සහතිකය මාරු කිරීමෙන් පසු OpenConnect ද්වාරය ප්‍රතික්ෂේප කරන්නේ ඇයි?
ද්වාරයේ සහතිකය මාරු කිරීමෙන් පසු සත්‍යාපන අසාර්ථකත්වය විශ්වාසයේ තීරණයක් මිස කැඩුණු උමගක් නොවේ. නිකුත් කරන CA සහ එකම යතුරක් ඇමිණීම අතරින් තෝරන්න.
ද්වාර සහතික මාරු කරයි, ඊයේ සම්බන්ධ වූ සේවාදායකයා පළමු TLS හුවමාරුවේදී නතර වීම ආරම්භ කරයි. පණිවිඩය ජාල දෝෂයක් නොව සත්‍යාපන හේතුවක් නම් කරයි, යන්ත්‍රයම වෙනස් වී නැත, එයම ප්‍රයෝජනවත් සලකුණයි. කැඩුණේ දැන් ඉදිරිපත් කරන සහතිකය සහ සේවාදායකයා සලකා බැලීමට සූදානම් වන මූලයන් අතර සම්බන්ධයයි. මෙය අලුත්වැඩියා කිරීම විශ්වාසයේ තීරණයක්, එබැවින් විකල්පයක් ලිවීමට පෙර එම තීරණය ගන්න.
විශ්වාස සැකසුමක් වෙනස් කිරීමට පෙර අසාර්ථකත්වය කියවන්න
අත්සන් කරන්නා නොමැති ආකාරයේ දෝෂයක් යනු දාමය සේවාදායකයා පිළි නොගන්නා දෙයකින් අවසන් වන බවයි. එය අභ්‍යන්තර අධිකාරියක් විසින් අලුත් කළ සහතිකයක්, පොදු අධිකාරියක ප්‍රතිස්ථාපනයක්, හෝ මැද ඇති උපාංගයක් තම සහතිකය ඉදිරිපත් කිරීම විය හැක. වචන පමණක් එම අවස්ථා වෙන් කළ නොහැක, එබැවින් තීරණයට පෙර නිකුත් කරන්නා දෙස බලන්න.
සම්බන්ධතාවය එක් වරක් ඉදිරිපසින් ධාවනය කර අසාර්ථක වීමට ඉඩ දෙන්න, මන්ද අන්තර්ක්‍රියාකාරී ප්‍රතිදානයේ සේවාදායක නාමය, නිකුත් කරන්නාගේ දාමය සහ සේවාදායකයා ගණනය කළ ඇඟිලි සටහන ඇත. එම නිකුත් කරන්නා ඔබේ සංවිධානය සැබවින්ම ක්‍රියාත්මක කරන අධිකාරියක් සමඟ සසඳන්න. ඇඟිලි සටහන වෙනස් වී නිකුත් කරන්නා නොවෙනස් නම්, ඔබ දැනටමත් විශ්වාස කරන මාර්ගයකින් අලුත් කිරීම තහවුරු වන තෙක් එය සැක සහිත ලෙස සලකන්න. මෙම අවස්ථාවේදී අනුමාන කිරීම යනු කෙනෙකු අවසානයේ මැදිහත් වන්නෙකුගේ යතුර ඇමිණීමට යන මාර්ගයයි.
එම සටහනේම සේවාදායක අනුවාදය ලියන්න. විශ්වාස ගැටලු ලෙස පෙනෙන බොහෝ අසාර්ථකතා පැරණි සේවාදායකයා නව ද්වාර හුවමාරුවකට මුහුණ දීමෙන් පැමිණේ.
නිකුත් කරන්නා විශ්වාස කිරීම සහ එක් යතුරක් ඇමිණීම අතරින් තෝරන්න
විකල්ප දෙකම සම්බන්ධතාවය සාර්ථක කරයි. ඒවා පසුව විරුද්ධ ආකාරවලින් කැඩෙයි, එබැවින් තේරීම ඔබට ඉවසිය හැකි අසාර්ථකත්වයට අයත් වේ.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
සහතිකය ඔබට ස්වාධීනව සත්‍යාපනය කළ හැකි අධිකාරියකින් පැමිණෙන විට CA ගොනුව වෙත යන්න, මන්ද එවිට අලුත් කිරීම් සේවාදායක තර්ක ස්පර්ශ නොකර ක්‍රියා කරයි. එය පද්ධති මූලයන් අබල කරන ස්විචය සමඟ යුගල කරන්න, එසේ නොමැති නම් පොදු අධිකාරියකට ඔබ වෙනුවෙන් එම පරීක්ෂාව සපුරාලිය හැක. ඒ වෙනුවට ද්වාරයට ලබාගත හැකි CA නොමැති විට හෝ හැකි තරම් පටු ව්‍යතිරේකය ඉලක්කය වන විට ඇමිණන්න. කිසිදු මාර්ගයක් වියුක්තව වඩාත් ආරක්ෂිත නොවේ: CA අලුත් කිරීම් හරහා පරිමාණය වේ, ඇමිණීම සමාලෝචනය කිරීම පහසුය.
ඔබ තෝරන කුමක් වුවත්, විශ්වාස කළ අගය වෙනස සිදුවීමට පෙර විශ්වාස කළ මාර්ගයකින් පැමිණිය යුතුය. පරිපාලකයෙකු, ද්වාරයේ කොන්සෝල සැසියක්, හෝ කලින් ගත් පිටපතක් සියල්ල සුදුසුය. විමසුම පෙන්වන ඕනෑම ඇඟිලි සටහනක් පිටපත් කිරීම පහසු වන අතර මැදිහත් වන්නෙකු බලාපොරොත්තු වන්නේ ද එයමය.
ඔබ සැබවින්ම ආරම්භ කරන විධානයේ අගය තබන්න
ඇමිණීම සේවාදායක සහතික විකල්පයක ගමන් කරයි, එහි උපසර්ගය සංකේතනය තීරණය කරයි: sha1 හෝ sha256 යටතේ ෂඩ්දශම පොදු යතුරු ජීර්ණ, සහ pin-sha256 යටතේ base64 යතුරු ඇමිණීම. එය සැපයීම එම ධාවනයට පද්ධති විශ්වාසය ද අබල කරයි, එබැවින් ඇමිණූ යතුර සම්පූර්ණ තීරණය බවට පත් වේ.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustසේවාදායකයා කපන ලද ජීර්ණයක් ගැළපෙන අතර, උපසර්ගයෙන් පසු අකුරු හතරක් පමණක් වුවත් පිළිගනී, එය පහසුවක් නොව උගුලකි. කෙටි කළ අගය දේශීයව පසු වන අතර තවමත් ඔබ අදහස් කළ ද්වාරය හඳුනා නොගනී. පණිවිඩයකින් නැවත ටයිප් කරනවාට වඩා පළමු උත්සාහයේදී සේවාදායකයා මුද්‍රණය කළ සම්පූර්ණ තන්තුව පිටපත් කරන්න. පසුව නිමි විකල්පය සම්බන්ධතාවය ආරම්භ කරන එතුම් ස්ක්‍රිප්තයට, ඒකක ගොනුවට හෝ පැතිකඩට ගෙන යන්න, එවිට විශ්වාස තීරණය සමාලෝචනය කළ හැකි අතර පසුකාලීන සංස්කරණ චේතනාන්විත වේ.
ඩෙස්ක්ටොප් දියත් කරන්නන් සහ NetworkManager ප්ලගිනය සම්බන්ධතා තර්කවල තමන්ගේම පිටපතක් ගබඩා කරයි. තැටියේ සංස්කරණය කළ ස්ක්‍රිප්තයක් කලින් ආයාත කළ පැතිකඩකට ළඟා නොවේ, එබැවින් ගබඩා කළ අගය දිගටම ජය ගනී.
ඔබව ඇතුළතින් අගුළු දැමීමකින් තොරව මාරුවක් හසුරුවන්න
විකල්පය එක් වරකට වඩා ලබා දිය හැක, එබැවින් සැලසුම් කළ වෙනසකට පිටවන සහ ඇතුළුවන යතුරු එකට පිළිගත හැක. ද්වාරය මාරු වීමට පෙර නව ඇමිණීම එකතු කරන්න, සැසි සංක්‍රමණය වන අතරතුර දෙකම ලැයිස්තුගතව තබන්න, පැරණි යතුර නැති වූ පසු විශ්‍රාම ගිය එක ඉවත් කරන්න. එම කවුළුවට හිමිකරුවෙකු අවශ්‍යයි, මන්ද අමතක වූ ද්විත්ව ඇමිණීමක් කිසිවෙකු බලා නොගෙන යතුරක් විශ්වාසදායකව තබයි. නව යතුරු යුගලයක් නිපදවන ප්‍රතිනිර්මාණය පිරිසිදු ඇමිණීමක් කඩයි, ප්‍රතිසාධනය ප්‍රතිවිරුද්ධ දිශාවේ එම ක්‍රියාපටිපාටියයි.
ඇමිණීම අසල වෙනස්කමේ දිනය ලියන්න. සමාලෝචන දිනයක් නොමැති ඇමිණීමක් ගැටලුකාරී දෝෂ පණිවිඩයක් රැගෙන එන අනාගත බාධාවකි.
විශ්වාසය සංස්කරණය කිරීමට පෙර සේවාදායක අනුවාදය බැහැර කරන්න
පැරණි සේවාදායකයා ද්වාරය පසුව වෙනස් කළ සත්‍යාපන ප්‍රතිචාරයක් විග්‍රහ කිරීමේදී අසාර්ථක විය හැක, මතුපිට පණිවිඩය තවමත් විග්‍රාහකය ගැන නොව සම්බන්ධතාවය ගැන කතා කරයි. ස්ථාපිත අනුවාදය ද්වාරය ලේඛනගත කරන දෙය සමඟ සසඳන්න, කිසිදු විශ්වාස සැකසුමක් වෙනස් කිරීමට පෙර වත්මන් පැකේජය එක් වරක් භාවිත කරන පැතිකඩක පරීක්ෂා කරන්න.
openconnect --versionඅලුත්වැඩියාවෙන් පසු එකක් නොව දෙකක් සත්‍යාපනය කරන්න: ද්වාරිකාව උමග හරහා පූරණය වේ, සහ සාමාන්‍ය අභ්‍යන්තර ලිපිනයක් පිළිතුරු දෙයි. සම්පූර්ණ වූ අතට අත දීම විශ්වාස තීරණය පිළිගත් බව පමණක් සනාථ කරයි.