L-iskadenza tal-cookie ta' ConnMan OpenConnect, mhux problema taċ-ċertifikat
Żewġ fallimenti jidhru l-istess fil-ġurnal. Qabbel l-impronta tal-idejn imqabbda mal-cookie tas-sessjoni, aġġorna l-qasam li skada, u mbagħad erġa' ibda d-daemon.
ConnMan jaħdem wara nofsinhar u mbagħad jirrifjuta, u l-linja tal-ġurnal issemmi l-verifika taċ-ċertifikat. Dik il-linja tibgħat lin-nies lejn pakketti CA li qatt ma kienu miksura. Żewġ fallimenti differenti jipproduċu kważi l-istess forma ta' falliment: il-cookie tas-sessjoni tiskadi, jew iċ-ċertifikat tas-server verament inbidel. Jistgħu jiġu separati f'madwar minuta, u wieħed biss minnhom għandu x'jaqsam mal-impronta tal-idejn.
Żewġ fallimenti, linja waħda tal-ġurnal konfuża
Jisseparaw fuq żewġ osservazzjonijiet, u ebda waħda minnhom ma teħtieġ qari ieħor. L-ewwel hija meta beda l-falliment: cookie skaduta tiġi wara sigħat jew jiem ta' xogħol, u ċertifikat sostitwit jiġi eżatt wara bidla fil-bieb.
| Signal | Expired cookie | Changed certificate |
|---|---|---|
| When it started | after hours or days of working | right after a gateway change |
| Fingerprint from a fresh authenticate | unchanged | different value |
| Usual log tail | HTTP CONNECT 401 / unauthorized | signer not found / verify failed |
| Repair | replace the cookie, restart | re-pin deliberately, then restart |
It-test ta' minuta huwa l-ġirja authenticate hawn taħt. Qabbel il-FINGERPRINT tiegħu ma' OpenConnect.ServerCert fil-fajl. Impronta tal-idejn identika b'COOKIE differenti tfisser li tissostitwixxi biss il-cookie. Impronta differenti tfisser li ċ-ċertifikat tas-server verament inbidel, għalhekk erġa' qabbadha b'mod deliberat u rreġistra min approva dan.
Iġġenera l-materjal minflok tittajpjah
ConnMan m'għandux pass ta' importazzjoni għal profil OpenConnect, għall-kuntrarju ta' NetworkManager. Jaqra fajl ta' provvista li l-valuri tiegħu għandhom jiġu prodotti bil-quddiem, u l-mod appoġġjat biex tipproduċihom huwa l-mod authenticate ta' OpenConnect.
sudo openconnect --csd-wrapper=/home/user/.cisco/csd-wrapper.sh \
--authenticate --user myuser vpn.example.comIl-ħruġ jistampa erba' valuri: POST, COOKIE, HOST u FINGERPRINT. L-impronta tal-idejn, bil-prefiss sha256:, hija l-qabda tas-server. Il-cookie hija l-artefatt tas-sessjoni b'ħajja li d-deċiżjoni tagħha tittieħed mill-bieb. Ittrattahom bħala tipi differenti ta' sigriet: jiskadu skont skedi differenti, u wieħed biss huwa mistenni li jinbidel.
Il-fajl iġorr it-tnejn, u jixjieħu b'mod differenti
Il-fajl tal-provvista jgħix taħt /var/lib/connman-vpn/ u jiġi mqari għal kull konnessjoni mid-daemon tal-VPN, mhux mill-applet tat-tray. Żomm l-isem tal-konnessjoni fis-sezzjoni globali u d-dettalji tal-protokoll fis-sezzjoni tal-fornitur.
[global]
Name = Company VPN
[provider_openconnect]
Type = OpenConnect
Name = Company Cisco VPN
Host = vpn.example.com
Domain = corp.example
OpenConnect.ServerCert = sha256:...
OpenConnect.Cookie = ...Uża l-isem tal-host li l-portal verament iservi. Indirizz IP vojt jista' jgħaddi mill-verifika taċ-ċertifikat u xorta jfalli, għax l-apparat jirrotta fuq il-host virtwali u jistenna l-isem.
systemctl status connman-vpn --no-pager # is the daemon even installed and running
sudo systemctl restart connman-vpn # after the file edit
journalctl -u connman-vpn --since '1 hour ago' # after the connection attemptX'inhuma verament turi l-ġurnal
Il-ponta tat-tray ma tgħidx liema falliment għandek. Il-ġurnal se jgħid, jekk taqra s-sekwenza minflok l-ewwel linja allarmanti. Cookie antikwa normalment juri li n-negozjati TLS inlestew u li s-saff HTTP irrifjuta wara, u għalhekk il-kliem dwar iċ-ċertifikati joqgħod ħdejn falliment ta' awtorizzazzjoni.
Qabbel ġirja authenticate friska mal-valuri fil-fajl. Jekk l-impronta tal-idejn taqbel u l-cookie biss hija differenti, għandek it-tweġiba tiegħek mingħajr ma tmiss is-settings tal-fiduċja.
Aġġorna l-qasam li skada
Irrepeti l-kmand authenticate, issostitwixxi OpenConnect.Cookie, u erġa' ibda d-daemon. Ħalli l-impronta tal-idejn kwieta sakemm il-ħruġ il-ġdid ma jurix valur differenti; f'dak il-każ iċ-ċertifikat tas-server verament ġie sostitwit u l-qbid mill-ġdid hija deċiżjoni li xi ħadd għandu jirreġistra, mhux paste minn messaġġ ta' żball.
L-awtomatizzazzjoni tal-aġġornament hija raġonevoli: skript żgħir jaqra l-password mill-input standard, imexxi l-mod authenticate u jerġa' jikteb biss il-linja tal-cookie. Żomm il-kredenzjali barra mill-iskript u tinqara biss mill-kont li jmexxiha, u agħmel il-kitba mill-ġdid atomika sabiex ġirja li tfalli ma tħallix fajl nofsu miktub.
Jekk l-aġġornament ikun meħtieġ kull ftit sigħat, ikteb l-intervall. Hija proprjetà tal-politika tas-sessjonijiet tal-bieb, u tiddeċiedi jekk l-aġġornament għandux jiġi awtomatizzat jew jintalab sessjoni itwal.