സർട്ടിഫിക്കറ്റ് മാറ്റിയ ശേഷം OpenConnect ഗേറ്റ്വേയെ എന്തുകൊണ്ട് നിരസിക്കുന്നു?
ഗേറ്റ്വേയുടെ സർട്ടിഫിക്കറ്റ് മാറ്റിയതിന് ശേഷമുള്ള പരിശോധനാ പരാജയം ഒരു വിശ്വാസ തീരുമാനമാണ്, തകർന്ന ടണൽ അല്ല. ഇഷ്യൂ ചെയ്യുന്ന CA ഉം ഒരു കീ പിൻ ചെയ്യലും തമ്മിൽ തിരഞ്ഞെടുക്കുക.
ഗേറ്റ്വേകൾ സർട്ടിഫിക്കറ്റുകൾ മാറ്റുന്നു, ഇന്നലെ വരെ ബന്ധിപ്പിച്ചിരുന്ന ക്ലയന്റ് ആദ്യ TLS കൈമാറ്റത്തിൽ നിൽക്കാൻ തുടങ്ങുന്നു. സന്ദേശം നെറ്റ്വർക്ക് തകരാറല്ല, പരിശോധനയുടെ കാരണം പറയുന്നു, യന്ത്രം തന്നെ മാറിയിട്ടില്ല, അതാണ് ഉപയോഗപ്രദമായ സൂചന. തകർന്നത് ഇപ്പോൾ അവതരിപ്പിക്കുന്ന സർട്ടിഫിക്കറ്റും ക്ലയന്റ് പരിഗണിക്കാൻ തയ്യാറുള്ള റൂട്ടുകളും തമ്മിലുള്ള ബന്ധമാണ്. ഇത് നന്നാക്കുന്നത് വിശ്വാസത്തിന്റെ തീരുമാനമാണ്, അതിനാൽ ഒരു ഓപ്ഷൻ എഴുതുന്നതിന് മുമ്പ് ആ തീരുമാനം എടുക്കുക.
ഏതെങ്കിലും വിശ്വാസ ക്രമീകരണം മാറ്റുന്നതിന് മുമ്പ് പരാജയം വായിക്കുക
സൈൻ ചെയ്യുന്നയാളില്ല എന്ന തരത്തിലുള്ള പിശക് എന്നാൽ ചെയിൻ ക്ലയന്റ് സ്വീകരിക്കാത്ത എന്തിലോ അവസാനിക്കുന്നു എന്നാണ്. അത് ആന്തരിക അധികാരിയുടെ പുതുക്കിയ സർട്ടിഫിക്കറ്റ്, പൊതു അധികാരിയുടെ പകരം, അല്ലെങ്കിൽ നടുവിലുള്ള ഒരു ഉപകരണം തന്റെ സർട്ടിഫിക്കറ്റ് അവതരിപ്പിക്കുന്നത് ആകാം. വാക്കുകൾ മാത്രം ആ സന്ദർഭങ്ങളെ വേർതിരിക്കാൻ കഴിയില്ല, അതിനാൽ തീരുമാനിക്കുന്നതിന് മുമ്പ് ഇഷ്യൂവറെ നോക്കുക.
കണക്ഷൻ ഒരിക്കൽ മുൻഭാഗത്ത് പ്രവർത്തിപ്പിച്ച് പരാജയപ്പെടാൻ അനുവദിക്കുക, കാരണം ഇന്ററാക്ടീവ് ഔട്ട്പുട്ടിൽ സർവർ നാമം, ഇഷ്യൂവർ ചെയിൻ, ക്ലയന്റ് കണക്കാക്കിയ ഫിംഗർപ്രിന്റ് എന്നിവയുണ്ട്. ആ ഇഷ്യൂവറെ നിങ്ങളുടെ സംഘടന യഥാർത്ഥത്തിൽ പ്രവർത്തിപ്പിക്കുന്ന അധികാരിയുമായി താരതമ്യം ചെയ്യുക. ഫിംഗർപ്രിന്റ് മാറിയെങ്കിലും ഇഷ്യൂവർ മാറിയില്ലെങ്കിൽ, നിങ്ങൾ ഇതിനകം വിശ്വസിക്കുന്ന ഒരു ചാനലിലൂടെ പുതുക്കൽ സ്ഥിരീകരിക്കുന്നതുവരെ അതിനെ സംശയാസ്പദമായി കാണുക. ഈ ഘട്ടത്തിൽ ഊഹിക്കുന്നത് ഒടുവിൽ ഒരാൾ തടസ്സപ്പെടുത്തുന്നയാളുടെ കീ പിൻ ചെയ്യുന്ന വഴിയാണ്.
അതേ കുറിപ്പിൽ ക്ലയന്റ് പതിപ്പ് എഴുതുക. വിശ്വാസ പ്രശ്നങ്ങളായി തോന്നുന്ന പല പരാജയങ്ങളും പഴയ ക്ലയന്റ് പുതിയ ഗേറ്റ്വേ കൈമാറ്റത്തെ നേരിടുന്നതിൽ നിന്ന് വരുന്നു.
ഇഷ്യൂവറെ വിശ്വസിക്കുന്നതും ഒരു കീ പിൻ ചെയ്യുന്നതും തമ്മിൽ തിരഞ്ഞെടുക്കുക
രണ്ട് ഓപ്ഷനുകളും കണക്ഷൻ വിജയിപ്പിക്കുന്നു. അവ പിന്നീട് വിപരീത രീതികളിൽ തകരുന്നു, അതിനാൽ തിരഞ്ഞെടുപ്പ് നിങ്ങൾക്ക് സഹിക്കാവുന്ന പരാജയത്തിന്റേതാണ്.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
സർട്ടിഫിക്കറ്റ് നിങ്ങൾക്ക് സ്വതന്ത്രമായി പരിശോധിക്കാവുന്ന ഒരു അധികാരിയിൽ നിന്ന് വരുമ്പോൾ CA ഫയലിലേക്ക് പോകുക, കാരണം പുതുക്കലുകൾ ക്ലയന്റ് ആർഗ്യുമെന്റുകൾ തൊടാതെ പ്രവർത്തിക്കുന്നു. സിസ്റ്റം റൂട്ടുകൾ അപ്രാപ്തമാക്കുന്ന സ്വിച്ചുമായി അത് ജോടിയാക്കുക, അല്ലെങ്കിൽ ഒരു പൊതു അധികാരിക്ക് നിങ്ങൾക്കുവേണ്ടി പരിശോധന പൂർത്തിയാക്കാം. പകരം ഗേറ്റ്വേയ്ക്ക് നേടാവുന്ന CA ഇല്ലെങ്കിൽ അല്ലെങ്കിൽ കഴിയുന്നത്ര ഇടുങ്ങിയ ഒഴിവാക്കലാണ് ലക്ഷ്യമെങ്കിൽ പിൻ ചെയ്യുക. ഒരു വഴിയും അമൂർത്തമായി സുരക്ഷിതമല്ല: CA പുതുക്കലുകളിലുടനീളം സ്കെയിൽ ചെയ്യുന്നു, പിൻ പരിശോധിക്കാൻ എളുപ്പമാണ്.
ഏത് തിരഞ്ഞെടുത്താലും, വിശ്വസ്ത മൂല്യം മാറ്റത്തിന് മുമ്പ് വിശ്വസിച്ചിരുന്ന ഒരു ചാനലിലൂടെ എത്തണം. അഡ്മിനിസ്ട്രേറ്റർ, ഗേറ്റ്വേയിലെ കൺസോൾ സെഷൻ, അല്ലെങ്കിൽ മുൻകൂട്ടി എടുത്ത പകർപ്പ്—എല്ലാം യോഗ്യമാണ്. പ്രോംപ്റ്റ് കാണിക്കുന്ന ഏത് ഫിംഗർപ്രിന്റും പകർത്തുന്നത് സൗകര്യപ്രദവും തടസ്സപ്പെടുത്തുന്നയാൾ പ്രതീക്ഷിക്കുന്നതും അതുതന്നെയാണ്.
നിങ്ങൾ യഥാർത്ഥത്തിൽ പ്രവർത്തിപ്പിക്കുന്ന കമാൻഡിൽ മൂല്യം വയ്ക്കുക
പിൻ ഒരു സർവർ-സർട്ടിഫിക്കറ്റ് ഓപ്ഷനിൽ സഞ്ചരിക്കുന്നു, അതിന്റെ പ്രിഫിക്സ് എൻകോഡിംഗ് തീരുമാനിക്കുന്നു: sha1 അല്ലെങ്കിൽ sha256 പ്രകാരം ഹെക്സാഡെസിമൽ പൊതു-കീ ഡൈജസ്റ്റുകൾ, pin-sha256 പ്രകാരം base64 കീ പിൻ. അത് നൽകുന്നത് ആ പ്രവർത്തനത്തിന് സിസ്റ്റം വിശ്വാസവും അപ്രാപ്തമാക്കുന്നു, അതിനാൽ പിൻ ചെയ്ത കീ മുഴുവൻ തീരുമാനമായി മാറുന്നു.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustക്ലയന്റ് വെട്ടിച്ചുരുക്കിയ ഡൈജസ്റ്റ് പൊരുത്തപ്പെടുത്തുന്നു, പ്രിഫിക്സിന് ശേഷം നാല് പ്രതീകങ്ങൾ മാത്രം സ്വീകരിക്കുന്നു, അത് സൗകര്യമല്ല കെണിയാണ്. ചുരുക്കിയ മൂല്യം പ്രാദേശികമായി കടന്നുപോകുന്നു, ഇപ്പോഴും നിങ്ങൾ ഉദ്ദേശിച്ച ഗേറ്റ്വേയെ തിരിച്ചറിയുന്നില്ല. സന്ദേശത്തിൽ നിന്ന് വീണ്ടും ടൈപ്പ് ചെയ്യുന്നതിനുപകരം ആദ്യ ശ്രമത്തിൽ ക്ലയന്റ് അച്ചടിച്ച പൂർണ്ണ സ്ട്രിംഗ് പകർത്തുക. തുടർന്ന് തയ്യാറായ ഓപ്ഷൻ കണക്ഷൻ ആരംഭിക്കുന്ന റാപ്പർ സ്ക്രിപ്റ്റിലേക്കോ യൂണിറ്റ് ഫയലിലേക്കോ പ്രൊഫൈലിലേക്കോ മാറ്റുക, വിശ്വാസ തീരുമാനം പരിശോധിക്കാവുന്നതും പിന്നീടുള്ള മാറ്റങ്ങൾ ബോധപൂർവവുമാകാൻ.
ഡെസ്ക്ടോപ്പ് ലോഞ്ചറുകളും NetworkManager പ്ലഗിനും കണക്ഷൻ ആർഗ്യുമെന്റുകളുടെ സ്വന്തം പകർപ്പ് സൂക്ഷിക്കുന്നു. ഡിസ്കിൽ തിരുത്തിയ സ്ക്രിപ്റ്റ് മുമ്പ് ഇറക്കുമതി ചെയ്ത പ്രൊഫൈലിലേക്ക് എത്തുന്നില്ല, അതിനാൽ സൂക്ഷിച്ച മൂല്യം ഇപ്പോഴും ജയിക്കുന്നു.
സ്വയം പുറത്ത് പൂട്ടിയിടാതെ റോൾഓവർ കൈകാര്യം ചെയ്യുക
ഓപ്ഷൻ ഒന്നിലധികം തവണ നൽകാം, അതിനാൽ ആസൂത്രിത മാറ്റത്തിന് പുറത്തേക്കുള്ളതും അകത്തേക്കുള്ളതുമായ കീകൾ ഒരുമിച്ച് സ്വീകരിക്കാം. ഗേറ്റ്വേ മാറുന്നതിന് മുമ്പ് പുതിയ പിൻ ചേർക്കുക, സെഷനുകൾ കുടിയേറുന്നതിനിടയിൽ രണ്ടും പട്ടികപ്പെടുത്തുക, പഴയ കീ പോയാൽ വിരമിച്ചത് ഒഴിവാക്കുക. ആ വിൻഡോയ്ക്ക് ഉടമ വേണം, കാരണം മറന്നുപോയ ഇരട്ട പിൻ ഒരു കീയെ ആരും നോക്കാതെ വിശ്വസ്തമായി വിടുന്നു. പുതിയ കീ ജോടി നിർമ്മിക്കുന്ന പുനർനിർമ്മാണം ശുദ്ധമായ പിൻ തകർക്കുന്നു, വീണ്ടെടുപ്പ് എതിർദിശയിലെ അതേ നടപടിക്രമമാണ്.
പിൻറെ അടുത്ത് മാറ്റത്തിന്റെ തീയതി എഴുതുക. അവലോകന തീയതിയില്ലാത്ത പിൻ ആശയക്കുഴപ്പമുള്ള പിശക് സന്ദേശം വഹിക്കുന്ന ഭാവി തടസ്സമാണ്.
വിശ്വാസം തിരുത്തുന്നതിന് മുമ്പ് ക്ലയന്റ് പതിപ്പ് ഒഴിവാക്കുക
പഴയ ക്ലയന്റ് ഗേറ്റ്വേ പിന്നീട് മാറ്റിയ ഒരു പ്രാമാണീകരണ പ്രതികരണം പാഴ്സ് ചെയ്യുമ്പോൾ പരാജയപ്പെടാം, പ്രതല സന്ദേശം ഇപ്പോഴും പാഴ്സറിനെക്കുറിച്ചല്ല കണക്ഷനെക്കുറിച്ച് സംസാരിക്കുന്നു. ഇൻസ്റ്റാൾ ചെയ്ത പതിപ്പിനെ ഗേറ്റ്വേ രേഖപ്പെടുത്തുന്നതുമായി താരതമ്യം ചെയ്യുക, ഏതെങ്കിലും വിശ്വാസ ക്രമീകരണം മാറ്റുന്നതിന് മുമ്പ് നിലവിലെ പാക്കേജ് ഒരു തവണയുള്ള പ്രൊഫൈലിൽ പരീക്ഷിക്കുക.
openconnect --versionനന്നാക്കിയ ശേഷം ഒന്നല്ല, രണ്ട് കാര്യങ്ങൾ പരിശോധിക്കുക: പോർട്ടൽ ടണലിലൂടെ ലോഡ് ചെയ്യുന്നു, സാധാരണ ആന്തരിക വിലാസം മറുപടി നൽകുന്നു. പൂർത്തിയായ ഹാൻഡ്ഷേക്ക് വിശ്വാസ തീരുമാനം സ്വീകരിച്ചു എന്ന് മാത്രം തെളിയിക്കുന്നു.