OpenConnect-Anmeldung landt op der falscher Säit? Préift d’éischt de Pad

Du pechs d’Adress aus der Onboarding-Mail, de Client erreecht de Gateway, an de Formulaire fir d’Anmeldung, deen erschéngt, ass dee generelle Portal an net dee vum Partner, deen den Operateur beschriwwen huet. Näischt weist e Feeler, an dat ass genee dat, wat et verwierrt: den Tunnel kann souguer eropkommen, just hannert dem falschen Anmeldespunkt. De Pad an dëser URL huet Aarbecht gemaach, an wat en och ëmmer ersat huet, huet déi Aarbecht fale gelooss.

Trenn zwee Saachen, déi an engem Ticket als ee String ukommen: d’Adress, déi de Service erreecht, an den Input, deen entscheet, wou d’Authentifizéierung ufänkt. Dat éischt ze reparéieren an dat zweet z’ignoréieren ass de Wee, wéi en richtegen Hostnumm nach ëmmer déi falsch Anmeldung produzéiert.

Wat de Client schéckt, éier s de Formulaire gesäis

Mat enger Adress wéi https://vpn.example.net/partners ass déi éischt Aktioun vum Client eng HTTPS-Ufro op dee Pad an net op den nackten Host. Wat zréckkënnt, ass meeschtens eng Ëmleedung op den Anmeldespunkt oder de Formulaire selwer. E Client, deen nëmmen vpn.example.net kritt, fänkt op där Standard-Landingssäit un, déi et gëtt, an dat kann en anere Portal, eng aner Gruppelëscht oder eng Säit sinn, déi en ganz anert Protokoll erwaart. Den Ënnerscheed ass an den Äntwert-Headeren ze gesinn, laang éier eng Umeldungsinformatioun getippt gëtt.

Dofir kënnen en funktionéierende Browser-Tab an e feelende Clientprofil dee selwechte Gateway nennen an trotzdem net iwwerenee stëmmen. De Browser ass dem Pad gefollegt; de Profil hat en ni.

Zwee Inputen, déi austauschbar ausgesinn an et net sinn

OpenConnect weist den initialen HTTPS-Pad als --usergroup aus, an d’Säit vum Handbuch behandelt eng komplett URL mat deem Pad als déi selwecht Ufro, anescht geschriwwen. --authgroup ass eng separat Optioun: si wielt en Entrée aus der Lëscht, déi de Gateway bannen am Anmeldeformulaire weist. Een Deel vun de Protokoller nennt deen Entrée Grupp, anerer Domän oder Gateway, an do genee ginn déi zwee Fändercher verwiesselt.

E Service kann legal zwee brauchen. De Pad kann dech op de richtege Portal bréngen, während de Formulaire nach freet, bannen eng Grupp auszewielen. Den Portalnumm als Gruppennumm ze ginn, oder ëmgedréit, produzéiert eng Anmeldung, déi ugeholl ausgesäit an duerno net autoriséiert, well de Wäert syntaktesch gülteg a semantesch falsch war.

Frot den Operateur no all Wäert op senger eegener Linn: Entréespad, Formulaireauswiel an ob béid néideg sinn. Leet net dat engt aus dem aneren of, well d’Etiketten ähnlech kléngen.

Firwat d’Kierze vum Pad d’Resultat ännert

Cliente, déi nëmmen Host a Port akzeptéieren, verbannen sech dacks trotzdem, sou datt de Symptom seelen e haarde Feeler ass. Amplaz kritt s déi falsch Anmeldesäit, eng eidel Gruppelëscht, en Zertifikatsnumm, deen net méi mat deem iwwerenee stëmmt, wat den Operateur publizéiert huet, oder en Tunnel, deen eropkënnt ouni eng Route zum gewënschte Service. Jiddwereen dovun sëtzt an enger anerer Schicht, an keen dovun ass ze reparéieren, andeems een e méi laangen String an e Feld pecht, dat als Hostnumm dokumentéiert ass. Zwee dovun sinn och vun dobausse net z’ënnerscheeden, well béid als Anmeldeformulaire ukommen, deen einfach net weidergeet.

Den Hostnumm duerch eng IP-Adress z’ersetzen ass e separate Feeler, deen dacks mat dësem reest. D’Serviceauswiel iwwer den Numm an d’Zertifikatsvalidéierung hänken allebéid vum Numm of, sou datt eng numeresch Adress e Padformat-Problem an en TLS-Feeler ëmwandele kann.

Browseradressen dréien och méi wéi Paden. Sessiounsidentifikatoren, Ëmleedungsziler, Sproochprefixer an temporär Anmeldeparameter erschéngen all an der Adressleesch, an keen dovun gehéiert an e gespäicherte Clientprofil.

Bestätegt den Anmeldespunkt, éier s eppes anescht änderst

Lies d’Headeren fir de Pad, deen s de kritt hues. Eng Ufro wéi curl -sS -o /dev/null -D - https://vpn.example.net/partners dréckt d’Statuslinn an all Location-Header, ouni der Ëmleedung ze follegen. En 302, deen op en genannten Anmeldespunkt weist, bestätegt, datt de Pad existéiert, a weist, wou en hiféiert; en 404 heescht, datt d’Adress vum Operateur veraltert ass.

Reproduzéier duerno dee selwechten Anmeldespunkt am approuvéierte Client, zum Beispill openconnect --usergroup=partners vpn.example.net, a kuck, wéi e Formulaire erschéngt. Wann de Formulaire richteg ass an den Tunnel nach ëmmer feelt, war de Pad ni de Problem an déi nächst Statioun ass Politik oder Routing.

Notéier Hostnumm, Port, Protokoll, Entréespad an d’Formulaireauswiel als fënnef getrennte Felder am Ticket. Déi Lëscht ass et, déi et dem nächsten Ingenieur erméiglecht, en net erreechbare Server vun enger TLS-Ablehnung, enger ofgeleenter Auswiel an engem Tunnel z’ënnerscheeden, deen ouni déi néideg Routen eropkomm ass.