Zakaj OpenConnect zavrne prehod po zamenjavi potrdila?

Prehodi zamenjujejo potrdila in odjemalec, ki se je včeraj še povezoval, se začne ustavljati pri prvi izmenjavi TLS. Sporočilo navaja razlog preverjanja, ne okvare omrežja, in stroj sam se ni spremenil, kar je koristen namig. Zlomil se je odnos med potrdilom, ki se zdaj predstavlja, in koreninami, ki jih je odjemalec pripravljen upoštevati. Popraviti to je odločitev o zaupanju, zato jo sprejmite, preden vpišete možnost.

Preberite napako, preden spremenite katero koli nastavitev zaupanja

Napaka vrste manjkajoči podpisnik pomeni, da se veriga konča pri nečem, česar odjemalec ne sprejme. To je lahko obnovljeno potrdilo internega organa, zamenjava javnega organa ali naprava v sredini, ki predstavlja svoje potrdilo. Samo besedilo teh primerov ne more ločiti, zato pred odločitvijo poglejte izdajatelja.

Povezavo zaženite enkrat v ospredju in pustite, da spodleti, ker interaktivni izhod vsebuje ime strežnika, verigo izdajatelja in prstni odtis, ki ga je izračunal odjemalec. Primerjajte tega izdajatelja z organom, ki ga vaša organizacija resnično upravlja. Če se je prstni odtis spremenil, izdajatelj pa ne, obravnavajte to kot sumljivo, dokler obnova ni potrjena po kanalu, ki mu že zaupate. Ugibati na tej točki je pot, po kateri človek na koncu pripne ključ prestreznikovega.

Zapišite različico odjemalca v isto opombo. Velik del napak, ki so videti kot težave z zaupanjem, izvira iz starejšega odjemalca, ki naleti na novejšo izmenjavo prehoda.

Izberite med zaupanjem izdajatelju in pripetjem enega ključa

Obe možnosti omogočita uspešno povezavo. Kasneje se zlomita na nasprotne načine, zato izbira pripada napaki, ki jo prenesete.

Segite po datoteki CA, kadar potrdilo prihaja od organa, ki ga lahko preverite neodvisno, ker obnove potem delujejo naprej, ne da bi se dotaknili argumentov odjemalca. Seznanite jo s stikalom, ki onemogoči sistemske korenine, sicer lahko javni organ opravi preverjanje namesto vas. Raje pripnite, kadar prehod nima CA, ki bi jo lahko pridobili, ali kadar je cilj najožja možna izjema. Nobena pot ni abstraktno varnejša: CA se razteza skozi obnove, pripetje je lažje pregledati.

Katero koli izberete, zaupanja vredna vrednost mora priti po kanalu, ki mu je bilo zaupano pred spremembo. Skrbnik, konzolna seja na prehodu ali vnaprej vzeta kopija, vse ustreza. Kopiranje katerega koli prstnega odtisa, ki ga prikaže poziv, je priročno in je natanko to, čemur se prestreznik nadeja.

Vrednost vstavite v ukaz, ki ga resnično zaženete

Pripetje potuje v možnosti potrdila strežnika in njegova predpona odloči kodiranje: šestnajstiški povzetki javnega ključa pod sha1 ali sha256 ter pripetje ključa base64 pod pin-sha256. Če ga navedete, onemogočite tudi sistemsko zaupanje za to izvajanje, zato pripeti ključ postane celotna odločitev.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Odjemalec primerja skrajšani povzetek in sprejme le štiri znake za predpono, kar je past in ne udobnost. Skrajšana vrednost lokalno uspe in še vedno ne prepozna prehoda, ki ste ga nameravali. Kopirajte celotno verigo, ki jo je odjemalec natisnil ob prvem poskusu, namesto da bi jo prepisali iz sporočila. Nato premaknite končano možnost v ovojno skripto, datoteko enote ali profil, ki zažene povezavo, da bo odločitev o zaupanju pregledna in poznejše spremembe premišljene.

Namizni zaganjalniki in vtičnik NetworkManager hranijo svojo kopijo argumentov povezave. Skripta, urejena na disku, ne doseže prej uvoženega profila, zato shranjena vrednost še naprej zmaguje.

Obvladajte preklop, ne da bi se zaklenili zunaj

Možnost je mogoče navesti večkrat, zato lahko načrtovana sprememba sprejme odhajajoči in prihajajoči ključ skupaj. Dodajte novo pripetje, preden se prehod preklopi, imejte oba navedena, dokler se seje selijo, in odstranite upokojeno, ko starega ključa ni več. To okno potrebuje lastnika, saj pozabljeno dvojno pripetje pusti ključ zaupanja vreden brez nadzora. Ponovna izgradnja, ki ustvari nov par ključev, zlomi čisto pripetje, obnovitev pa je enak postopek v nasprotni smeri.

Napišite datum spremembe ob pripetju. Pripetje brez datuma pregleda je prihodnja prekinitev z zmedenim sporočilom o napaki.

Izključite različico odjemalca, preden urejate zaupanje

Zastarel odjemalec lahko spodleti pri razčlenjevanju odgovora za preverjanje, ki ga je prehod medtem spremenil, in površinsko sporočilo še vedno govori o povezavi, ne o razčlenjevalniku. Primerjajte nameščeno različico s tem, kar dokumentira prehod, in preden spremenite katero koli nastavitev zaupanja, preizkusite trenutni paket v enkratnem profilu.

openconnect --version

Po popravku preverite dve stvari, ne eno: portal se naloži skozi tunel in običajen notranji naslov odgovori. Dokončano rokovanje dokaže le, da je bila odločitev o zaupanju sprejeta.