Hyrja në OpenConnect përfundon në faqen e gabuar? Kontrollo fillimisht shtegun

Ngjit adresën nga email-i i fillimit, klienti arrin portën, dhe formulari i hyrjes që shfaqet është portali i përgjithshëm dhe jo ai i partnerit që përshkroi operatori. Asgjë nuk tregon gabim, dhe pikërisht kjo ngatërron: tuneli mund edhe të ngrihet, por pas një pike hyrjeje të gabuar. Shtegu në atë URL po bënte punë, dhe çfarëdo që e zëvendësoi e humbi atë punë.

Ndaj dy gjëra që vijnë si një varg i vetëm në një biletë: adresën që arrin shërbimin dhe hyrjen që vendos ku fillon vërtetimi. Të rregullosh të parën duke injoruar të dytën është mënyra se si një emër i saktë hosti prodhon gjithsesi një hyrje të gabuar.

Çfarë dërgon klienti përpara se të shohësh një formular

Me një adresë si https://vpn.example.net/partners, veprimi i parë i klientit është një kërkesë HTTPS drejt atij shtegu dhe jo drejt hostit të zhveshur. Ajo që kthehet është zakonisht një ridrejtim drejt pikës së hyrjes, ose vetë formulari. Një klient që merr vetëm vpn.example.net nis nga faqja e paracaktuar e uljes që ekziston, dhe kjo mund të jetë një portal tjetër, një listë tjetër grupesh ose një faqe që pret një protokoll krejt tjetër. Diferenca duket në titujt e përgjigjes shumë përpara se të shkruhet ndonjë kredencial.

Prandaj një skedë shfletuesi që funksionon dhe një profil klienti që dështon mund të emërtojnë të njëjtën portë dhe gjithsesi të mos bien dakord. Shfletuesi ndoqi shtegun; profili nuk e kishte kurrë.

Dy hyrje që duken të këmbyeshme dhe nuk janë

OpenConnect ekspozon shtegun fillestar HTTPS si --usergroup, dhe faqja e manualit e trajton një URL të plotë që mbart atë shteg si të njëjtën kërkesë të shkruar ndryshe. --authgroup është një opsion i veçantë: zgjedh një zë nga lista që porta paraqet brenda formularit të hyrjes. Disa protokolle e quajnë atë zë grup, të tjerë domen ose portë, dhe pikërisht aty ngatërrohen dy flamujt.

Një shërbim mund të ketë ligjërisht nevojë për të dyja. Shtegu mund të të çojë në portalin e saktë, ndërsa formulari ende të kërkon të zgjedhësh mes grupeve brenda tij. Të japësh emrin e portalit si emër grupi, ose anasjelltas, prodhon një hyrje që duket e pranuar dhe më pas nuk autorizon, sepse vlera ishte sintaksisht e vlefshme dhe semantikisht e gabuar.

Kërko nga operatori çdo vlerë në rreshtin e vet: shtegu i hyrjes, zgjedhja në formular dhe nëse të dyja nevojiten. Mos nxirr njërën nga tjetra vetëm sepse etiketat tingëllojnë njësoj.

Pse shkurtimi i shtegut ndryshon rezultatin

Klientët që pranojnë vetëm host dhe port shpesh lidhen gjithsesi, prandaj simptomi rrallë është dështim i fortë. Në vend të kësaj merr faqen e gabuar të hyrjes, një listë grupesh bosh, një emër certifikate që nuk përputhet më me atë që publikoi operatori, ose një tunel që ngrihet pa rrugë drejt shërbimit që dëshiroje. Secili prej tyre qëndron në një shtresë tjetër, dhe asnjë nuk rregullohet duke ngjitur një varg më të gjatë në një fushë të dokumentuar si emër hosti. Dy prej tyre janë edhe të padallueshëm nga jashtë, sepse të dyja vijnë si një formular hyrjeje që thjesht nuk vazhdon.

Zëvendësimi i emrit të hostit me një adresë IP është një gabim i veçantë që shpesh udhëton bashkë me këtë. Zgjedhja e shërbimit bazuar në emër dhe vërtetimi i certifikatës varen të dyja nga emri, prandaj një adresë numerike mund ta kthejë një problem formati shtegu në një gabim TLS.

Adresat e shfletuesit mbartin edhe më shumë se shtigje. Identifikuesit e sesionit, objektivat e ridrejtimit, parashtesat e gjuhës dhe parametrat e përkohshëm të hyrjes shfaqen të gjithë në shiritin e adresës, dhe asnjë prej tyre nuk i përket një profili klienti të ruajtur.

Konfirmo pikën e hyrjes përpara se të modifikosh çdo gjë tjetër

Lexo titujt për shtegun që të është dhënë. Një kërkesë si curl -sS -o /dev/null -D - https://vpn.example.net/partners shtyp rreshtin e statusit dhe çdo titull Location pa ndjekur ridrejtimin. Një 302 që tregon një pikë hyrjeje të emërtuar konfirmon se shtegu ekziston dhe tregon ku të çon; një 404 do të thotë se adresa e operatorit është e vjetruar.

Më pas riprodho të njëjtën pikë hyrjeje në klientin e miratuar, për shembull openconnect --usergroup=partners vpn.example.net, dhe vëzhgo cili formular shfaqet. Nëse formulari është i saktë dhe tuneli gjithsesi dështon, shtegu nuk ishte kurrë problemi dhe ndalesa tjetër është politika ose rrugëtimi.

Regjistro emrin e hostit, portin, protokollin, shtegun e hyrjes dhe zgjedhjen në formular si pesë fusha të veçanta në biletë. Ky listë është ajo që i lejon inxhinierit të ardhshëm të dallojë një server të paarritshëm nga një refuzim TLS, një zgjedhje e refuzuar dhe një tunel që u ngrit pa rrugët që i nevojiteshin.