Најавата на OpenConnect завршува на погрешна страница? Прво проверете ја патеката

Ја вметнувате адресата од воведната порака, клиентот стигнува до порталот, а формуларот за најава што се појавува е општиот портал, а не партнерскиот што го опишал операторот. Ништо не прикажува грешка, и токму тоа збунува: тунелот може дури и да се крене, само зад погрешна влезна точка. Патеката во таа URL вршеше работа, и што и да ја замени, ја испушти таа работа.

Одвојте две работи што доаѓаат како еден текст во тикетот: адресата што стигнува до услугата и влезот што одлучува каде започнува автентикацијата. Поправањето на првото додека се игнорира второто е начинот на кој правилното име на домаќин се уште дава погрешна најава.

Што праќа клиентот пред да видите формулар

Со адреса како https://vpn.example.net/partners, првото дејство на клиентот е HTTPS барање до таа патека, а не до голиот домаќин. Она што се враќа обично е пренасочување до крајната точка за најава или самиот формулар. Клиент што добива само vpn.example.net започнува од стандардната почетна страница каква и да е, а тоа може да биде друг портал, друг список со групи или страница што очекува сосема друг протокол. Разликата е видлива во заглавијата на одговорот многу пред да се внесе било какви акредитиви.

Затоа таб во прелистувач што работи и клиентски профил што не успева можат да го именуваат истиот портал, а сепак да не се согласат. Прелистувачот ја следеше патеката; профилот никогаш ја немал.

Два влеза што изгледаат заменливи и не се

OpenConnect ја изложува почетната HTTPS патека како --usergroup, и страницата на прирачникот целосната URL со таа патека ја третира како исто барање напишано поинаку. --authgroup е одделна опција: избира запис од списокот што порталот го прикажува внатре во формуларот за најава. Некои протоколи тој запис го нарекуваат група, други домен или портал, и токму таму двете знаменца се мешаат.

На услугата може легитимно да ѝ требаат двете. Патеката може да ве однесе на правилниот портал додека формуларот се уште бара да изберете група внатре во него. Давање на името на порталот како име на група, или обратно, дава најава што изгледа прифатена и потоа не авторизира, бидејќи вредноста беше синтаксички валидна и семантички погрешна.

Побарајте од операторот секоја вредност во посебен ред: влезна патека, избор во формуларот и дали двете се потребни. Не изведувајте едното од другото само затоа што етикетите звучат слично.

Зошто скратувањето на патеката го менува исходот

Клиентите што прифаќаат само домаќин и порта често се уште се поврзуваат, така што симптомот ретко е тврд неуспех. Наместо тоа добивате погрешна страница за најава, празен список со групи, име на сертификат што повеќе не одговара на она што го објавил операторот, или тунел што се крева без маршрута до саканата услуга. Секое од нив седи на различен слој, и ниту едно не се поправа со вметнување подолг текст во поле документирано како име на домаќин. Две од нив исто така не се разликуваат однадвор, бидејќи и двете доаѓаат како формулар за најава што едноставно не продолжува.

Замената на името на домаќинот со IP адреса е одделна грешка што често патува со оваа. Изборот на услуга по име и проверката на сертификатот зависат од името, така што бројчана адреса може да претвори проблем со форматот на патеката во TLS грешка.

Адресите во прелистувачот носат и повеќе од патеки. Идентификатори на сесија, цели на пренасочување, јазични претставки и привремени параметри за најава сите се појавуваат во адресната лента, и ниту еден од нив не припаѓа во зачуван клиентски профил.

Потврдете ја влезната точка пред да уредите нешто друго

Прочитајте ги заглавијата за патеката што ви е дадена. Барање како curl -sS -o /dev/null -D - https://vpn.example.net/partners печати статусна линија и секое заглавие Location без да го следи пренасочувањето. 302 што покажува на именувана крајна точка за најава потврдува дека патеката постои и покажува каде води; 404 значи дека адресата на операторот е застарена.

Потоа репродуцирајте ја истата влезна точка во одобрениот клиент, на пример openconnect --usergroup=partners vpn.example.net, и гледајте кој формулар се појавува. Ако формуларот е правилен, а тунелот се уште не успева, патеката никогаш не била проблем и следната станица е политика или рутирање.

Запишете го името на домаќинот, портата, протоколот, влезната патека и изборот во формуларот како пет одделни полиња во тикетот. Токму тој список му овозможува на следниот инженер да разликува недостапен сервер од TLS одбивање, одбиен избор и тунел што се кренал без потребните маршрути.