OpenConnect-ийн нэвтрэлт буруу хуудсанд хүрч байна уу? Эхлээд замыг шалгана уу

Та танилцуулгын имэйлээс хаягийг буулгаж, клиент гарцанд хүрч, гарч ирэх нэвтрэх маягт нь операторын тайлбарласан түншийн портал биш, ерөнхий портал юм. Юу ч алдаа гарахгүй, яг энэ нь төөрөгдүүлдэг: туннель хүртэл босож болно, зөвхөн буруу нэвтрэх цэгийн ард. Тэр URL дахь зам ажил хийж байсан бөгөөд түүнийг юу ч орлуулсан, тэр ажлыг унагасан.

Тикет дээр нэг мөрөөр ирдэг хоёр зүйлийг салга: үйлчилгээнд хүрэх хаяг, мөн баталгаажуулалт хаанаас эхлэхийг шийддэг оролт. Эхнийхийг засаж, хоёр дахьыг үл тоомсорлох нь зөв хост нэр ч буруу нэвтрэлт өгдөг арга юм.

Маягт харахаас өмнө клиент юу илгээдэг

https://vpn.example.net/partners гэх мэт хаягтай үед клиентийн эхний үйлдэл нь нүцгэн хост руу биш, тэр зам руу HTTPS хүсэлт юм. Буцаж ирдэг зүйл ихэвчлэн нэвтрэх төгсгөлийн цэг рүү дахин чиглүүлэлт эсвэл маягт өөрөө байдаг. Зөвхөн vpn.example.net авсан клиент ямар ч анхдагч буух хуудаснаас эхэлдэг бөгөөд энэ нь өөр портал, өөр бүлгийн жагсаалт эсвэл огт өөр протокол хүлээж буй хуудас байж болно. Ялгаа нь ямар ч итгэмжлэл бичихээс хамаагүй өмнө хариултын толгой хэсэгт харагдана.

Тиймээс ажиллаж буй хөтчийн таб болон бүтэлгүйтэж буй клиентийн профайл нэг гарцыг нэрлэсэн ч санал нийлэхгүй байж болно. Хөтөч замыг дагасан; профайлд энэ хэзээ ч байгаагүй.

Солилцож болох мэт харагдах боловч тийм биш хоёр оролт

OpenConnect эхний HTTPS замыг --usergroup хэлбэрээр ил гаргадаг бөгөөд гарын авлагын хуудас тэр замтай бүрэн URL-ыг ижил хүсэлтийн өөр бичлэг гэж үздэг. --authgroup нь тусдаа сонголт: нэвтрэх маягтын дотор гарц харуулдаг жагсаалтаас нэг бичлэг сонгодог. Зарим протокол тэр бичлэгийг бүлэг гэж нэрлэдэг, зарим нь домэйн эсвэл гарц гэж нэрлэдэг бөгөөд яг тэнд хоёр туг андуурдаг.

Үйлчилгээнд хууль ёсоор хоёулаа хэрэгтэй байж болно. Зам таныг зөв портал руу хүргэж болох бөгөөд маягт доторх бүлгүүдээс нэгийг сонгохыг шаардсаар байна. Порталын нэрийг бүлгийн нэр болгон өгөх эсвэл эсрэгээр нь хийх нь хүлээн зөвшөөрөгдсөн мэт харагдаад дараа нь зөвшөөрөл өгөхгүй нэвтрэлт үүсгэдэг, учир нь утга нь синтаксийн хувьд зөв, утга санааны хувьд буруу байсан.

Оператороос утга бүрийг өөрийн мөрөнд нь асуу: нэвтрэх зам, маягт дахь сонголт, хоёулаа шаардлагатай эсэх. Шошго ижил сонсогддог гэж нэгийг нөгөөгөөс нь гаргаж болохгүй.

Замыг богиносгох нь яагаад үр дүнг өөрчилдөг

Зөвхөн хост, порт хүлээн авдаг клиентүүд ихэвчлэн холбогдсоор байдаг тул шинж тэмдэг нь хатуу бүтэлгүйтэл байх нь ховор. Үүний оронд буруу нэвтрэх хуудас, хоосон бүлгийн жагсаалт, операторын нийтэлсэнтэй одоо тохирохгүй гэрчилгээний нэр, эсвэл хүссэн үйлчилгээ рүү замгүй боссон туннель гарна. Эдгээр тус бүр өөр давхаргад суудаг бөгөөд хост нэр гэж баримтжуулсан талбарт урт мөр буулгаж аль нь ч засагдахгүй. Тэдгээрийн хоёр нь гаднаас ялгагдахгүй, учир нь хоёулаа ердөө л үргэлжлэхгүй нэвтрэх маягт болж ирдэг.

Хост нэрийг IP хаягаар солих нь үүнтэй хамт явдаг тусдаа алдаа юм. Нэрэд суурилсан үйлчилгээний сонголт, гэрчилгээний баталгаажуулалт хоёулаа нэрээс хамаардаг тул тоон хаяг нь замын формат асуудлыг TLS алдаа болгон хувиргаж болно.

Хөтчийн хаягууд нь замаас гадна бусад зүйлийг ч агуулдаг. Сессийн танигч, дахин чиглүүлэлтийн зорилт, хэлний угтвар, түр нэвтрэх параметрүүд бүгд хаягийн мөрөнд гарч ирдэг бөгөөд тэдгээрийн аль нь ч хадгалсан клиентийн профайлд хамаарахгүй.

Өөр юу ч засахаас өмнө нэвтрэх цэгийг баталгаажуул

Танд өгсөн замын толгой хэсгийг унш. curl -sS -o /dev/null -D - https://vpn.example.net/partners гэх мэт хүсэлт нь дахин чиглүүлэлтийг дагахгүйгээр төлөвийн мөр болон дурын Location толгойг хэвлэдэг. Нэрлэсэн нэвтрэх төгсгөлийн цэг рүү заасан 302 нь зам байгаа гэдгийг баталгаажуулж, хаашаа хүргэхийг харуулна; 404 нь операторын хаяг хуучирсан гэсэн үг.

Дараа нь мөн тэр нэвтрэх цэгийг зөвшөөрөгдсөн клиент дээр дахин үүсгэ, жишээ нь openconnect --usergroup=partners vpn.example.net, аль маягт гарч ирэхийг ажигла. Маягт зөв боловч туннель бүтэлгүйтсээр байвал, зам хэзээ ч асуудал байгаагүй бөгөөд дараагийн зогсолт нь бодлого эсвэл чиглүүлэлт юм.

Тикет дээр хост нэр, порт, протокол, нэвтрэх зам, маягт дахь сонголтыг таван тусдаа талбар болгон бич. Энэ жагсаалт нь дараагийн инженерт хүрэх боломжгүй серверийг TLS татгалзал, татгалзсан сонголт, шаардлагатай замуудгүйгээр боссон туннелээс ялгах боломжийг олгодог.