D'ConnMan OpenConnect-Cookie leeft of, keen Zertifikatsproblem
Zwee Feeler gesinn am Log gläich aus. Vergläicht den ugepechte Fingerofdrock mam Sessiounscookie, erneiert d'Feld, dat ofgelaf ass, a start dann den Daemon nei.
ConnMan schafft en Nomëtteg a refuséiert duerno, an d'Journalzeil ernimmt d'Zertifikatspréiwung. Déi Zeil schéckt d'Leit op CA-Bündel, déi ni futti waren. Zwee verschidde Feeler ginn bal déiselwecht Form vu Versoen: de Sessiounscookie leeft of, oder den Zertifikat vum Server huet sech wierklech geännert. Si kënnen an ongeféier enger Minutt getrennt ginn, a just een vun deenen zwee huet iwwerhaapt mam Fingerofdrock ze dinn.
Zwee Feeler, eng verwirrend Journalzeil
Si trenne sech op zwou Observatiounen, a keng vun deenen zwee brauch en zweet Lies. Déi éischt ass wéini de Feeler ugefaang huet: en ofgelafene Cookie kënnt no Stonnen oder Deeg vu Schaffen, an en ersetzten Zertifikat kënnt direkt no enger Gateway-Ännerung.
| Signal | Expired cookie | Changed certificate |
|---|---|---|
| When it started | after hours or days of working | right after a gateway change |
| Fingerprint from a fresh authenticate | unchanged | different value |
| Usual log tail | HTTP CONNECT 401 / unauthorized | signer not found / verify failed |
| Repair | replace the cookie, restart | re-pin deliberately, then restart |
Den Test vun enger Minutt ass den authenticate-Laf hei ënnendrënner. Vergläicht säin FINGERPRINT mat OpenConnect.ServerCert an der Datei. En identeschen Fingerofdrock mat engem anere COOKIE bedeit, just de Cookie auszetauschen. En aneren Fingerofdrock bedeit, datt den Zertifikat vum Server wierklech geännert huet, also pecht en bewosst nach eng Kéier an a schreift op, wien dat guttgeheescht huet.
Generéiert d'Material, amplaz et ze tippen
ConnMan huet kee Schrëtt fir en OpenConnect-Profil z'importéieren, am Géigesaz zum NetworkManager. Et liest eng Provisioning-Datei, deenen hir Wäerter am Viraus produzéiert musse ginn, an dee gestëtzten Wee fir se ze produzéieren ass den authenticate-Modus vum OpenConnect.
sudo openconnect --csd-wrapper=/home/user/.cisco/csd-wrapper.sh \
--authenticate --user myuser vpn.example.comD'Ausgab dréckt véier Wäerter: POST, COOKIE, HOST an FINGERPRINT. Den Fingerofdrock mat dem Prefix sha256: ass d'Upechung vum Server. De Cookie ass den Artefakt vun der Sessioun mat enger Liewensdauer, déi de Gateway decidéiert. Behandelt se als verschidden Aarte vu Geheimnis: si lafen no verschidde Pläng of, a just ee vun hinnen ännert sech erwaart.
D'Datei dréit béides, a si alen anescht
D'Provisioning-Datei läit ënner /var/lib/connman-vpn/ a gëtt pro Verbindung vum VPN-Daemon gelies, net vum Tray-Applet. Halt den Numm vun der Verbindung am globale Beräich an d'Protokolldetailer am Provider-Beräich.
[global]
Name = Company VPN
[provider_openconnect]
Type = OpenConnect
Name = Company Cisco VPN
Host = vpn.example.com
Domain = corp.example
OpenConnect.ServerCert = sha256:...
OpenConnect.Cookie = ...Benotzt den Hostnumm, deen de Portal wierklech servéiert. Eng plakeg IP-Adress kann d'Zertifikatskontroll passéieren an awer versoen, well den Apparat iwwer den virtuelle Host routet an den Numm erwaart.
systemctl status connman-vpn --no-pager # is the daemon even installed and running
sudo systemctl restart connman-vpn # after the file edit
journalctl -u connman-vpn --since '1 hour ago' # after the connection attemptWat den Journal wierklech weist
Den Tray-Tooltip wäert net soen, wéi ee Feeler dir hutt. Den Journal wäert et, wann dir d'Reiefolleg liest an net déi éischt Besuergnes-Zeil. En ale Cookie weist typesch, datt d'TLS-Verhandlung fäerdeg ass an d'HTTP-Schicht duerno refuséiert, dofir stinn d'Wierder iwwer Zertifikater nieft engem Autorisatiounsfeeler.
Vergläicht en neien authenticate-Laf mat de Wäerter an der Datei. Wann den Fingerofdrock passt an nëmmen de Cookie anescht ass, hutt dir Är Äntwert, ouni d'Vertrauensastellungen unzepaken.
Erneiert d'Feld, dat ofgelaf ass
Widderhëlt den authenticate-Befehl, ersetzt OpenConnect.Cookie, a start den Daemon nei. Loosst den Fingerofdrock a Rou, ausser wann déi nei Ausgab en anere Wäert weist; an deem Fall gouf den Zertifikat vum Server wierklech ersat an d'Nuepéchung ass eng Entscheedung, déi een opgeeche soll, net e Paste aus enger Feelermeldung.
D'Erneierung automatiséieren ass vernünfteg: e klengt Skript liest d'Passwuert vum Standardinput, leeft den authenticate-Modus a schreift just d'Cookie-Zeil ëm. Halt d'Zougangsdate vum Skript eraus an nëmmen duerch de Kont liesbar, deen et leeft, a maach d'Ëmschreiwen atomar, sou datt e feelgeschloene Laf keng hallef geschriwwen Datei hannerléisst.
Wann d'Erneierung all puer Stonnen néideg ass, schreift den Intervall op. Et ass eng Eegeschaft vun der Sessiounspolitik vum Gateway, an et entscheet, ob d'Erneierung automatiséiert oder eng méi laang Sessioun gefrot soll ginn.