Kvifor avviser OpenConnect gatewayen etter ein sertifikatutveksling?

Gatewayar byter sertifikat, og ein klient som var tilkopla i går byrjar å stoppe ved den første TLS-utvekslinga. Meldinga oppgir ein verifiseringsårsak i staden for ein nettverksfeil, og sjølve maskinen er ikkje endra, som er det nyttige sporet. Det som gjekk i stykke, er høvet mellom sertifikatet som no blir lagt fram, og røtene klienten er villig til å vurdere. Å reparere det er ei tillitsavgjerd, så ta den avgjerda før du skriv inn eit alternativ.

Les feilen før du endrar noka tillitsinnstilling

Ein feil av typen manglande signatar betyr at kjeda endar på noko klienten ikkje godtek. Det kan vere eit fornya sertifikat frå ein intern styresmakt, ei erstatning frå ei offentleg, eller eit apparat i midten som legg fram sitt eige sertifikat. Berre ordlyden kan ikkje skilje desse tilfella, så sjå på utstedaren før du bestemmer deg.

Køyr tilkoplinga éin gong i forgrunnen og la ho feile, fordi den interaktive utskrifta ber servernamnet, utstedarkjeda og fingeravtrykket klienten rekna ut. Samanlikn den utstedaren med ei styresmakt organisasjonen din faktisk driv. Viss fingeravtrykket endra seg medan utstedaren ikkje gjorde det, handsam det som mistenkjeleg til ei fornying er stadfesta gjennom ein kanal du alt stolar på. Å gjette på dette punktet er korleis ein person endar med å feste nøkkelen til ein avlyttar.

Noter klientversjonen i same notatet. Ein god del av feila som ser ut som tillitsproblem, kjem frå ein eldre klient som møter ei nyare gateway-utveksling.

Vel mellom å stole på utstedaren og å feste éin nøkkel

Båe alternativa får tilkoplinga til å lukkast. Dei bryt saman seinare på motsette måtar, så valet høyrer til feilen du kan tole.

Grip til CA-fila når sertifikatet kjem frå ei styresmakt du kan verifisere sjølvstendig, fordi fornyingar då held fram med å verke utan å røre klientargumenta. Par ho med brytaren som slår av systemrøter, elles kan ei offentleg styresmakt oppfylle kontrollen på dine vegner. Fest i staden når gatewayen ikkje har ein CA du kan skaffe, eller når det smalaste mogelege unntaket er målet. Ingen av vegane er sikrare i abstrakt forstand: CA-en skalerer gjennom fornyingar, festinga er lettare å gå gjennom.

Kva du enn vel, må den betrudde verdien kome gjennom ein kanal som var betrudd før endringa skjedde. Ein administrator, ei konsolløkt på gatewayen eller ein kopi teken på førehand kvalifiserer alle. Å kopiere fingeravtrykket ledeteksta viser, er praktisk og er også nett det ein avlyttar håpar på.

Set verdien i kommandoen du faktisk startar

Festet reiser i eit server-sertifikatalternativ, og prefikset avgjer kodinga: heksadesimale offentlege nøkkelsamandrag under sha1 eller sha256, og base64 nøkkelfesting under pin-sha256. Å oppgi det slår også av systemtillit for den køyringa, så den feste nøkkelen blir heile avgjerda.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Klienten matchar eit avkorta samandrag og godtek så lite som fire teikn etter prefikset, noko som er ei felle snarare enn ei lettvintheit. Ein forkorta verdi går gjennom lokalt og identifiserer framleis ikkje gatewayen du hadde i tankane. Kopier heile strengen klienten skreiv ut ved første forsøk, i staden for å skrive han inn på nytt frå ei melding. Flytt så det ferdige alternativet inn i innpakningsskriptet, einingafila eller profilen som startar tilkoplinga, slik at tillitsavgjerda kan gåast gjennom og seinare endringar er medvite gjorde.

Skrivebordsstartarar og NetworkManager-tillegget lagrar sin eigen kopi av tilkoplingsargumenta. Eit skript som er redigert på disken, når ikkje ein profil som vart importert tidlegare, så den lagra verdien vinn framleis.

Handsam ei utskifting utan å låse deg sjølv ute

Alternativet kan givast meir enn éin gong, så ei planlagd endring kan godta både den utgåande og den innkomande nøkkelen. Legg til den nye festinga før gatewayen byter, hald båe oppførte medan øktene migrerer, og fjern den pensjonerte når den gamle nøkkelen er borte. Det vindauget treng ein eigar, sidan ei gløymd dobbelfesting lèt ein nøkkel vere betrudd utan at nokon ser etter han. Ei gjenoppbygging som gir eit nytt nøkkelpar, bryt ei rein festing, og gjenoppretting er same framgangsmåte i motsett retning.

Skriv endringsdatoen ved sida av festinga. Ei festing utan gjennomgangsdato er eit framtidig avbrot med ei forvirrande feilmelding.

Utelukk klientversjonen før du redigerer tillit

Ein utdatert klient kan feile medan han parsar eit autentiseringssvar gatewayen sidan har endra, og overflatemeldinga snakkar framleis om tilkoplinga i staden for parsaren. Samanlikn den installerte versjonen med det gatewayen dokumenterer, og test ein gjeldande pakke i ein eingongsprofil før du endrar noka tillitsinnstilling.

openconnect --version

Etter reparasjonen, stadfest to ting i staden for éin: portalen lastar gjennom tunnelen, og ei vanleg intern adresse svarar. Eit fullført handtrykk beviser berre at tillitsavgjerda vart godteken.