Prihlásenie OpenConnect končí na nesprávnej stránke? Najprv skontrolujte cestu

Vložíte adresu z uvítacieho e-mailu, klient sa dostane k bráne a prihlasovací formulár, ktorý sa objaví, je všeobecný portál, nie partnerský, ktorý opísal operátor. Nič nehlási chybu, a práve to mätie: tunel sa môže dokonca zdvihnúť, len za nesprávnym vstupným bodom. Cesta v tej URL robila prácu a čokoľvek ju nahradilo, tú prácu zahodilo.

Oddeľte dve veci, ktoré v tikete prichádzajú ako jeden reťazec: adresu, ktorá sa dostane k službe, a vstup, ktorý rozhoduje, kde sa začína autentifikácia. Opraviť prvé a ignorovať druhé je spôsob, akým správny názov hostiteľa stále dáva nesprávne prihlásenie.

Čo klient pošle, kým uvidíte formulár

S adresou ako https://vpn.example.net/partners je prvým krokom klienta požiadavka HTTPS na túto cestu, nie na holého hostiteľa. Späť zvyčajne prichádza presmerovanie na prihlasovací koncový bod alebo samotný formulár. Klient, ktorý dostane len vpn.example.net, začne na predvolenej vstupnej stránke, aká je, a to môže byť iný portál, iný zoznam skupín alebo stránka očakávajúca úplne iný protokol. Rozdiel je viditeľný v hlavičkách odpovede dávno predtým, než sa zadajú akékoľvek prihlasovacie údaje.

Preto funkčná karta prehliadača a zlyhávajúci profil klienta môžu menovať rovnakú bránu a napriek tomu sa nezhodovať. Prehliadač išiel po ceste; profil ju nikdy nemal.

Dva vstupy, ktoré vyzerajú zameniteľne a nie sú

OpenConnect sprístupňuje počiatočnú cestu HTTPS ako --usergroup a stránka manuálu považuje plnú URL s touto cestou za tú istú požiadavku napísanú inak. --authgroup je samostatná voľba: vyberá záznam zo zoznamu, ktorý brána zobrazuje vnútri prihlasovacieho formulára. Niektoré protokoly nazývajú tento záznam skupinou, iné doménou alebo bránou, a práve tam sa oba prepínače pomýlia.

Služba môže legitímne potrebovať oboje. Cesta vás môže dostať na správny portál, zatiaľ čo formulár po vás stále žiada vybrať skupinu v jeho vnútri. Zadať názov portálu ako názov skupiny, alebo naopak, vytvorí prihlásenie, ktoré vyzerá prijaté a potom neautorizuje, pretože hodnota bola syntakticky platná a sémanticky nesprávna.

Požiadajte operátora o každú hodnotu na samostatnom riadku: vstupnú cestu, voľbu vo formulári a či sú potrebné obe. Neodvodzujte jedno z druhého len preto, že popisky znejú podobne.

Prečo skrátenie cesty mení výsledok

Klienti, ktorí prijímajú len hostiteľa a port, sa často aj tak pripoja, takže symptom je zriedka tvrdé zlyhanie. Namiesto toho dostanete nesprávnu prihlasovaciu stránku, prázdny zoznam skupín, názov certifikátu, ktorý už nezodpovedá tomu, čo operátor zverejnil, alebo tunel, ktorý sa zdvihne bez trasy k službe, ktorú ste chceli. Každý z nich sedí v inej vrstve a žiadny sa neopraví vložením dlhšieho reťazca do poľa dokumentovaného ako názov hostiteľa. Dva z nich sú tiež zvonku nerozoznateľné, pretože oba prichádzajú ako prihlasovací formulár, ktorý jednoducho nepokračuje.

Nahradenie názvu hostiteľa adresou IP je samostatná chyba, ktorá s touto často cestuje. Výber služby podľa názvu aj overenie certifikátu závisia od názvu, takže číselná adresa môže premeniť problém formátu cesty na chybu TLS.

Adresy v prehliadači nesú aj viac než cesty. Identifikátory relácie, ciele presmerovania, jazykové predpony a dočasné prihlasovacie parametre sa všetky objavujú v adresnom riadku a nič z toho nepatrí do uloženého profilu klienta.

Potvrďte vstupný bod, než upravíte čokoľvek iné

Prečítajte si hlavičky pre cestu, ktorú ste dostali. Požiadavka ako curl -sS -o /dev/null -D - https://vpn.example.net/partners vypíše stavový riadok a akúkoľvek hlavičku Location bez nasledovania presmerovania. 302 ukazujúci na pomenovaný prihlasovací koncový bod potvrdzuje, že cesta existuje, a ukazuje, kam vedie; 404 znamená, že adresa operátora je zastaraná.

Potom reprodukujte ten istý vstupný bod v schválenom klientovi, napríklad openconnect --usergroup=partners vpn.example.net, a sledujte, ktorý formulár sa objaví. Ak je formulár správny a tunel stále zlyháva, cesta nikdy nebola problémom a ďalšou zastávkou je politika alebo smerovanie.

Zapíšte názov hostiteľa, port, protokol, vstupnú cestu a voľbu vo formulári ako päť samostatných polí v tikete. Práve tento zoznam umožní ďalšiemu inžinierovi rozlíšiť nedostupný server od odmietnutia TLS, odmietnutej voľby a tunela, ktorý sa zdvihol bez potrebných trás.