Profil imqalfa mas-server tfalli wara proksi TLS: liema ġenerazzjoni?
Access Server 2.8 u 2.9 jibnu l-profilijiet imqalfa mas-server b'modi differenti. Iddeċiedi liema triq tkisser il-proksi tiegħek qabel ma tbiddel il-front end.
Utent wieħed jista' jikkonnettja u ieħor le, mill-istess portal, fl-istess jum. It-tnejn għandhom profili mqalfa mas-server, it-tnejn huma fuq l-istess build ta' Access Server, u l-unika differenza hija meta ġie ġġenerat il-profil tagħhom. Dak hu l-mudell li jiswa li jiġi rikonoxxut, għax "imqalfa mas-server" issemmi politika u mhux sekwenza ta' konnessjoni. Access Server ħareġ żewġ ġenerazzjonijiet ta' dak l-artefatt, u proksi invers TLS jinsab quddiem waħda biss mit-toroq tagħhom. Tliet kundizzjonijiet jiddeċiedu liema fergħa int fiha.
Żewġ ġenerazzjonijiet, żewġ sekwenzi ta' konnessjoni
Fid-disinn l-anzjan, li japplika sa 2.8, il-fajl importat huwa psewdo-profil. OpenVPN Connect jużah biex jawtentika mal-API web ta' Access Server permezz ta' HTTPS, jirċievi profil temporanju mqalf mas-utent u token tas-sessjoni, u biss wara jistabbilixxi l-VPN. Żewġ trasporti jaħdmu wara xulxin, u l-ewwel wieħed huwa talba web ordinarja.
Il-format introdott ma' 2.9 ma jwetleqx dak il-bootstrap għal kull konnessjoni. Huwa profil nattiv li jistgħu jużawh OpenVPN klijenti kompatibbli, mhux biss OpenVPN Connect. It-tniżżil tiegħu jew l-importazzjoni permezz ta' URL xorta jistgħu jinvolvu HTTPS — dak huwa pass ta' pubblikazzjoni, mhux ġbir ta' profil temporanju għal kull konnessjoni.
| Older server-locked (≤2.8) | Newer server-locked (2.9+) | |
|---|---|---|
| Before the tunnel | Web API call with credentials | Nothing; the profile is already local |
| Client requirement | OpenVPN Connect | Any compatible client |
| What a TLS web proxy can break | The bootstrap, before any VPN attempt | Download only, not the connection |
| Expected HTTP log on connect | A request from the client | Often nothing at all |
Aġġornament mhux bilfors jikteb mill-ġdid profili li diġà nħarġu, għalhekk verżjoni kurrenti tas-server xorta tista' tkun qed tqassam l-artefatt l-antik. Il-build tas-server jgħidlek x'inhu possibbli, mhux x'importa dan l-utent.
Tliet kundizzjonijiet li jagħżlu l-fergħa tiegħek
L-ewwel kundizzjoni hija l-ġenerazzjoni tal-artefatt. Itlob il-fajl, ara kif ġie prodott, u nnota l-verżjoni tal-klijent li importah. Jekk ma tistax tistabbilixxi l-ġenerazzjoni mill-fajl, profil ġdid maħruġ għal kont tat-test jgħidlek x'jipproduċi s-server illum, u dik hija informazzjoni differenti minn dik li għandu l-utent li qed ifalli.
It-tieni hija x'qed jittermina verament il-front end tiegħek. Proksi invers HTTP tas-seba' saff li jneħħi TLS mhuwiex l-istess oġġett bħal ċediment TCP tar-raba' saff, u ċediment UDP lanqas. L-arranġament tas-soltu ta' Access Server fuq il-port 443 iġiegħel lid-daemon OpenVPN TCP jirrikonoxxi t-traffiku tal-browser u jgħaddih lis-servizzi web, għalhekk id-dħul ta' terminatur HTTPS mhux relatat quddiem ma jippreservax l-immaniġġjar tal-protokoll ta' dak id-daemon. It-tqassim tan-numru 443 ma jagħmilx żewġ disinni ekwivalenti.
It-tielet hija fejn tinżel il-falliment. Falliment qabel il-VPN u falliment tal-kanal tal-kontroll jidhru simili fi klijent li jgħid biss "qed jikkonnettja", iżda jħallu provi f'postijiet differenti. Jekk il-format antik qed jintuża, il-bootstrap huwa kandidat. Jekk il-format ġdid qed jintuża, log ta' aċċess web vojt huwa mistenni u ma jippruvax xejn fl-ebda direzzjoni.
Meta l-artefatt huwa antik: il-bootstrap ifalli l-ewwel
Aqra l-iżball attwali tal-klijent mhux l-istat finali tiegħu. L-oqsma interessanti huma l-iżball HTTPS, l-identità tas-server li l-klijent kien qed jistenna, id-destinazzjoni li marret lejha t-talba, u jekk it-tlestietx il-validazzjoni taċ-ċertifikat. Imbagħad qabbel dawn mal-logs tas-servizz web u tal-proksi fuq in-naħa tas-server.
Li browser jasal għall-paġna tal-login mhuwiex prova li l-awtentikazzjoni tal-API ta' dan il-klijent irnexxiet. Dawn huma talbiet differenti, b'aspettattivi taċ-ċertifikat differenti u spiss ismijiet ta' host differenti. Jekk il-portal jiġi servut b'mod korrett u l-klijent xorta jfalli, id-diverġenza tinsab fit-triq tal-bootstrap, mhux fil-password tal-utent.
Tħallix il-paragun jgħaddi billi tiddiżattiva l-verifika TLS jew billi ttaffi l-politika tal-awtentikazzjoni. Dan ibiddel nuqqas ta' qbil fil-konfigurazzjoni li jista' jiġi dijanjostikat fi triq li taħdem imma mhijiex verifikata, u huwa preċiżament dik il-bidla li tagħmel test temporanju toqba permanenti. Id-Dokumentazzjoni tal-Access Server dwar il-profilijiet tal-konnessjoni tiddeskrivi ż-żewġ ġenerazzjonijiet u l-fluss tal-profil temporanju, u hija r-referenza li għandha tiġi ċċekkjata qabel ma wieħed jassumi li proksi huwa ħati.
Meta l-artefatt huwa ġdid: aqra l-kanal tal-kontroll minflok
B'profil stil 2.9, il-klijent imur direttament għall-punt tat-tmiem nattiv tal-VPN. Investigaw il-punti tat-tmiem fil-profil, it-trasport użat, u l-iżball tal-kanal tal-kontroll. Jekk il-klijent qatt ma joħroġ talba HTTP, dan huwa konsistenti mad-disinn u mhux sintomu.
Hawn ukoll il-mistoqsija tal-proksi tbiddel il-forma. Tniżżil ta' HTTPS ma jistax ikisser fluss biss TCP li qatt ma jara, imma xorta jista' jkisser it-tniżżil li jippubblika l-profil, u ċediment biss TCP mhu se jġorr UDP xejn. Iċċekkja liema trasport jitlob il-profil qabel ma tikkonkludi li l-front end mhuwiex rilevanti.
Tgħaddija TLS għal fluss wieħed hija arranġament dejjaq. Ma tipprovdix ċediment UDP, u ma tirriproduċix l-imġiba ta' ċediment ta' servizzi tad-daemon innifsu fuq 443. Jekk il-front end tiegħek jagħmel waħda minn dawn, għid liema, għax il-mediċina hija differenti.
Mediċini li jibqgħu dejqa
L-iċken iċċekkjar invażiv huwa li tiġġenera profil ġdid appoġġjat għal kont tat-test u tikkonnettja mill-punt tat-tmiem nattiv maħsub bl-istess rekwiżiti tal-awtentikazzjoni. Jekk dan jaħdem u l-profil antik miżmum le, tkun sseparajt l-artefatt mis-server u mill-proksi f'pass wieħed.
Id-distribuzzjoni ta' profil imqalf mas-utent tneħħi għalkollox id-dipendenza fuq il-bootstrap antik, għax m'hemmx skambju ta' profil temporanju li jista' jfalli. Trid tinħareġ għall-utent maħsub, qatt ma tiġi kkupjata minn amministratur, u tbiddel dak li l-klijent huwa awtorizzat jagħmel, għalhekk ittrattaha bħala deċiżjoni ta' politika u mhux bħala ħarba.
Imbagħad sewwi t-tqassim tal-pubblikazzjoni sabiex kull triq meħtieġa teżisti: it-triq web għat-tniżżil u l-użu tal-portal, u t-triq nattiva tal-VPN fuq it-trasport li jistennew il-profilijiet. Żomm ix-xogħol tal-proksi fuq saff wieħed. Mina nattiva mqalfa mas-utent li taħdem turi li dik it-triq taħdem; ma turix li kull arranġament ta' proksi jappoġġja kull ġenerazzjoni, u falliment antik tal-bootstrap ma jikkundannax il-format aktar ġdid.
- Identifika l-ġenerazzjoni tal-artefatt qabel ma tmiss il-proksi.
- Stabbilixxi jekk il-falliment iseħħx qabel il-mina jew fiha.
- Ikkonferma x'jittermina l-front end: HTTP, fluss TCP, jew UDP.
- Ittestja profil maħruġ għadhom kif kontra l-punt tat-tmiem nattiv b'politika mhux mibdula.