Kuisha kwa kuki ya ConnMan OpenConnect, si tatizo la cheti

ConnMan hufanya kazi mchana kisha hukataa, na mstari wa kumbukumbu unataja uthibitishaji wa cheti. Mstari huo huwapeleka watu kwenye bahasha za CA ambazo hazikuwahi kuharibika. Hitilafu mbili tofauti hutoa karibu umbo moja la kushindwa: kuki ya kipindi inaisha muda, au cheti cha seva kimebadilika kweli. Zinaweza kutenganishwa kwa takriban dakika moja, na moja tu kati yao inahusiana na alama ya kidole.

Hitilafu mbili, mstari mmoja wa kumbukumbu unaochanganya

Zinatenganishwa kwa uchunguzi mbili, na hakuna unaohitaji kusomwa mara ya pili. Ya kwanza ni wakati hitilafu ilipoanza: kuki iliyoisha muda huja baada ya saa au siku za kazi, na cheti kilichobadilishwa huja mara moja baada ya mabadiliko ya lango.

Jaribio la dakika moja ni uendeshaji wa authenticate hapa chini. Linganisha FINGERPRINT yake na OpenConnect.ServerCert kwenye faili. Alama ya kidole inayofanana na COOKIE tofauti inamaanisha kubadilisha kuki pekee. Alama ya kidole tofauti inamaanisha cheti cha seva kimebadilika kweli, kwa hiyo kibandike tena kwa makusudi na uandike ni nani aliyekubali.

Zalisha nyenzo badala ya kuzichapa

ConnMan haina hatua ya kuingiza profaili ya OpenConnect, tofauti na NetworkManager. Inasoma faili ya utoaji ambayo thamani zake lazima zitengenezwe mapema, na njia inayotumika kuzitengeneza ni hali ya authenticate ya OpenConnect.

sudo openconnect --csd-wrapper=/home/user/.cisco/csd-wrapper.sh \
  --authenticate --user myuser vpn.example.com

Matokeo huchapisha thamani nne: POST, COOKIE, HOST na FINGERPRINT. Alama ya kidole, ikiwa na kiambishi sha256:, ni ubando wa seva. Kuki ni kifaa cha kipindi chenye muda wa maisha ambacho lango huamua. Zichukulie kama aina tofauti za siri: zinaisha muda kwa ratiba tofauti, na moja tu inatarajiwa kubadilika.

Faili hubeba zote mbili, na zinaanza kuzeeka kwa namna tofauti

Faili ya utoaji iko chini ya /var/lib/connman-vpn/ na husomwa kwa kila muunganisho na daemon ya VPN, si na applet ya trei. Weka jina la muunganisho katika sehemu ya jumla na maelezo ya itifaki katika sehemu ya mtoa huduma.

[global]
Name = Company VPN

[provider_openconnect]
Type = OpenConnect
Name = Company Cisco VPN
Host = vpn.example.com
Domain = corp.example
OpenConnect.ServerCert = sha256:...
OpenConnect.Cookie = ...

Tumia jina la mwenyeji ambalo lango hutoa huduma kweli. Anwani ya IP peke yake inaweza kupita ukaguzi wa cheti na bado ikashindwa, kwa sababu kifaa huelekeza kwa mwenyeji pepe na hutegemea jina.

systemctl status connman-vpn --no-pager   # is the daemon even installed and running
sudo systemctl restart connman-vpn       # after the file edit
journalctl -u connman-vpn --since '1 hour ago'  # after the connection attempt

Kumbukumbu inaonyesha nini kweli

Kidokezo cha trei hakitakuambia ni hitilafu ipi uliyo nayo. Kumbukumbu itakuambia, ikiwa utasoma mfuatano badala ya mstari wa kwanza wa kutisha. Kuki ya zamani kwa kawaida huonyesha kwamba majadiliano ya TLS yalikamilika na safu ya HTTP ikakataa baadaye, ndiyo sababu maneno kuhusu vyeti husimama kando ya kushindwa kwa idhini.

Linganisha uendeshaji mpya wa authenticate na thamani zilizo kwenye faili. Ikiwa alama ya kidole inalingana na kuki pekee ndiyo tofauti, jibu lako unalo bila kugusa mipangilio ya uaminifu.

Huisha upya uga ulioisha muda

Rudia amri ya authenticate, badilisha OpenConnect.Cookie, na uanzishe tena daemon. Acha alama ya kidole kama ilivyo isipokuwa matokeo mapya yanaonyesha thamani tofauti; katika hali hiyo cheti cha seva kilibadilishwa kweli na ubando upya ni uamuzi ambao mtu anapaswa kuandika, si kubandika kutoka ujumbe wa hitilafu.

Kuendesha uhuishaji kiotomatiki ni jambo la busara: skripti ndogo husoma nenosiri kutoka ingizo la kawaida, huendesha hali ya authenticate na huandika upya mstari wa kuki pekee. Weka kitambulisho nje ya skripti na kisomeke kwa akaunti inayoiendesha pekee, na ufanye uandikaji upya kuwa atomiki ili uendeshaji ulioshindwa usiache faili iliyoandikwa nusu.

Ikiwa uhuishaji unahitajika kila baada ya saa chache, andika muda huo. Ni sifa ya sera ya vipindi ya lango, na huamua kama uhuishaji uendeshwe kiotomatiki au kuomba kipindi kirefu zaidi.