Intee OpenConnect ayay sii wadaa isku dayga VPN go’ay?

--reconnect-timeout waxay ka jawaabtaa hal su’aal oo cidhiidhi ah: ka dib marka tunnel-ku dhaco, intee ayuu habsocodkan macmiilku sii daydayaa ka hor inta uusan ka quusan oo bixin. Bogga buug-gacmeedka OpenConnect wuxuu diiwaangeliyaa ikhtiyaarkaas iyada oo leh 300 il-biriqsi oo caadi ah oo la diiwaangeliyay isku dayada cusub ee ka dambeeya xiriir lumay ama lammaane joojiyay jawaabidda, lambarkuna waa waqti kama dambays ah hal macmiil oo socda, ma aha caddayn in VPN-ku uu awood u leeyahay inuu gaaro. Sidoo kale ma aha siyaasad lagu hayo habsocodka nool, oo halkaas ayuu inta badan jahawareerku ka bilaabmaa.

Jahawareerku wuu kordhaa marka qalab labaad uu korka fadhiisto. Kormeeraha dib u bilaaba macmiilka, baare ku ping-gareeya gateway-ga, iyo daaqadda isku dayada cusub ee dhex-dhisan waxay dhammaantood ka jawaabi karaan hal guuldarreysi, markaas dhacdadu waxay soo saartaa saddex khad oo waqti ah oo aan cidna isku waafajin karin.

Waxa daaqadda dib-u-xirku run ahaantii xaddido

Ka fikir in shabakadda gelitaanku labaad il-biriqsi ku libdho. Macmiilku wuxuu arkaa xiriirka oo dhacaya, ama wuxuu joojiyaa maqalka jawaabaha lammaanaha dhintay, wuxuuna bilaabaa dib u dhiska fadhiga isaga oo haysta xaaladda uu karo. Isku dayadu way sii socdaan ilaa gateway-ku mar kale aqbalo ama daaqaddu dhammaato, daaqad dhammaatana waxay ku dhammaataa bixin aan eber ahayn. Bixintaas, ee ma aha qiimaha waqtiga xaddidan, waa halka ay milkiinta wareegga noloshu u gudubto cidda kormeeraysa habsocodka.

Daaqaddu wax kama sheegto inta jeer ee baare la socodsiiyo, mana kordhin karto xaqiijinta. Haddii gateway-ku uu fadhiga tirtiray, ama akoontu hadda dalbanayo qodob labaad oo cusub, sugitaan dheeraad ah ma ka dhigi doono fadhiga hore mid ansax ah mar kale. Isku day cusub wuxuu guuleystaa oo kaliya marka wadadu soo noqoto, gateway-ku wali garto fadhiga, iyo aqoonsiga la dalbanayo uu ahaado mid la isticmaali karo, markaa lambarka u akhri sidii waqti kama dambays ah ee ma aha sida bareeg nololeed.

Daaqaddu sidoo kale ma xukunto waxa abka sameeyaan inta ay socoto. Iyadoo ku xiran madal iyo sida fog ee guuldarreystu gaartay, macmiilku waxaa laga yaabaa inuu dib u xirto isaga oo waddooyinku wali rakiban yihiin, ama ka dib marka la saaray. Taasi waa sababta codsi la soo saaray badhtamaha hakad uu ugu eg yahay inuu sudhan yahay ilaa waqtiga xaddidan ee halkii uu si degdeg ah u guuldarreysto.

Dib-u-bilaabka kormeeraha iyo isku dayada macmiilka waa laba lakab

U oggolow macmiilka socda inuu isticmaalo daaqaddiisa, korna hawlgalka adeeggu ka jawaabo bixinta. Macmiil safka hore ku jira systemd oo leh siyaasad dib-u-bilaabid wuxuu si sax ah u bixiyaa qaybtaas: isku dayo muddo xaddidan, ka dib hal go’aan dib-u-bilaabid. Natiijadu waa hal khad oo waqti ah oo aad wali dib u dhisi karto.

Macmiil asaagga ku jira iyo baare madax-bannaan oo bilaaba nuqul kale marka aanu arkin interface waa qaabka khaldama. Markaas labada habsocodba waxay ku tartamaan isla qanjidhka qalabka, waddooyinka iyo dejinta xallinta. Haddii aad runtii rabto daemon, geli ikhtiyaarka khadka amarka ee macmiilku runtii ku bilaabo:

sudo openconnect --background --pid-file=/run/openconnect/vpn.pid \
  --reconnect-timeout=180 \
  --user=<account> https://vpn.example.edu

Laba faahfaahin oo khadkaas ku jira ayaa miisaan leh. --background wuxuu kala soocaa habsocodka, sidaas darteed faylka pid wuxuu noqdaa qabashada keliya ee lagu kalsoonaan karo, waqtiga xaddidanna waxaa la isticmaalaa oo kaliya inta uu isla habsocodkaas nool yahay; kormeeraha dilaa ma reebo miisaaniyad uu ku sii socdo.

Go’itaannada ula kac ah waxay u baahan yihiin calaamad u gaar ah. Nasasho la qorsheeyay iyo hakad dhab ah waxay u eg yihiin isla mid kormeeraha fudud, labaduba waxaa loo akhriyaa «ma xirna». Ku wad nasashada hawlgalka joojinta kormeeraha, ama calaamad ay fahmaan duubista, si joojin ula kac ah uusan u kicin dib-u-bilaabid aan cidna dalban.

Ka hortagga in wareejintu la tartanto wareegga isku dayada

Soo-kabashada aan la kormeerin waxay ku tiirsan tahay aqoonsi cusboonaysiiya iyada oo aan qof joogin. Silsilad fureed oo kaliya furma fadhi desktop is-dhexgal ah, ama token had iyo jeer u baahan kood la qoray, ayaa macmiilka ku reebi doona marxaladda xaqiijinta marka wadadu soo noqoto. Hagaaji socodkaas shaqada ka hor inta aadan daaqadda dheerayn, maxaa yeelay daaqad dheer waxay kaliya siinaysaa isla codsiga xanniban waqti badan oo uu ku guuldarreysto.

Xaqiijinta server-ka waa in aan la dabcin si loo yareeyo codsiyada. Xadhkaha ama barrooska kalsoonida ee xaqiijiya gateway-ka ayaa ka dhigaya dib-u-xirka otomaatiga ah mid ammaan ah, daadintana si looga fogaado su’aal shahaado waxay u beddelaysaa hakad la arko mid aan la arkin. Hayso aqoonsiga la xaqiijiyay oo hagaaji codsiga; macmiil diyaar u ah inuu ku xirnaado gateway kasta wuu ka xun yahay mid istaaga oo sugaya.

Joogitaanka interface-ku sidoo kale ma aha calaamad caafimaad. Qalab tunnel ayaa jiri kara isaga oo fadhi dhintay ka dambeeya, habsocod bilow ahna wuu jiri kara isaga oo aan tunnel haba lahayn. Midkoodna observation-yadaas ma adkaysto codsi dhab ah. Caafimaadku waa inuu ka yimaado waxa isticmaalaha u baahan yahay, sida codsi mara tunnel-ka ilaa adeeg gudaha ah oo la yaqaan.

Waxa la xaqiijinayo inta lagu jiro iyo ka dib hakad

Soco afar dhacdo oo tijaabooyin kala duwan ah: hakad ka gaaban daaqadda, hakad ka dheer, guuldarreysi xaqiijin, iyo joojin ula kac ah. Mid kasta waa inuu ku dhammaadaa xaalad kala duwan oo la saadaalin karo, xadka u dhexeeya labada horena waa sababta oo dhan ee qiime doorasho.

Kontaroolada u jeedi dibadda, maxaa yeelay shaxda habsocodka keligeed wax badan ma caddeyso. Fiiri in pid uu xasilloon yahay inta hakadka gaaban, ka dibna xaqiiji inuu tagay oo hal mar la beddelay ka dib kan dheer:

curl -sS --max-time 5 -o /dev/null -w '%{http_code}\n' https://intranet.example.internal/health
cat /run/openconnect/vpn.pid
ps -o pid,etime,cmd -p "$(cat /run/openconnect/vpn.pid)"

Inta hakadka gaaban, xaqiiji in macmiilku runtii isku dayay mar kale oo uusan goor hore bixin, iyo in waddooyinka iyo gelitaanka xallintu soo noqdeen iyada oo aan nuqul lahayn. Hakadka dheer, xaqiiji bixin nadiif ah iyo hal dib-u-bilaabid oo sax ah oo ka dambeeya. Guuldarreysiga xaqiijinta, xaqiiji in macmiilku uusan ku wareegayo gateway sii wadi doona diidmadiisa. Ku dar hubin in pid uu ku noqdo hal qiime halkii uu isu uruurin lahaa.

Joojinta ula kac ah, URL-ka caafimaadku waa inuu ahaadaa mid aan la gaari karin oo habsocodku hoos u sii jiro. Ka dib xir wareegga dhinaca abka: isla codsigaas waa inuu guuldarreystaa inta tunnel-ku maqan yahay oo waa inuu guuleystaa ka dib marka uu soo noqdo, cinwaanka isha ee siyaasaddaadu filayso. Calaamad tunnel cagaaran ma aha caddayn, laakiin codsi la dhammeeyay waa caddayn.