Firwat lehnt OpenConnect de Gateway no engem Zertifikatsaustausch of?

Gateways tauschen Zertifikater aus, an e Client, deen gëschter nach verbonnen war, fänkt beim éischten TLS-Austausch un ze stoppen. D'Meldung nennt en Iwwerpréifungsgrond anstatt e Netzwierkfehler, an d'Maschinn selwer huet sech net geännert, wat den nëtzlechen Hiwäis ass. Wat gebrach ass, ass d'Verhältnis tëscht dem Zertifikat, dat elo presentéiert gëtt, an de Wuerzelen, déi de Client bereet ass ze betruechten. Dat ze reparéieren ass eng Vertrauensentscheedung, also hëlt déi Entscheedung, ier Dir eng Optioun tippt.

Liest de Fehler, ier Dir eng Vertrauensastellung ännert

E Fehler vum Typ fehlenden Ënnerschreiwer heescht, datt d'Kette bei eppes ophält, wat de Client net akzeptéiert. Dat kann en erneiert Zertifikat vun enger internen Autoritéit sinn, en Ersatz vun enger ëffentlecher, oder en Apparat an der Mëtt, dee säin eegent Zertifikat presentéiert. Nëmmen den Text kann déi Fäll net ënnerscheeden, kuckt also den Aussteller un, ier Dir decidéiert.

Fëllt d'Verbindung eemol am Virdergrond aus a loosst se feelen, well déi interaktiv Ausgab den Servernumm, d'Ausstellerkette an de Fangerofdrock dréit, deen de Client berechent huet. Vergläicht deen Aussteller mat enger Autoritéit, déi Är Organisatioun tatsächlech bedreift. Wann de Fangerofdrock sech geännert huet, den Aussteller awer net, behandelt et als verdächteg, bis eng Erneierung iwwer e Kanal bestätegt gëtt, deem Dir schonn vertraut. Op dësem Punkt ze roden ass de Wee, op deem een um Enn de Schlëssel vun engem Ofhërer befestegt.

Schreift d'Client-Versioun an déiselwecht Notiz. E gudden Deel vun de Feeler, déi wéi Vertrauensproblemer ausgesinn, kënnt vun engem eelere Client, deen op en neien Gateway-Austausch stéisst.

Wielt tëscht dem Aussteller vertrauen an ee Schlëssel befestegen

Béid Optioune maachen d'Verbindung erfollegräich. Se briechen méi spéit op entgéintgesate Weeër, dofir gehéiert d'Wiel zu dem Feeler, deen Dir kënnt toleréieren.

Gräift op d'CA-Datei, wann d'Zertifikat vun enger Autoritéit kënnt, déi Dir onofhängeg ka verifizéieren, well Erneierungen dann weider funktionéieren, ouni Client-Argumenter ze beréieren. Paart se mat dem Schalter, deen d'Systemwuerzelen deaktivéiert, soss kann eng ëffentlech Autoritéit d'Préifung an Ärem Numm erfëllen. Befestegt amplaz, wann de Gateway keng CA huet, déi Dir kënnt kréien, oder wann déi engstméiglech Ausnam d'Zil ass. Kee Wee ass abstrakt méi sécher: d'CA skaléiert iwwer Erneierungen, d'Befestegen ass méi einfach ze préifen.

Wéi eng Dir och wielt, dee vertraute Wäert muss iwwer e Kanal ukommen, deem éier der Ännerung vertraut gouf. En Administrateur, eng Konsol-Sessioun um Gateway oder eng Kopie, déi viraus geholl gouf, all qualifizéieren sech. De Fangerofdrock ze kopéieren, deen de Prompt weist, ass bequem an ass genau dat, op wat en Ofhërer hofft.

Setzt de Wäert an de Befehl, deen Dir tatsächlech start

D'Befestegung reest an enger Serverzertifikat-Optioun, an hire Prefix entscheet d'Kodéierung: hexadezimal Ëffentleche-Schlëssel-Digester ënner sha1 oder sha256, an d'base64-Schlësselbefestegung ënner pin-sha256. Se ze ginn deaktivéiert och d'Systemvertrauen fir deen Laf, also gëtt de befestegten Schlëssel déi ganz Entscheedung.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

De Client passt en ofgeschniddenen Digest, an akzeptéiert esou wéineg wéi véier Zeechen nom Prefix, wat eng Falle an net eng Bequemlechkeet ass. E verkierzten Wäert geet lokal duerch a identifizéiert nach ëmmer net de Gateway, deen Dir virhat hatt. Kopéiert de ganzen String, deen de Client beim éischten Versuch gedréckt huet, amplaz en aus enger Meldung nei ze tippen. Beweegt dann déi fäerdeg Optioun an de Wrapper-Skript, d'Unit-Datei oder de Profil, deen d'Verbindung start, sou datt d'Vertrauensentscheedung iwwerpréifbar ass a spéider Ännerungen bewosst sinn.

Desktop-Starter an den NetworkManager-Plugin späicheren hir eege Kopie vun de Verbindungsargumenter. E Skript, deen op der Plack geännert gouf, erreecht kee Profil, deen éischter importéiert gouf, also gewënnt de gespäicherte Wäert weider.

Behandelt eng Ëmstellung, ouni Iech selwer auszeschléissen

D'Optioun kann méi wéi eemol ginn, also kann eng geplangten Ännerung den ausgoenden an den agoende Schlëssel zesummen akzeptéieren. Füügt déi nei Befestegung derbäi, ier de Gateway ëmschalt, haalt béid opgezielt, wärend Sessiounen migréieren, a loosst déi pensionéiert fale, wa sech den alen Schlëssel fort ass. Dee Fenster brauch en Eegentümer, well eng vergiesse Duebelbefestegung e Schlëssel vertraut léisst, ouni datt een drop oppasst. En Neibau, deen en neit Schlësselpaar produzéiert, brécht eng reng Befestegung, an d'Erhuelung ass déiselwecht Prozedur an déi aner Richtung.

Schreift den Ännerungsdatum nieft d'Befestegung. Eng Befestegung ouni Iwwerpréifungsdatum ass eng zukünfteg Ënnerbriechung mat enger verwirrender Fehlermeldung.

Schléisst d'Client-Versioun aus, ier Dir Vertrauen ännert

En datéierte Client kann feelen, wärend en eng Authentifikatiounsäntwert parst, déi de Gateway zënterhier geännert huet, an d'Uewerflächmeldung schwätzt nach ëmmer vun der Verbindung an net vum Parser. Vergläicht déi installéiert Versioun mat deem, wat de Gateway dokumentéiert, a testt en aktuelle Paket an engem eemol benotzte Profil, ier Dir eng Vertrauensastellung ännert.

openconnect --version

Nom Reparéieren, verifizéiert zwee Saachen an net eng: de Portal lued duerch den Tunnel, an eng gewéinlech intern Adress äntwert. En ofgeschlossene Handshake beweist nëmmen, datt d'Vertrauensentscheedung akzeptéiert gouf.