Kif tpoġġi OpenConnect fl-isfond wara dħul interattiv

Tiffinalizza l-MFA prompt, it-tunnel jogħla, u l-għeluq tat-terminal iġġorr magħha l-konnessjoni. Din hija problema ta’ superviżjoni, mhux ta’ awtentikazzjoni, u OpenConnect diġà għandu l-iswiċċ li jsolviha. Is-soluzzjoni hija li tħalli lill-klijent jifrex fl-isfond wara li jispiċċa l-boot, meta l-parti interattiva tkun tassew spiċċat. Hawnhekk ġejja sekwenza ta’ verifiki: għaddihom fl-ordni u waqaf fl-ewwel waħda li ma tapplikax għall-gateway tiegħek.

Ikkonferma x’jitlob il-gateway fid-dħul

Qabel ma tikteb kmand, innota l-passaġġ tal-kredenzjali li jimponi l-varar. Ċertifikat biss, password flimkien ma’ token, u dawra tal-browser permezz ta’ fornitur SAML iġibu ruħhom b’mod differenti, u l-modalità tal-isfond ma tistax taqbeż l-ebda waħda. L-għażla tbiddel x’jiġri wara l-boot, qatt x’jiġri waqt dan.

It-tentazzjoni hi li tawtomatizza l-prompt. Il-wrapper li jikteb tweġiba fissa meta jagħraf prompt tal-password jinkiser fil-mument li l-gateway jitlob kodi ta’ darba waħda, u jħalli kredenzjali f’fajl li kontijiet oħra jistgħu jaqraw. Jekk persuna trid tapprova s-sessjoni, żomm il-persuna fil-proċess.

Mexxi l-ewwel sessjoni fil-quddiem u aqra l-output

Qabbad darba normalment u ħalli l-handshake kollu jiġi stampat. Innota l-protokoll użat, il-passaġġ taċ-ċertifikat jew tat-token, l-indirizz tat-tunnel li jagħti s-server, u kull twissija qabel ma tiġi aċċettata l-konnessjoni. Dan it-traskript huwa l-linja bażi tiegħek u l-unika mod irħis biex aktar tard tiddistingwi problema tal-klijent minn bidla fil-gateway. Isalvah barra mill-buffer tat-terminal.

Imbagħad irripeti l-istess sejħa bil-modalità tal-isfond u fajl PID miżjud, pereżempju openconnect --background --pid-file /run/openconnect.pid vpn.example.net, filwaqt li żżomm il-protokoll u l-għażliet tal-awtentikazzjoni li jitlob il-gateway tiegħek fl-istess linja. Il-manwal ta’ OpenConnect jiddeskrivi din l-għażla bħala tkomplija fl-isfond wara li jispiċċa l-boot, u għalhekk il-fażi interattiva trid tispiċċa l-ewwel.

Agħmel il-proċess li qed jaħdem faċli biex jinstab u jitwaqqaf

Fajl PID huwa prova biss sakemm jaqbel ma’ proċess ħaj. Poġġieh f’direttorju li huwa proprjetà tal-kont tas-servizz, u qabbel in-numru rreġistrat mat-tabella tal-proċessi qabel ma tibgħat sinjal. Restarts u crashes iħallu l-fajl warajhom, u fajl antik huwa r-raġuni tas-soltu li script tal-waqfien jirrapporta suċċess waqt li t-tunnel għadu miexi. Ittratta l-verifika bħala parti mill-proċedura tal-waqfien, mhux pass fakultattiv.

Ibgħat sinjal lill-PID ivverifikat, imbagħad ikkonferma li l-interface tat-tunnel spiċċat tassew minflok ma tafda fl-istatus tal-ħruġ. Jekk il-klijent għandu bżonn privileġġi għoljin biex jikkonfigura l-interface, is-sinjal irid jiġi minn kont li jitħalla jibgħatu.

Tibqax tistifel il-modalità tal-isfond taħt superviżur

systemd u superviżuri simili jistennew li jkollhom il-proċess li nedew, u għalhekk klijent li jifrex ’il barra jħawwadhom. Is-superviżur jara l-lancja joħroġ filwaqt li l-konnessjoni vera tkompli, u għalhekk il-loġika tar-restart, ir-rappurtar tal-istat u l-iskadenzi tal-waqfien jiddeskrivu xi ħaġa li m’għadiex vera. Ikteb l-unità fis-sistema tal-quddiem appoġġjata u ħalli lis-superviżur jagħmel ix-xogħol tad-daemon.

Żomm --background għal sessjonijiet li persuna tibda u mbagħad titlaq. Jekk il-ħtieġa hija tunnel li jeżisti qabel ma jidħol xi ħadd, il-biċċa nieqsa hija identità mhux interattiva approvata flimkien ma’ pjan biex tiġġedded, u ebda flag tal-kmand-line ma jipprovdi waħda minnhom. Iż-żieda tal-flag ma’ script tal-boot tipproduċi tunnel li jonqos bil-kwiet fl-ewwel kredenzjali skaduta.

Ittratta l-cookie tas-sessjoni bħala kredenzjali

OpenConnect jiddokumenta fażi ta’ awtentikazzjoni separata permezz ta’ --authenticate, u l-materjal li jirriżulta jista’ jingħata lura b’--cookie-on-stdin. Dak il-par jeżisti għal xogħol ta’ integrazzjoni, u dak li jipproduċi huwa sensittiv daqs il-password li ħolqu.

Żomm il-valur barra mill-istorja tas-shell, mil-logs u minn kull ticket li tiftaħ. Script tal-kunsinna irid iżomm ukoll l-informazzjoni tal-endpoint ivverifikata li l-klijent irċieva mal-cookie; jekk titlefha, esekuzzjoni aktar tard tista’ tqabbad ma’ host li qatt ma awtentikajt, li huwa agħar minn konnessjoni li sempliċement tfalli.

Għaddi mil-lista qabel ma tagħlaq it-terminal

Erba’ affarijiet għandhom ikunu veri: id-dħul interattiv spiċċa fil-quddiem, il-fajl PID jindika proċess li vverifikajt, il-kwistjoni tas-superviżur hija deċiża b’dan jew b’dak il-mod, u l-cookie għandu pjan ta’ ħażna li mhuwiex fajl sempliċi tat-test. Meta jkunu veri t-tnejn, it-tluq mit-terminal huwa sikur u t-tunnel jibqa’ għaddej.

Jekk waħda tfalli, sewwi dak il-punt qabel ma tmiss l-oħrajn, għax il-verifiki li jifdal ma jistgħux jikkumpensaw għaliha. Żomm ukoll it-traskript tal-quddiem tal-ewwel esekuzzjoni: il-ħin li jmiss li t-tunnel jaqa’ mingħajr twissija, dik il-linja bażi tifred bidla fuq in-naħa tal-gateway minn waħda fuq in-naħa tal-klijent.