Kemm għandu jkompli jipprova OpenConnect VPN maqtugħa?

--reconnect-timeout iwieġeb mistoqsija waħda dejqa: wara li jaqa’ t-tunnel, kemm idum dan il-proċess tal-klijent jipprova qabel ma jċedi u joħroġ. Il-paġna tal-manwal ta’ OpenConnect tirreġistra dik l-għażla b’default dokumentat ta’ 300 sekonda għall-provi mill-ġdid li jiġu wara konnessjoni mitlufa jew peer li waqaf iwieġeb, u n-numru huwa skadenza għal klijent wieħed li qed jaħdem, mhux prova li l-VPN tibqa’ aċċessibbli. Lanqas mhu politika biex il-proċess jinżamm ħaj, u hemmhekk tibda l-biċċa l-kbira tal-konfużjoni.

Il-konfużjoni tiżdied meta fuqha toqgħod tieni mekkaniżmu. Superviżur li jerġa’ jibda l-klijent, prober li jpingja l-gateway, u t-tieqa tal-provi mill-ġdid inkorporata jistgħu kollha jirreaġixxu għal falliment wieħed, u l-inċident imbagħad jagħti tliet linji tal-ħin li ħadd ma jista’ jgħaqqadhom.

X’inhi tassew tillimita t-tieqa ta’ qbil mill-ġdid

Immaġina n-netwerk tal-aċċess jisparixxi għal ftit sekondi. Il-klijent jara l-konnessjoni taqa’, jew jieqaf jisma’ t-tweġibiet tal-peer mejjet, u jibda jerġa’ jistabbilixxi s-sessjoni filwaqt li jżomm l-istat li jista’. Il-provi jkomplu sakemm il-gateway jerġa’ jaċċetta jew sakemm tiskadi t-tieqa, u tieqa li tiskadi tintemm b’ħruġ li mhux żero. Dak il-ħruġ, mhux il-valur tat-timeout, huwa l-post fejn is-sjieda taċ-ċiklu tal-ħajja tgħaddi lil min jissorvelja l-proċess.

It-tieqa ma tgħid xejn dwar kemm-il darba jitmexxa prober, u ma tistax testendi l-awtentikazzjoni. Jekk il-gateway irrevoka s-sessjoni, jew il-kont issa jitlob tieni fattur ġdid, aktar stennija mhux se tagħmel is-sessjoni l-antika valida mill-ġdid. Prova mill-ġdid tirnexxi biss meta l-mogħdija terġa’ lura, il-gateway għadu jirrikonoxxi s-sessjoni, u l-kredenzjali mitluba jibqgħu użabbli, għalhekk aqra n-numru bħala skadenza u mhux bħala intervall ta’ vivenza.

It-tieqa lanqas ma tirregola x’jagħmlu l-applikazzjonijiet waqt li tkun għaddejja. Skont il-pjattaforma u sa fejn wasal il-falliment, il-klijent jista’ jkun qed jerġa’ jgħaqqad bir-rotot għadhom installati, jew wara li nġibdu. Huwa għalhekk li talba maħruġa f’nofs interruzzjoni għandha tendenza ddendel sat-timeout minflok tfalli malajr.

Restarts tas-superviżur u provi mill-ġdid tal-klijent huma żewġ saffi

Ħalli lill-klijent li qed jaħdem jonfoq it-tieqa tiegħu stess, u ħalli lill-maniġer tas-servizz jirreaġixxi għall-ħruġ. Klijent fil-quddiem taħt systemd b’politika ta’ restart jagħti eżattament dik il-qsim: provi għal perjodu limitat, imbagħad deċiżjoni waħda ta’ restart. Ir-riżultat huwa linja tal-ħin waħda li xorta tista’ terġa’ tibniha wara.

Klijent fl-isfond flimkien ma’ prober indipendenti li jibda kopja oħra meta ma jara l-ebda interface huwa l-mudell li jmur ħażin. Imbagħad iż-żewġ proċessi jikkompetu għall-istess nod tat-tagħmir, rotot u settings tar-resolver. Jekk tassew trid daemon, poġġi l-għażla fuq il-linja tal-kmand li biha l-klijent tassew jibda:

sudo openconnect --background --pid-file=/run/openconnect/vpn.pid \
  --reconnect-timeout=180 \
  --user=<account> https://vpn.example.edu

Żewġ dettalji f’dik il-linja għandhom piż. --background jifred il-proċess, għalhekk il-fajl pid isir l-unika qabda affidabbli fuqu, u t-timeout jinħaraq biss sakemm dak il-proċess stess jibqa’ ħaj; superviżur li joqtolh ma jħalli l-ebda baġit biex wieħed ikompli.

Skonnessjonijiet intenzjonati jeħtieġu s-sinjal tagħhom stess. Pawża ppjanata u interruzzjoni vera jidhru identiċi għal osservatur naive, u t-tnejn jinqraw bħala «mhux konness». Iggwida l-pawża permezz tal-operazzjoni ta’ waqfien tas-superviżur, jew markatur li l-wrapper jifhem, sabiex waqfien deliberat ma jiskattax restart li ħadd ma talab.

Kif ma tħallix it-trasferiment jiġri kontra ċ-ċiklu tal-provi mill-ġdid

Irkupru mhux sorveljat jiddependi fuq kredenzjali li jiġġeddu mingħajr persuna preżenti. Ċavetta tal-keys li tinfetaħ biss f’sessjoni tad-desktop interattiva, jew token li dejjem jeħtieġ kodiċi ittajpjat, se jħallu lill-klijent marbut fil-fażi tal-awtentikazzjoni hekk kif il-mogħdija terġa’ lura. Issettilja dak il-fluss tax-xogħol qabel ma testendi t-tieqa, għax tieqa itwal tagħti biss lill-istess talba mblukkata aktar ħin biex tfalli.

Il-verifika tas-server m’għandhiex tittaffa biex jitnaqqsu t-talbiet. Huwa proprju l-pin jew l-ankra tal-fiduċja li tivvalida l-gateway li tagħmel qbil mill-ġdid awtomatiku sigur, u li tiddiżattivaha biex tevita mistoqsija dwar iċ-ċertifikat tbdel interruzzjoni viżibbli ma’ waħda inviżibbli. Żomm l-identità vverifikata u minflok sewwi t-talba; klijent lest li jgħaqqad ma’ kwalunkwe gateway huwa agħar minn wieħed li jieqaf u jistenna.

Anki l-preżenza tal-interface mhijiex sinjal tas-saħħa. Tagħmir tat-tunnel jista’ jeżisti b’sessjoni mejta warajh, u proċess tal-bidu jista’ jeżisti mingħajr ebda tunnel. Xejn minn dawn l-osservazzjonijiet ma jiflaħ għal talba vera. Is-saħħa trid tiġi minn dak li jeħtieġ l-utent, bħal talba li tgħaddi mit-tunnel għal servizz intern magħruf.

X’għandu jiġi vverifikat waqt u wara interruzzjoni

Mexxi erba’ avvenimenti bħala testijiet separati: interruzzjoni iqsar mit-tieqa, interruzzjoni itwal minnha, falliment tal-awtentikazzjoni, u waqfien intenzjonat. Kull wieħed għandu jintemm fi stat differenti u prevedibbli, u l-fruntiera bejn l-ewwel tnejn hija r-raġuni kollha biex tagħżel valur.

Żomm il-verifiki mmirati lejn barra, għax it-tabella tal-proċessi waħedha tipprova ftit ħafna. Osserva jekk il-pid jibqax stabbli matul il-qtugħ qasir, imbagħad ikkonferma li mar u ġie sostitwit darba wara dak twil:

curl -sS --max-time 5 -o /dev/null -w '%{http_code}\n' https://intranet.example.internal/health
cat /run/openconnect/vpn.pid
ps -o pid,etime,cmd -p "$(cat /run/openconnect/vpn.pid)"

Matul l-interruzzjoni qasira, ikkonferma li l-klijent tassew prova mill-ġdid minflok ma ħareġ kmieni, u li r-rotot u d-dħul tar-resolver reġgħu lura mingħajr duplikati. Għall-interruzzjoni itwal, ikkonferma ħruġ nadif u eżattament restart wieħed wara. Għall-falliment tal-awtentikazzjoni, ikkonferma li l-klijent ma jdurdix kontra gateway li se jkompli jirrifjutah. Żid verifika li l-pid jerġa’ lura għal valur wieħed minflok ma jakkumula.

Għall-waqfien intenzjonat, l-URL tas-saħħa għandu jibqa’ ma jintlaħaqx u l-proċess għandu jibqa’ ’l isfel. Imbagħad agħlaq iċ-ċiklu min-naħa tal-applikazzjoni: l-istess talba trid tfalli waqt li t-tunnel ma jkunx hemm u trid tirnexxi wara li jerġa’ lura, mill-indirizz tas-sors li l-politika tiegħek tistenna. Ikona ħadra tat-tunnel mhijiex prova, imma talba kompluta hija prova.