ولې OpenConnect د سند له بدلولو وروسته دروازه ردوي؟
د دروازې د سند له بدلولو وروسته د تصدیق ناکامي د باور پرېکړه ده، نه مات شوی تونل۔ د صادرونکې CA او یوې کیلي د پین کولو ترمنځ وټاکئ۔
دروازې سندونه بدلوي، او هغه کلاینټ چې پرون یې اړیکه لرله د لومړي TLS تبادلې په مهال درېدل پیلوي۔ پیغام د شبکې خرابۍ پر ځای د تصدیق لامل یادوي، او ماشین پخپله نه دی بدل شوی، دا هغه ګټوره نښه ده۔ هغه څه چې مات شول د هغه سند چې اوس وړاندې کیږي او هغو ریښو ترمنځ اړیکه ده چې کلاینټ یې د پام وړ ګڼل ته چمتو دی۔ د دې سمول د باور پرېکړه ده، نو مخکې له دې چې کوم انتخاب ولیکئ هغه پرېکړه وکړئ۔
د باور هر تنظیم له بدلولو مخکې ناکامي ولولئ
د ورک شوي لاسلیک کونکي ډوله تېروتنه مانا دا ده چې زنځیر په هغه څه پای ته رسېږي چې کلاینټ نه مني۔ دا کېدای شي د کورني مرجع نوی شوی سند، د یوې عامې مرجع بدلون، یا په منځ کې داسې وسیله وي چې خپل سند وړاندې کوي۔ یوازې عبارت هغه پېښې نشي بېلولای، نو مخکې له پرېکړې صادرونکي ته وګورئ۔
اړیکه یو ځل په مخکینۍ برخه کې وچلوئ او پرېږدئ چې ناکامه شي، ځکه چې متقابل تولید د سرور نوم، د صادرونکي زنځیر او هغه ګوته نښه لري چې کلاینټ محاسبه کړې۔ هغه صادرونکی له هغې مرجع سره پرتله کړئ چې ستاسو اداره یې رښتیا چلوي۔ که ګوته نښه بدله شوه خو صادرونکی نه، تر هغې یې شکمن وګڼئ چې تمدید د هغې لارې له مخې تایید شي چې تاسو ورته مخکې باور لرئ۔ په دې مهال اټکل کول هغه لار ده چې یو څوک په پای کې د مداخلې کوونکي کیلي پین کوي۔
په هماغه یادښت کې د کلاینټ نسخه ولیکئ۔ د باور د ستونزو په څېر ښکارېدونکې ډېرې ناکامۍ له زړې کلاینټ څخه راځي چې له نوي دروازې تبادلې سره مخ کیږي۔
د صادرونکي باور او یوې کیلي پین کولو ترمنځ وټاکئ
دواړه انتخابونه اړیکه بریالۍ کوي۔ دوی وروسته په مخالفو لارو ماتېږي، نو انتخاب د هغې ناکامۍ دی چې تاسو یې زغملی شئ۔
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
د CA فایل ته ورځه کله چې سند له هغې مرجع څخه راځي چې تاسو یې په خپلواکه توګه تصدیق کولی شئ، ځکه چې تمدیدونه بیا د کلاینټ استدلالونو ته د لاس نه وهلو سره کار کوي۔ دا له هغه سویچ سره جوړه کړئ چې د سیستم ریښې غیر فعالوي، که نه یوه عامه مرجع کولی شي ستاسو په نامه تصدیق پوره کړي۔ پرځای یې پین کړئ کله چې دروازه داسې CA ونه لري چې تاسو یې ترلاسه کولی شئ، یا کله چې هدف تر ټولو تنګ ممکن استثنا وي۔ هېڅ لاره په انتزاعي توګه ډېره خوندي نه ده: CA په تمدیدونو کې پراخیږي، پین کول یې کتنه اسانه ده۔
کومه چې وټاکئ، باوري ارزښت باید د هغې لارې له مخې راشي چې له بدلون مخکې باوري وه۔ مدیر، په دروازه بانډۍ کې کانسول ناسته، یا مخکې اخیستل شوې کاپي ټولې وړ دي۔ هر هغه ګوته نښه کاپي کول چې پوښتنه یې ښیي اسانه ده او هماغه څه دي چې مداخله کوونکی ورته هیله لري۔
ارزښت په هغه قوماندې کې کېږدئ چې تاسو یې رښتیا پیلوئ
پین د سرور-سند د انتخاب په بڼه ځي، او د هغې مختاړی کوډکول ټاکي: د sha1 یا sha256 لاندې اوولس لسیزې عامه کیلي خلاصې، او د pin-sha256 لاندې د base64 کیلي پین۔ د هغې ورکول د هغې چلند لپاره د سیستم باور هم غیر فعالوي، نو پین شوې کیلي ټوله پرېکړه کیږي۔
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustکلاینټ پرې شوې خلاصه سره سمون خوري، د مختاړي وروسته یوازې څلور توري مني، دا د اسانتیا پر ځای تله ده۔ لنډ شوی ارزښت په سیمه کې تېریږي او لا هم هغه دروازه نه پېژني چې تاسو یې هدف درلود۔ له پیغام څخه بیا ټایپ کولو پر ځای هغه بشپړه رشته کاپي کړئ چې کلاینټ په لومړي هڅه کې چاپ کړې وه۔ بیا بشپړ انتخاب هغه رپېر سکریپټ، د واحد فایل یا پروفایل ته واړوئ چې اړیکه پیلوي، تر څو د باور پرېکړه کتل کېدونکې وي او وروستي سمونونه قصداً وي۔
د ډیسکټاپ پیلوونکي او NetworkManager پلگ ان د اړیکې استدلالونو خپله کاپي ساتي۔ په ډیسک کې سمون شوې سکریپټ مخکې وارد شوي پروفایل ته نه رسېږي، نو ساتل شوی ارزښت بیا هم ګټي۔
له ځانه د بندېدو پرته بدلون سمبال کړئ
انتخاب کېدای شي له یو ځل ډېر ورکړل شي، نو پلان شوی بدلون کولی شي وتونکې او راتلونکې کیلي یوځای ومني۔ مخکې له دې چې دروازه بدله شي نوې پین اضافه کړئ، تر هغې چې ناستې کډه کیږي دواړه په لیست کې وساتئ، او کله چې زړه کیلي ولاړه شي تقاعد شوې لرې کړئ۔ هغه کړکۍ مالک ته اړتیا لري، ځکه هېر شوې دوه ګونی پین کیلي بې له څوک پاملرنې باوري پرېږدي۔ نوې کیلي جوړه تولیدوونکې بیا رغونه پاکه پین ماتوي، او بیا رغول په بله لوري کې هماغه بهیر دی۔
د بدلون نېټه د پین ترڅنګ ولیکئ۔ بې له کتنې نېټې پین د ګډوډ کوونکي تېروتنې پیغام سره راتلونکې خنډ دی۔
د باور له سمون مخکې د کلاینټ نسخه وباسئ
زوړ کلاینټ کېدای شي هغه تصدیق ځواب چې دروازې وروسته بدل کړی تحلیلولو پر مهال ناکام شي، او د سطحې پیغام لا هم د تحلیل کوونکي پر ځای د اړیکې خبره کوي۔ نصب شوې نسخه له هغه څه سره پرتله کړئ چې دروازه یې سند کوي، او مخکې له دې چې د باور کوم تنظیم بدل کړئ اوسنی بسته په یو ځلي پروفایل کې وآزمویئ۔
openconnect --versionله سمون وروسته یو نه دوه شیان تصدیق کړئ: پورتال د تونل له مخې بار کیږي، او یو عادي کورنی پته ځواب وایي۔ بشپړ شوی لاس نیول یوازې دا ثابتوي چې د باور پرېکړه منل شوې ده۔