OpenConnect உள்நுழைவு குக்கியை எப்படி ஒரு சுரங்கப்பாதையாக மாற்றுகிறது?

OpenConnect இரண்டு தனித்தனி பரிமாற்றங்களை ஒரே குறுகிய ஆயுள் மதிப்பால் இணைக்கிறது: வலை உள்நுழைவு மற்றும் VPN சுரங்கப்பாதை. முதல் பரிமாற்றம் சாதாரண HTTPS: சான்றுகள், ஒரு SAML சுற்று அல்லது டோக்கன் நுழைவாயிலுக்குச் செல்கின்றன, பதில் அங்கீகாரக் குக்கியைக் கொண்டு வருகிறது. இரண்டாவது பரிமாற்றம் அதே குக்கியை அதே நுழைவாயிலுக்கு வலைக் கட்டம் ஏற்கனவே நடந்துவிட்டது என்பதற்கான சான்றாக அளிக்கிறது, அப்போதுதான் சுரங்கப்பாதை எழுகிறது.

உள்நுழைவின் போது சுரங்கப்பாதை பற்றி எதுவும் பேச்சுவார்த்தை நடப்பதில்லை. இதைத்தான் புரிந்து கொள்ள வேண்டும், ஏனெனில் பெரும்பாலான ஸ்கிரிப்ட் பிழைகள் குக்கியைச் சேமிக்க வேண்டிய கடவுச்சொல் அல்லது போக்குவரத்தைப் பாதுகாக்கும் திறவுகோல் என்று கருதுகின்றன, உண்மையில் அது ஒரு குறிப்பிட்ட நுழைவாயில் அமர்வுக்கான சுமப்பி டிக்கெட்.

வாடிக்கையாளரும் நுழைவாயிலும் வரிசையாக என்ன பரிமாறிக்கொள்கின்றன

அங்கீகாரக் கட்டம் சாதாரண பாதுகாக்கப்பட்ட வலைத்தளம் போலத் தெரிகிறது. OpenConnect பயனரின் சான்றுகளை அனுப்புகிறது, அல்லது நுழைவாயிலின் திருப்பிவிடலைப் பின்பற்றி அடையாள வழங்குநரிடம் செல்கிறது, நுழைவாயில் அங்கீகாரக் குக்கியை உள்ளடக்கிய ஆவணத்துடன் பதிலளிக்கிறது. AnyConnect நெறிமுறையில் அந்த மதிப்பு அடுத்த கோரிக்கைகளில் குக்கி தலைப்பில் பயணிக்கிறது, பொதுவாக webvpn போன்ற பெயரில், கையேடு அதை அமர்வை முன்னோக்கி எடுத்துச் செல்லும் சான்றாகக் கருதுகிறது.

இரண்டாம் கட்டம் அந்தக் குக்கியை இணைத்து நுழைவாயிலின் VPN முனைக்குச் செல்லும் CONNECT கோரிக்கை. நுழைவாயில் அதைச் சரிபார்த்து ஒரு முகவரியை ஒதுக்குகிறது, வாடிக்கையாளர் TLS மீது CSTP தொடங்குகிறது, அமர்வு இருந்தால் DTLS ஒரு விருப்பமான வேகமான தரவுப் பாதையாகிறது. இந்த நேரத்தில்தான் சுரங்கப்பாதையின் அளவுருக்கள், வழிகள், DNS அமைப்புகள் மற்றும் அமர்வின் போக்குவரத்து திறவுகோல்கள் நிறுவப்படுகின்றன. குக்கி வாடிக்கையாளரைக் கதவின் வழியாக அனுப்பியது; அது எதையும் மறையாக்கவில்லை.

இந்த வரிசையே openconnect --authenticate ஏன் இருக்கிறது என்பதை விளக்குகிறது. அதை இயக்கினால் வலைக் கட்டத்தைச் செய்கிறது, COOKIE, HOST, CONNECT_URL மற்றும் FINGERPRINT போன்ற ஷெல் மாறிகளின் சிறிய தொகுதியை அச்சிட்டு, எந்தச் சுரங்கப்பாதையும் கட்டப்படுவதற்கு முன்பே வெளியேறுகிறது. பிறகு ஒரு மடக்கு ஸ்கிரிப்ட் அந்த மதிப்புகளுடன் உண்மையான இணைப்பைத் தொடங்கலாம், மேலும் தலை இல்லாத அல்லது இரு கொள்கலன் பயன்பாட்டுக்குத் தேவையானது சரியாக இந்தப் பிரிவுதான்.

குக்கி அமர்வின் சுமப்பி, திறவுகோல் அல்ல

வலைப் பயன்பாட்டில் அமர்வு அடையாளங்காட்டியைக் கையாள்வது போல இந்த மதிப்பைக் கையாளுங்கள். அதன் ஆயுளில் அதை வைத்திருப்பவர் அந்த அமர்வுக்கு உரிய சுரங்கப்பாதையை நுழைவாயிலிடம் கேட்கலாம், எனவே அதன் இரகசியத்தன்மை முக்கியம். ஆனால் நகலெடுப்பது போக்குவரத்தை வெளிப்படுத்தாது, ஏனெனில் சுரங்கப்பாதையின் ரகசியத்தன்மை TLS கைகுலுக்கல் மற்றும் அதிலிருந்து பெறப்பட்ட திறவுகோல்களிலிருந்து வருகிறது, குக்கி சரத்திலிருந்து அல்ல.

இது நிரந்தர அனுமதியும் அல்ல. அமர்வு எவ்வளவு காலம் வாழும் என்பதை நுழைவாயிலும் அடையாள வழங்குநரும் தீர்மானிக்கின்றனர், இன்னும் உள்நுழைந்த பக்கத்தைக் காட்டும் உலாவி சுரங்கப்பாதை அமர்வு இன்னும் செல்லுபடியாகுமா என்பதைப் பற்றி எதுவும் சொல்லாது. காலாவதிக்குப் பிறகு மீண்டும் இணைவது என்பது வலைக் கட்டத்தை மீண்டும் செய்து புதிய குக்கியை உருவாக்குவதாகும், மீள்அங்கீகாரத்தின் நோக்கம் அதுவே, பொறியியலால் தவிர்க்க வேண்டிய தொல்லை அல்ல.

குக்கியை மற்ற சான்றுகளுக்கான பொதுப் பதிலீடாகக் கருத வேண்டாம். SAML கூற்று, உலாவிக் கடவுச்சொல் மற்றும் வேறு சேவை வழங்கிய குக்கி ஆகியவை வெவ்வேறு பார்வையாளர்களைக் கொண்ட வெவ்வேறு பொருட்கள், ஒன்றை மற்றொன்றின் புலத்தில் ஒட்டுவது பொதுவாக நுழைவாயிலில் தோல்வியடையும் அல்லது மோசமான வழியில், தவறான நம்பிக்கை எல்லைக்கு எதிராக வெற்றி பெறும்.

நகல்களை விடாமல் குக்கியைக் கடத்துதல்

Linux இல் மிகப் பாதுகாப்பான இயந்திர ஒப்படைப்பு நிலையான உள்ளீடு. --cookie-on-stdin மதிப்பை stdin இலிருந்து படிக்கிறது, எனவே குக்கி செயல்முறையின் வாதப் பட்டியலில் ஒருபோதும் தெரிவதில்லை, அங்கு எந்த உள்ளூர் பயனரும் அதை ps மூலம் படிக்கலாம். ஒரு செயல்முறையில் அங்கீகரித்து மற்றொன்றில் சுரங்கப்பாதைக்கு உணவளிக்கும் குழாய் மதிப்பைக் கோப்பு அல்லது சூழல் மாறியில் அல்ல, குழாயில் வைத்திருக்கிறது.

வாதங்களும் சூழல் மாறிகளும் வெவ்வேறு காரணங்களால் பலவீனமானவை. வாதம் வாடிக்கையாளரின் முழு ஆயுளிலும் செயல்முறை அட்டவணையில் தெரியும், பல நேரங்களில் ஷெல் வரலாற்றில் சேர்கிறது. சூழல் மாறி குழந்தை செயல்முறைகளுக்கு மரபுவழியாகச் செல்கிறது, யூனிட் கோப்பில் அதை அமைக்கும் systemd யூனிட் ரகசியத்தைப் படிக்கக்கூடிய உள்ளமைவில் வைக்கிறது. கோப்பு அவசியமானால் அதைச் சேவைக் கணக்குக்கு வரம்பிடுங்கள், அமர்வு முடிந்ததும் நீக்குங்கள்.

சிறப்புரிமை எல்லையையும் வேண்டுமென்றே வைத்திருங்கள். அடையாள வழங்குநரிடம் பேசி ஒருவேளை உலாவியைத் திறக்கும் செயல்முறை அந்த உள்நுழைவுக்கு உரிய பயனராகவே இயங்க வேண்டும். வழிகள், DNS மற்றும் சுரங்கப்பாதை சாதனத்தை உள்ளமைக்கும் செயல்முறைக்கு அதிக சிறப்புரிமை தேவைப்படலாம். root உடைமையில் உள்ள சுரங்கப்பாதைக்குக் குக்கி கிடைக்க வேண்டும் என்பதற்காக முழு உலாவியையும் root ஆக இயக்குவது தவறான பரிமாற்றம், நவீன OpenConnect அமைப்புகள் அந்த எல்லையைக் கடந்து மதிப்பை வெளிப்படையாக ஒப்படைக்க முடியும்.

பதிவு செய்வதும் அதே சந்தேகத்துக்கு உரியது. விரிவான வாடிக்கையாளர் வெளியீடு, உதவி ஸ்கிரிப்டுகள் மற்றும் நுழைவாயில் கண்டறிதல் ஆகியவை கோரிக்கைப் பொருளை மீண்டும் கூறலாம், ஒவ்வொரு பதிவு நிலையும் குக்கியை மறைப்பதில்லை. உங்களுக்குத் தேவையான மிகச் சிறிய பிழைப் பதிவைப் பிடியுங்கள், அதைப் பகிரப்பட்ட சேனல்களுக்கு வெளியே வைத்திருங்கள், டிக்கெட்டில் இணைப்பதற்கு முன் மறைக்கப்பட்ட மாதிரியைச் சரிபாருங்கள்.

இரண்டாம் கட்டத்தில் சரிபார்ப்பும் காலாவதியும்

இரண்டாம் கட்டமும் சேவையகத்தைச் சரிபார்க்க வேண்டும். --authenticate அச்சிடும் FINGERPRINT என்பது pin-sha256: வடிவில் ஒரு சான்றிதழ் பொருத்தம், அதை --servercert உடன் சுரங்கப்பாதை அழைப்புக்கு அளிப்பது சரிபார்ப்பை நீங்கள் அங்கீகரித்த நுழைவாயிலில் நங்கூரமிட்டு வைத்திருக்கும். ஸ்கிரிப்டை எளிமைப்படுத்தச் சான்றிதழ் சரிபார்ப்பை அணைப்பது, குக்கி நோக்கமிட்ட புரவலனுக்கு வழங்கப்படுகிறது என்பதற்கான ஒரே சான்றை நீக்குகிறது.

நுழைவாயில் குக்கியை நிராகரிக்கும்போது தீர்வு புதிய அங்கீகாரச் சுற்று, நீண்ட தேக்ககம் அல்ல. குக்கியை இணைப்பின் ஆயுள் வரை மட்டும் சேமியுங்கள், வெளியேறும்போது தற்காலிகக் கோப்புகளை நீக்குங்கள், அமர்வு வெளிப்படுத்தப்பட்டாலோ சாதனம் தொலைந்தாலோ அடையாள வழங்குநர் அல்லது நுழைவாயிலின் அமர்வு நீக்கும் செயல்முறையைப் பயன்படுத்துங்கள். தேக்ககம் செய்த குக்கி MFA இலிருந்து விலக்கு அல்ல.

இதைத் தானியங்காக்கும் முன் நான்கு விஷயங்களைச் சரிபாருங்கள்: சுரங்கப்பாதை சரியான கணக்கில் இயங்குகிறது, குக்கி stdin வழியாக வருகிறது, சான்றிதழின் விரல்ரேகை பொருத்தப்பட்டுள்ளது, சுரங்கப்பாதை மூடும்போது அமர்வு தூக்கி எறியப்படுகிறது. இவற்றில் ஏதாவது இல்லாவிட்டால், தானியங்கி கைமுறை ஓட்டத்தை மறுஉருவாக்குவதற்குப் பதிலாக குக்கி மீதான நம்பிக்கையை விரிவுபடுத்தியுள்ளது.