP.
• Саясат өзгөрбөгөндөй жаңы берилген профилди жергиликтүү акыркы чекитке каршы сынаңыз.