Id-dħul ta’ OpenConnect jinżel fuq il-paġna ħażina? Iċċekkja l-mogħdija l-ewwel

Twaħħal l-indirizz mill-email tal-introduzzjoni, il-klijent jasal sal-gateway, u l-formola tad-dħul li tidher hija l-portal ġenerali u mhux dak tas-sieħeb li ddeskriva l-operatur. Xejn ma juri żball, u dan huwa eżattament dak li jħawwad: il-mina tista’ anki titla’, iżda wara punt tad-dħul ħażin. Il-mogħdija f’dak l-URL kienet qed tagħmel xogħol, u tkun xi tkun li ssostitwietu, tilfet dak ix-xogħol.

Issepara żewġ affarijiet li jaslu bħala spaga waħda fi ticket: l-indirizz li jasal għas-servizz, u l-input li jiddeċiedi minn fejn tibda l-awtentikazzjoni. Li tissewwa l-ewwel waqt li tinjora t-tieni huwa l-mod kif isem tal-host korrett xorta jipproduċi dħul ħażin.

X’jibgħat il-klijent qabel ma tara formola

B’indirizz bħal https://vpn.example.net/partners, l-ewwel att tal-klijent huwa talba HTTPS għal dik il-mogħdija u mhux għall-host mikxuf. Dak li jiġi lura normalment hija ridirezzjoni lejn il-punt tad-dħul, jew il-formola stess. Klijent li jingħata biss vpn.example.net jibda mill-paġna tal-inżul awtomatika li tkun, u dik tista’ tkun portal ieħor, lista ta’ gruppi oħra, jew paġna li tistenna protokoll kompletament differenti. Id-differenza tidher fl-intestaturi tar-risposta ħafna qabel ma tittektek kwalunkwe kredenzjali.

Għalhekk tab tal-browser li jaħdem u profil tal-klijent li jfalli jistgħu jsemmu l-istess gateway u xorta ma jaqblux. Il-browser segwa l-mogħdija; il-profil qatt ma kelluha.

Żewġ inputs li jidhru interkambjabbli u mhumiex

OpenConnect jesponi l-mogħdija HTTPS inizjali bħala --usergroup, u l-paġna tal-manwal tittratta URL sħiħa li ġġorr dik il-mogħdija bħala l-istess talba miktuba b’mod ieħor. --authgroup hija għażla separata: tagħżel entrata mil-lista li l-gateway jippreżenta ġewwa l-formola tad-dħul. Xi protokolli jsejħu dik l-entrata grupp, oħrajn dominju jew gateway, u hemmhekk proprju l-żewġ bandieri jiġu konfużi.

Servizz jista’ leġittimament ikun jeħtieġ it-tnejn. Il-mogħdija tista’ twasslek għall-portal it-tajjeb waqt li l-formola għadha titolbok tagħżel fost gruppi ġewwa fih. Li tagħti l-isem tal-portal bħala isem tal-grupp, jew bil-maqlub, jipproduċi dħul li jidher aċċettat u mbagħad ma jawtorizzax, għax il-valur kien sintattikament validu u semantikament ħażin.

Itlob lill-operatur għal kull valur fuq linja tiegħu: mogħdija tad-dħul, għażla fil-formola, u jekk it-tnejn humiex meħtieġa. Tiddeduċix wieħed mill-ieħor għax it-tikketti jidwu simili.

Għaliex it-tqassir tal-mogħdija jbiddel ir-riżultat

Klijenti li jaċċettaw biss host u port spiss xorta jikkonnettjaw, għalhekk is-sintomu rari jkun falliment iebes. Minflok ikollok il-paġna tad-dħul ħażina, lista tal-gruppi vojta, isem taċ-ċertifikat li m’għadux jaqbel ma’ dak ippubblikat mill-operatur, jew mina li titla’ mingħajr rotta għas-servizz li ridt. Kull wieħed minn dawn joqgħod f’saff differenti, u ħadd minnhom ma jissewwa billi tippejst spaga itwal f’qasam iddokumentat bħala isem tal-host. Tnejn minnhom ukoll ma jintgħarfux minn barra, għax it-tnejn jaslu bħala formola tad-dħul li sempliċement ma tkomplix.

Li tissostitwixxi l-isem tal-host b’indirizz IP hija żball separat li spiss jivvjaġġa ma’ dan. L-għażla tas-servizz ibbażata fuq l-isem u l-validazzjoni taċ-ċertifikat it-tnejn jiddependu mill-isem, għalhekk indirizz numeriku jista’ jbiddel problema tal-format tal-mogħdija f’żball TLS.

L-indirizzi tal-browser iġorru wkoll aktar minn mogħdijiet. Identifikaturi tas-sessjoni, miri tar-ridirezzjoni, prefissi tal-lingwa u parametri temporanji tad-dħul kollha jidhru fil-bar tal-indirizzi, u ħadd minnhom ma jappartjeni għal profil tal-klijent salvat.

Ikkonferma l-punt tad-dħul qabel ma tedita xi ħaġa oħra

Aqra l-intestaturi tal-mogħdija li ngħatatlek. Talba bħal curl -sS -o /dev/null -D - https://vpn.example.net/partners tipprintja l-linja tal-istatus u kwalunkwe intestatura Location mingħajr ma ssegwi r-ridirezzjoni. 302 li tipponta lejn punt tad-dħul bl-isem tikkonferma li l-mogħdija teżisti u turi fejn tmur; 404 tfisser li l-indirizz tal-operatur huwa antikwat.

Imbagħad irreproduċi l-istess punt tad-dħul fil-klijent approvat, pereżempju openconnect --usergroup=partners vpn.example.net, u osserva liema formola tidher. Jekk il-formola hija korretta u l-mina xorta tfalli, il-mogħdija qatt ma kienet il-problema u l-waqfa li jmiss hija politika jew routing.

Irreġistra isem tal-host, port, protokoll, mogħdija tad-dħul u għażla fil-formola bħala ħames oqsma separati fit-ticket. Dik il-lista hija dik li tippermetti lill-inġinier li jmiss jiddistingwi server li ma jintlaħaqx minn rifjut TLS, għażla miċħuda, u mina li telgħet mingħajr ir-rotot li kienet teħtieġ.