சான்றிதழை மாற்றிய பிறகு OpenConnect நுழைவாயிலை ஏன் நிராகரிக்கிறது?
நுழைவாயிலின் சான்றிதழ் மாற்றப்பட்ட பிறகு சரிபார்ப்புத் தோல்வி என்பது நம்பிக்கையின் முடிவு, உடைந்த சுரங்கப்பாதை அல்ல. வழங்கும் CA மற்றும் ஒரு சாவியைப் பின் செய்வதற்கு இடையே தேர்வுசெய்க.
நுழைவாயில்கள் சான்றிதழ்களை மாற்றுகின்றன, நேற்று வரை இணைந்திருந்த வாடிக்கையாளர் முதல் TLS பரிமாற்றத்தில் நிற்கத் தொடங்குகிறது. செய்தி வலையமைப்புக் குறையல்ல, சரிபார்ப்புக் காரணத்தைக் கூறுகிறது, இயந்திரம் தானே மாறவில்லை, அதுவே பயனுள்ள துப்பு. உடைந்தது என்பது இப்போது வழங்கப்படும் சான்றிதழுக்கும் வாடிக்கையாளர் பரிசீலிக்கத் தயாராக உள்ள வேர்களுக்கும் இடையிலான உறவு. இதைச் சரிசெய்வது நம்பிக்கையின் முடிவு, எனவே ஒரு விருப்பத்தை எழுதுவதற்கு முன் அந்த முடிவை எடுங்கள்.
எந்த நம்பிக்கை அமைப்பையும் மாற்றும் முன் தோல்வியைப் படியுங்கள்
கையொப்பமிடுபவர் இல்லை என்பது போன்ற பிழை என்பது சங்கிலி வாடிக்கையாளர் ஏற்காத ஒன்றில் முடிவடைகிறது என்பதைக் குறிக்கிறது. அது உள் அதிகாரத்தின் புதுப்பிக்கப்பட்ட சான்றிதழ், பொது அதிகாரத்தின் மாற்று, அல்லது நடுவில் உள்ள சாதனம் தன் சான்றிதழை வழங்குவதாக இருக்கலாம். வெறும் சொற்கள் அந்த நிகழ்வுகளை வேறுபடுத்த முடியாது, எனவே முடிவெடுக்கும் முன் வழங்குநரைப் பாருங்கள்.
இணைப்பை ஒருமுறை முன்புறத்தில் இயக்கி தோல்வியடைய விடுங்கள், ஏனெனில் ஊடாடும் வெளியீடு சேவையகப் பெயர், வழங்குநர் சங்கிலி மற்றும் வாடிக்கையாளர் கணக்கிட்ட விரல்ரேகையைக் கொண்டுள்ளது. அந்த வழங்குநரை உங்கள் நிறுவனம் உண்மையில் இயக்கும் அதிகாரத்துடன் ஒப்பிடுங்கள். விரல்ரேகை மாறி வழங்குநர் மாறவில்லை என்றால், நீங்கள் ஏற்கனவே நம்பும் ஒரு பாதை வழியாக புதுப்பிப்பு உறுதிசெய்யப்படும் வரை அதை சந்தேகத்திற்குரியதாகக் கருதுங்கள். இந்தக் கட்டத்தில் ஊகிப்பதே ஒருவர் இறுதியில் இடையூறு செய்பவரின் சாவியைப் பின் செய்யும் வழி.
அதே குறிப்பில் வாடிக்கையாளர் பதிப்பை எழுதுங்கள். நம்பிக்கைப் பிரச்சினைகள் போலத் தோன்றும் பல தோல்விகள் பழைய வாடிக்கையாளர் புதிய நுழைவாயில் பரிமாற்றத்தைச் சந்திப்பதால் வருகின்றன.
வழங்குநரை நம்புவதற்கும் ஒரு சாவியைப் பின் செய்வதற்கும் இடையே தேர்வுசெய்க
இரண்டு விருப்பங்களும் இணைப்பை வெற்றிபெறச் செய்கின்றன. அவை பின்னர் எதிரெதிர் வழிகளில் உடைகின்றன, எனவே தேர்வு நீங்கள் தாங்கக்கூடிய தோல்விக்கு உரியது.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
சான்றிதழ் நீங்கள் சுயாதீனமாகச் சரிபார்க்கக்கூடிய அதிகாரத்திலிருந்து வந்தால் CA கோப்பை நாடுங்கள், ஏனெனில் புதுப்பிப்புகள் வாடிக்கையாளர் வாதங்களைத் தொடாமல் தொடர்ந்து வேலை செய்யும். அதை கணினி வேர்களை முடக்கும் சுவிட்சுடன் இணையுங்கள், இல்லையெனில் ஒரு பொது அதிகாரம் உங்கள் சார்பாகச் சரிபார்ப்பை நிறைவேற்றலாம். அதற்குப் பதிலாக நுழைவாயிலில் நீங்கள் பெறக்கூடிய CA இல்லாதபோது அல்லது மிகக் குறுகிய சாத்தியமான விதிவிலக்கே இலக்காக இருக்கும்போது பின் செய்யுங்கள். எந்தப் பாதையும் சுருக்கமாக மிகவும் பாதுகாப்பானது அல்ல: CA புதுப்பிப்புகள் முழுவதும் விரிவடைகிறது, பின் செய்வதை மதிப்பாய்வு செய்வது எளிது.
நீங்கள் எதைத் தேர்ந்தாலும், நம்பகமான மதிப்பு மாற்றம் நிகழ்வதற்கு முன் நம்பகமானதாக இருந்த பாதை வழியாக வர வேண்டும். நிர்வாகி, நுழைவாயிலில் ஒரு கன்சோல் அமர்வு, அல்லது முன்கூட்டியே எடுக்கப்பட்ட நகல் அனைத்தும் தகுதியானவை. கேட்பு காட்டும் எந்த விரல்ரேகையையும் நகலெடுப்பது வசதியானது மேலும் இடையூறு செய்பவர் எதிர்பார்ப்பதும் அதுவே.
நீங்கள் உண்மையில் இயக்கும் கட்டளையில் மதிப்பை வையுங்கள்
பின் செய்தல் ஒரு சேவையகச் சான்றிதழ் விருப்பத்தில் பயணிக்கிறது, அதன் முன்னொட்டு குறியாக்கத்தைத் தீர்மானிக்கிறது: sha1 அல்லது sha256 கீழ் பதினாறிலக்க பொது-சாவி சுருக்கங்கள், மற்றும் pin-sha256 கீழ் base64 சாவி பின். அதை வழங்குவது அந்த இயக்கத்திற்கான கணினி நம்பிக்கையையும் முடக்கும், எனவே பின் செய்யப்பட்ட சாவியே முழு முடிவாகும்.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustவாடிக்கையாளர் வெட்டப்பட்ட சுருக்கத்தைப் பொருத்துகிறது, முன்னொட்டுக்குப் பின் நான்கு எழுத்துகளை மட்டுமே ஏற்கிறது, இது வசதியல்ல பொறி. சுருக்கப்பட்ட மதிப்பு உள்ளூரில் தேர்ச்சி பெறுகிறது, இன்னும் நீங்கள் நோக்கிய நுழைவாயிலை அடையாளம் காட்டவில்லை. செய்தியிலிருந்து மீண்டும் தட்டச்சு செய்வதற்குப் பதிலாக முதல் முயற்சியில் வாடிக்கையாளர் அச்சிட்ட முழு சரத்தை நகலெடுங்கள். பின்னர் முடிக்கப்பட்ட விருப்பத்தை இணைப்பைத் தொடங்கும் மடக்குச் சிறுநிரல், அலகுக் கோப்பு அல்லது சுயவிவரத்திற்கு நகர்த்துங்கள், நம்பிக்கை முடிவு மதிப்பாய்வு செய்யக்கூடியதாகவும் பின்னர் திருத்தங்கள் வேண்டுமென்றேயாகவும் இருக்கும்.
டெஸ்க்டாப் தொடங்கிகளும் NetworkManager செருகுநிரலும் இணைப்பு வாதங்களின் சொந்த நகலைச் சேமிக்கின்றன. வட்டில் திருத்தப்பட்ட சிறுநிரல் முன்பு இறக்குமதி செய்யப்பட்ட சுயவிவரத்தை அடையாது, எனவே சேமிக்கப்பட்ட மதிப்பு தொடர்ந்து வெல்லும்.
உங்களை வெளியே பூட்டிக்கொள்ளாமல் சுழற்சியைக் கையாளுங்கள்
விருப்பம் ஒரு முறைக்கு மேல் வழங்கப்படலாம், எனவே திட்டமிட்ட மாற்றம் வெளியேறும் மற்றும் உள்நுழையும் சாவிகளை ஒன்றாக ஏற்கலாம். நுழைவாயில் மாறுவதற்கு முன் புதிய பின்னைச் சேர்க்கவும், அமர்வுகள் இடம்பெயரும் வரை இரண்டையும் பட்டியலில் வைத்திருக்கவும், பழைய சாவி போனதும் ஓய்வுபெற்றதை அகற்றவும். அந்தச் சாளரத்திற்கு உரிமையாளர் தேவை, ஏனெனில் மறக்கப்பட்ட இரட்டைப் பின் ஒரு சாவியை யாரும் கவனிக்காமல் நம்பகமானதாக விட்டுவிடும். புதிய சாவி இணையை உருவாக்கும் மறுகட்டமைப்பு தூய பின்னை உடைக்கிறது, மீட்பு எதிர்திசையில் அதே நடைமுறையாகும்.
பின்னின் அருகில் மாற்றத் தேதியை எழுதுங்கள். மதிப்பாய்வுத் தேதி இல்லாத பின் குழப்பமான பிழைச் செய்தியைச் சுமக்கும் எதிர்கால இடையூறு.
நம்பிக்கையைத் திருத்தும் முன் வாடிக்கையாளர் பதிப்பை விலக்குங்கள்
பழைய வாடிக்கையாளர் நுழைவாயில் பின்னர் மாற்றிய அங்கீகாரப் பதிலைப் பகுப்பாய்வு செய்யும்போது தோல்வியடையலாம், மேற்பரப்புச் செய்தி இன்னும் பகுப்பாய்வியைப் பற்றியல்ல, இணைப்பைப் பற்றிப் பேசுகிறது. நிறுவப்பட்ட பதிப்பை நுழைவாயில் ஆவணப்படுத்துவதுடன் ஒப்பிடுங்கள், எந்த நம்பிக்கை அமைப்பையும் மாற்றும் முன் தற்போதைய தொகுப்பை ஒருமுறைப் பயன்பாட்டுச் சுயவிவரத்தில் சோதியுங்கள்.
openconnect --versionபழுதுநீக்கத்திற்குப் பின் ஒன்றல்ல, இரண்டைச் சரிபார்க்கவும்: வலைவாசல் சுரங்கப்பாதை வழியாக ஏற்றப்படுகிறது, சாதாரண உள் முகவரி பதிலளிக்கிறது. முடிக்கப்பட்ட கைக்குலுக்கல் நம்பிக்கை முடிவு ஏற்கப்பட்டது என்பதை மட்டுமே நிரூபிக்கிறது.