Wéi een OpenConnect no interaktiver Umellung an den Hannergrond setzt

Dir fäerdeg d’MFA-Ufro, den Tunnel geet op, an d’Schléisse vum Terminal hëlt d’Verbindung mat. Dat ass e Problem vun der Iwwerwaachung, net vun der Authentifikatioun, an OpenConnect huet schonn de Schalter, deen et léist. D’Léisung ass, de Client no dem Start an den Hannergrond ze loossen, wann den interaktiven Deel wierklech eriwwer ass. Hei follegt eng Rei Kontrollen: schaff se der Rei no of a stoppen bei der éischter, déi fir Äre Gateway net stëmmt.

Bestätegt, wat de Gateway bei der Umeldung verlaangt

Ier Dir eng Kommando tippt, schreift de Wee vun den Umeldungsinformatiounen op, deen d’Installatioun forcéiert. Nëmmen Zertifikat, Passwuert plus Token, an eng Ëmwee iwwer de Browser duerch e SAML-Provider behuele sech ënnerschiddlech, an den Hannergrondmodus kann keng dovu spréngen. D’Optioun ännert wat nom Start geschitt, ni wat während deem geschitt.

D’Versuchung ass, d’Ufro ze automatiséieren. E Wrapper, deen eng fest Äntwert tippt, soubal en eng Passwuertufro erkennt, brécht an deem Abléck, wou de Gateway en Eenmolcode freet, an hie léisst eng Umeldung an enger Datei, déi aner Konten liese kënnen. Wann eng Persoun d’Sessioun muss gutt heeschen, behält d’Persoun am Prozess.

Leet déi éischt Sessioun am Virdergrond a liest d’Ausgab

Verbannt Iech eng Kéier normal a loosst de ganze Handshake drécken. Nottéiert de Protokoll, de Wee vum Zertifikat oder Token, d’Tunneladress, déi de Server gëtt, an all Warnung virum Akzeptéiere vun der Verbindung. Dës Opsiicht ass Är Grondlinn an deen eenzege bëllegen Wee, fir spéider e Clientproblem vun enger Gatewayännerung z’ënnerscheeden. Späichert se baussent dem Terminalpuffer.

Widderhëlt duerno dee selwechten Opruff mam Hannergrondmodus an enger bäigefügter PID-Datei, zum Beispill openconnect --background --pid-file /run/openconnect.pid vpn.example.net, an halqt de Protokoll an d’Authentifikatiounsoptiounen, déi Äre Gateway verlaangt, op der selwechter Linn. Den OpenConnect-Handbuch beschreift dës Optioun als Weiderlaf am Hannergrond nom Start, an dofir muss d’interaktiv Phas éischt fäerdeg sinn.

Maacht de lafende Prozess auffënnebar an astellbar

Eng PID-Datei ass nëmme Beweis, soulaang se zu engem liewege Prozess passt. Setzt se an en Dossier, deen dem Servicekonto gehéiert, a vergläicht d’opgehuewe Nummer mat der Prozesstabelle, ier Dir e Signal schéckt. Neistarts an Ofstierz léisste d’Datei, an eng al Datei ass de gewéinleche Grond, dass en Astellskript Erfolleg mellt, wärend den Tunnel nach steet. Betruecht d’Kontroll als Deel vum Astellprozedur, net als optional Schrëtt.

Schéckt d’Signal un déi verifizéiert PID, da bestätegt, dass d’Tunnelschnëttstell wierklech verschwonnen ass, amplaz dem Exitstatus ze vertrauen. Wann de Client héich Rechter brauch, fir d’Schnëttstell ze konfiguréieren, muss d’Signal vun engem Konto kommen, deem et erlaabt ass, et ze schécken.

Stapelt den Hannergrondmodus net ënner engem Supervisor

systemd a änlech Supervisoren erwaarden, de Prozess ze besëtzen, deen se gestart hunn, dofir verwirrt e Client, dee fortbrannt, se. De Supervisor gesäit e Starter erausgoen, wärend déi richteg Verbindung weiderlieft, also beschreiwen Neistartlogik, Statusrapport an Astellzäiten eppes, wat net méi stëmmt. Schreift d’Unit an der ënnerstëtzter Virdergronduerdnung a loosst de Supervisor d’Daemonaarbecht maachen.

Halt --background fir Sessiounen zeréck, déi eng Persoun ufänkt an da fortgeet. Wann d’Fuerderung en Tunnel ass, deen existéiert, ier iergendeen sech umellt, feelt eng ugeholl net-interaktiv Identitéit plus e Plang fir se ze erneieren, an kee Kommandozeileflag liwwert ee vun deenen. De Flag an en Bootskript bäizesetzen produzéiert en Tunnel, deen beim éischten ofgelafenen Umeldungsinformatiounen stëll feelt.

Behandelt de Sessiounscookie als Umeldung

OpenConnect dokumentéiert eng getrennt Authentifikatiounsphas iwwer --authenticate, an dat entstanene Material kann mat --cookie-on-stdin zréckgi ginn. Dëst Paar existéiert fir Integratiounsaarbecht, an dat, wat et produzéiert, ass esou sensibel wéi d’Passwuert, dat et erstallt huet.

Halt de Wäert aus der Shellhistorie, aus de Loggen an aus all Ticket eraus, dat Dir opmaacht. En Iwwerloosskript muss och d’verifizéiert Endpunktinformatioune behalen, déi de Client mam Cookie kritt huet; verléiert se, kann e spéidere Laf mat engem Host verbannen, deen Dir ni authentifizéiert hutt, wat schlëmmer ass wéi eng Verbindung, déi einfach feelt.

Gitt d’Lëscht duerch, ier Dir den Terminal zoumaacht

Véier Saachen sollte stëmmen: d’interaktiv Umeldung ass am Virdergrond fäerdeg ginn, d’PID-Datei weist op e verifizéierte Prozess, d’Supervisorfro ass an déi eng oder aner Richtung entscheet, an de Cookie huet e Späicherplang, deen keng einfach Textdatei ass. Wann all véier stëmmen, ass et sécher, vum Terminal fortzegoen, an den Tunnel leeft weider.

Wann eng feelt, fléckt deen Element, ier Dir déi aner beréiert, well déi reschtlech Kontrollen et net kompenséiere kënnen. Halt och d’Virdergrondopsiicht vum éischte Laf: wann den Tunnel dat nächste Kéier ouni Warnung fällt, ass just déi Grondlinn, déi eng Ännerung op der Gatewaysäit vun enger op der Clientsäit trennt.