Prijava OpenConnect pristane na napačni strani? Najprej preverite pot

Prilepite naslov iz uvodnega e-poštnega sporočila, odjemalec doseže prehod, in prijavni obrazec, ki se prikaže, je splošni portal in ne partnerski, ki ga je opisal operater. Nič ne javi napake, in prav to zmede: tunel se lahko celo dvigne, le za napačno vstopno točko. Pot v tem naslovu je opravljala delo, in karkoli jo je nadomestilo, je to delo spustilo.

Ločite dve stvari, ki v zahtevku prideta kot en niz: naslov, ki doseže storitev, in vnos, ki odloči, kje se začne preverjanje pristnosti. Popraviti prvo ob ignoriranju drugega je način, kako pravilno ime gostitelja še vedno da napačno prijavo.

Kaj odjemalec pošlje, preden vidite obrazec

Z naslovom, kot je https://vpn.example.net/partners, je prvo dejanje odjemalca zahteva HTTPS na to pot in ne na golo ime gostitelja. Nazaj običajno pride preusmeritev na prijavno končno točko ali obrazec sam. Odjemalec, ki dobi le vpn.example.net, začne na privzeti pristajalni strani, kakršna pač je, in to je lahko drug portal, drug seznam skupin ali stran, ki pričakuje povsem drug protokol. Razlika je vidna v glavah odgovora veliko prej, preden je vnesena kakršna koli poverilnica.

Zato lahko delujoč zavihek brskalnika in neuspešen profil odjemalca imenujeta isti prehod in se vseeno ne strinjata. Brskalnik je sledil poti; profil je ni imel nikoli.

Dva vnosa, ki se zdita zamenljiva in nista

OpenConnect izpostavi začetno pot HTTPS kot --usergroup, in stran priročnika obravnava celoten URL s to potjo kot isto zahtevo, zapisano drugače. --authgroup je ločena možnost: izbere vnos s seznama, ki ga prehod predstavi znotraj prijavnega obrazca. Nekateri protokoli ta vnos imenujejo skupina, drugi domena ali prehod, in prav tam se obe zastavici zamenjata.

Storitev lahko zakonito potrebuje oboje. Pot vas lahko pripelje na pravi portal, medtem ko obrazec še vedno zahteva, da izberete skupino znotraj njega. Če podate ime portala kot ime skupine ali obratno, dobite prijavo, ki je videti sprejeta in nato ne odobri, ker je bila vrednost skladenjsko veljavna in pomensko napačna.

Operaterja prosite za vsako vrednost v svoji vrstici: vstopno pot, izbiro v obrazcu in ali sta potrebna oba. Ne izpeljite enega iz drugega samo zato, ker se oznake slišijo podobno.

Zakaj obrezovanje poti spremeni izid

Odjemalci, ki sprejmejo le gostitelja in vrata, se pogosto vseeno povežejo, zato je simptom redko trda napaka. Namesto tega dobite napačno prijavno stran, prazen seznam skupin, ime potrdila, ki se ne ujema več z objavljenim pri operaterju, ali tunel, ki se dvigne brez poti do želene storitve. Vsak od teh sedi v drugem sloju, in nobenega ne popravi lepljenje daljšega niza v polje, dokumentirano kot ime gostitelja. Dva od njih sta tudi od zunaj nerazločljiva, ker oba prideta kot prijavni obrazec, ki preprosto ne nadaljuje.

Zamenjava imena gostitelja z naslovom IP je ločena napaka, ki pogosto potuje s to. Izbira storitve na podlagi imena in preverjanje potrdila sta oba odvisna od imena, zato lahko številčni naslov spremeni težavo oblike poti v napako TLS.

Naslovi v brskalniku nosijo tudi več kot poti. Identifikatorji seje, cilji preusmeritve, jezikovne predpone in začasni prijavni parametri se vsi pojavijo v naslovni vrstici, in noben od njih ne sodi v shranjen profil odjemalca.

Potrdite vstopno točko, preden uredite karkoli drugega

Preberite glave za pot, ki ste jo dobili. Zahteva, kot je curl -sS -o /dev/null -D - https://vpn.example.net/partners, izpiše vrstico stanja in vsako glavo Location brez sledenja preusmeritvi. 302, ki kaže na poimenovano prijavno končno točko, potrdi, da pot obstaja, in pokaže, kam vodi; 404 pomeni, da je naslov operaterja zastarel.

Nato ponovite isto vstopno točko v odobrenem odjemalcu, na primer openconnect --usergroup=partners vpn.example.net, in opazujte, kateri obrazec se prikaže. Če je obrazec pravilen in tunel še vedno ne deluje, pot ni bila nikoli težava in naslednja postaja je politika ali usmerjanje.

V zahtevek zapišite ime gostitelja, vrata, protokol, vstopno pot in izbiro v obrazcu kot pet ločenih polj. Prav ta seznam naslednjemu inženirju omogoči, da loči nedosegljiv strežnik od zavrnitve TLS, zavrnjene izbire in tunela, ki se je dvignil brez potrebnih poti.