„OpenConnect“ prisijungimas patenka į netinkamą puslapį? Pirmiausia patikrinkite kelią

Įklijuojate adresą iš įžanginio laiško, klientas pasiekia tinklų sietuvą, o pasirodžiusi prisijungimo forma yra bendrasis portalas, o ne operatoriaus aprašytas partnerių portalas. Niekas nerodo klaidos, ir būtent tai klaidina: tunelis gali net pakilti, tik už netinkamo įėjimo taško. Tas URL kelias atliko darbą, ir kas jį pakeitė, tą darbą pametė.

Atskirkite du dalykus, kurie biliete ateina kaip viena eilutė: adresą, kuris pasiekia paslaugą, ir įvestį, kuri nusprendžia, kur prasideda autentifikavimas. Sutaisyti pirmąjį ignoruojant antrąjį – tai būdas, kuriuo teisingas mazgo vardas vis tiek duoda netinkamą prisijungimą.

Ką klientas siunčia prieš pamatant formą

Su adresu kaip https://vpn.example.net/partners pirmasis kliento veiksmas yra HTTPS užklausa tam keliui, o ne nuogam mazgui. Atgal paprastai grįžta peradresavimas į prisijungimo galinį tašką arba pati forma. Klientas, gaunantis tik vpn.example.net, pradeda nuo to numatytojo nukreipimo puslapio, koks bebūtų, ir tai gali būti kitas portalas, kitas grupių sąrašas ar puslapis, laukiantis visiškai kito protokolo. Skirtumas matomas atsakymo antraštėse gerokai anksčiau, nei įvedami bet kokie prisijungimo duomenys.

Štai kodėl veikianti naršyklės kortelė ir nepavykstantis kliento profilis gali įvardyti tą patį tinklų sietuvą ir vis tiek nesutarti. Naršyklė ėjo keliu; profilis jo niekada neturėjo.

Dvi įvestys, kurios atrodo keičiamos ir nėra tokios

OpenConnect pateikia pradinį HTTPS kelią kaip --usergroup, o vadovo puslapis visą URL su tuo keliu laiko ta pačia užklausa, kitaip užrašyta. --authgroup yra atskira parinktis: ji parenka įrašą iš sąrašo, kurį tinklų sietuvas pateikia prisijungimo formos viduje. Kai kurie protokolai tą įrašą vadina grupe, kiti – domenu ar tinklų sietuvu, ir būtent ten abi vėliavėlės supainiojamos.

Paslaugai gali teisėtai reikėti abiejų. Kelias gali nuvesti į tinkamą portalą, o forma vis dar prašo pasirinkti grupę jo viduje. Pateikus portalo pavadinimą kaip grupės pavadinimą arba atvirkščiai, gaunamas prisijungimas, kuris atrodo priimtas ir paskui neautorizuoja, nes reikšmė buvo sintaksiškai teisinga ir semantiškai neteisinga.

Paprašykite operatoriaus kiekvienos reikšmės atskiroje eilutėje: įėjimo kelio, formos pasirinkimo ir ar abiejų reikia. Neišveskite vieno iš kito vien todėl, kad etiketės skamba panašiai.

Kodėl kelio trumpinimas keičia rezultatą

Klientai, priimantys tik mazgą ir prievadą, dažnai vis tiek prisijungia, todėl simptomas retai būna kieta klaida. Vietoj to gaunate netinkamą prisijungimo puslapį, tuščią grupių sąrašą, sertifikato vardą, kuris nebeatitinka operatoriaus paskelbto, arba tunelį, kuris pakyla be maršruto į norimą paslaugą. Kiekvienas jų yra kitame sluoksnyje, ir nė vieno nepataiso ilgesnės eilutės įklijavimas į lauką, dokumentuotą kaip mazgo vardas. Du iš jų taip pat neišskiriami iš išorės, nes abu ateina kaip prisijungimo forma, kuri tiesiog nesitęsia.

Mazgo vardo pakeitimas IP adresu yra atskira klaida, kuri dažnai keliauja kartu su šia. Paslaugos parinkimas pagal vardą ir sertifikato tikrinimas abu priklauso nuo vardo, todėl skaitinis adresas gali paversti kelio formato problemą TLS klaida.

Naršyklės adresai taip pat turi daugiau nei kelius. Sesijos identifikatoriai, peradresavimo tikslai, kalbos priešdėliai ir laikini prisijungimo parametrai visi pasirodo adreso juostoje, ir nė vienas jų nepriklauso išsaugotam kliento profiliui.

Patvirtinkite įėjimo tašką prieš ką nors kita redaguodami

Perskaitykite gauto kelio antraštes. Užklausa kaip curl -sS -o /dev/null -D - https://vpn.example.net/partners išspausdina būsenos eilutę ir bet kurią Location antraštę nesekdama peradresavimo. 302, nukreipiantis į įvardytą prisijungimo galinį tašką, patvirtina, kad kelias egzistuoja, ir parodo, kur jis veda; 404 reiškia, kad operatoriaus adresas pasenęs.

Tada atkurkite tą patį įėjimo tašką patvirtintame kliente, pavyzdžiui openconnect --usergroup=partners vpn.example.net, ir stebėkite, kuri forma pasirodys. Jei forma teisinga, o tunelis vis tiek nepavyksta, kelias niekada nebuvo problema, o kita stotelė – politika arba maršrutizavimas.

Biliete užrašykite mazgo vardą, prievadą, protokolą, įėjimo kelią ir formos pasirinkimą kaip penkis atskirus laukus. Būtent šis sąrašas leidžia kitam inžinieriui atskirti nepasiekiamą serverį nuo TLS atmetimo, atmesto pasirinkimo ir tunelio, kuris pakilo be reikalingų maršrutų.