సర్టిఫికెట్ మార్చిన తర్వాత OpenConnect గేట్వేను ఎందుకు తిరస్కరిస్తుంది?
గేట్వే సర్టిఫికెట్ మార్చిన తర్వాత ధృవీకరణ వైఫల్యం అనేది విశ్వాస నిర్ణయం, విరిగిన సొరంగం కాదు. జారీ చేసే CA మరియు ఒకే కీని పిన్ చేయడం మధ్య ఎంచుకోండి.
గేట్వేలు సర్టిఫికెట్లను మారుస్తాయి, నిన్నటి వరకు కనెక్ట్ అయిన క్లయింట్ మొదటి TLS మార్పిడిలో ఆగిపోవడం ప్రారంభమవుతుంది. సందేశం నెట్వర్క్ లోపం కాకుండా ధృవీకరణ కారణాన్ని పేర్కొంటుంది, మరియు యంత్రం స్వయంగా మారలేదు, అదే ఉపయోగకరమైన సూచన. విరిగినది ఇప్పుడు ప్రదర్శించబడుతున్న సర్టిఫికెట్ మరియు క్లయింట్ పరిగణించడానికి సిద్ధంగా ఉన్న మూలాల మధ్య సంబంధం. దీన్ని మరమ్మతు చేయడం విశ్వాస నిర్ణయం, కాబట్టి ఏదైనా ఎంపిక రాసే ముందు ఆ నిర్ణయం తీసుకోండి.
ఏదైనా విశ్వాస సెట్టింగ్ను మార్చే ముందు వైఫల్యాన్ని చదవండి
సంతకం చేసేవాడు లేడు అనే రకం లోపం అంటే గొలుసు క్లయింట్ అంగీకరించని దానితో ముగుస్తుంది. అది అంతర్గత అధికారి పునరుద్ధరించిన సర్టిఫికెట్, ప్రజా అధికారి భర్తీ, లేదా మధ్యలో ఉన్న పరికరం తన సర్టిఫికెట్ను ప్రదర్శించడం కావచ్చు. మాటలు మాత్రమే ఆ సందర్భాలను వేరు చేయలేవు, కాబట్టి నిర్ణయం తీసుకునే ముందు జారీ చేసేవారిని చూడండి.
కనెక్షన్ను ఒకసారి ముందు భాగంలో అమలు చేసి విఫలమవ్వనివ్వండి, ఎందుకంటే పరస్పర చర్య అవుట్పుట్ సర్వర్ పేరు, జారీ చేసేవారి గొలుసు మరియు క్లయింట్ లెక్కించిన వేలిముద్రను కలిగి ఉంటుంది. ఆ జారీ చేసేవారిని మీ సంస్థ నిజంగా నిర్వహించే అధికారితో పోల్చండి. వేలిముద్ర మారి జారీ చేసేవారు మారకపోతే, మీరు ఇప్పటికే విశ్వసించే మార్గం ద్వారా పునరుద్ధరణ నిర్ధారణ అయ్యే వరకు దాన్ని అనుమానాస్పదంగా పరిగణించండి. ఈ దశలో ఊహించడమే ఒక వ్యక్తి చివరికి మధ్యవర్తి కీని పిన్ చేసే మార్గం.
అదే గమనికలో క్లయింట్ వెర్షన్ రాయండి. విశ్వాస సమస్యలుగా కనిపించే చాలా వైఫల్యాలు పాత క్లయింట్ కొత్త గేట్వే మార్పిడిని ఎదుర్కోవడం నుండి వస్తాయి.
జారీ చేసేవారిని విశ్వసించడం మరియు ఒక కీని పిన్ చేయడం మధ్య ఎంచుకోండి
రెండు ఎంపికలు కనెక్షన్ను విజయవంతం చేస్తాయి. అవి తర్వాత విరుద్ధ మార్గాల్లో విరుగుతాయి, కాబట్టి ఎంపిక మీరు తట్టుకోగల వైఫల్యానికి చెందుతుంది.
| Approach | Good fit | What breaks it |
|---|---|---|
Trust the issuing CA with --cafile | Internal PKI you can obtain over an already trusted channel | CA rotation, or a client that still falls back to public roots |
Pin one key with --servercert | No CA relationship, or exactly one key should ever be accepted | Any reissue that generates a new key pair |
సర్టిఫికెట్ మీరు స్వతంత్రంగా ధృవీకరించగల అధికారి నుండి వచ్చినప్పుడు CA ఫైల్ వైపు వెళ్లండి, ఎందుకంటే పునరుద్ధరణలు క్లయింట్ ఆర్గ్యుమెంట్లను తాకకుండా పని కొనసాగిస్తాయి. దాన్ని సిస్టమ్ మూలాలను నిలిపివేసే స్విచ్తో జత చేయండి, లేకపోతే ప్రజా అధికారి మీ తరఫున తనిఖీని నెరవేర్చగలదు. బదులుగా గేట్వేకు మీరు పొందగల CA లేనప్పుడు లేదా సాధ్యమైనంత సన్నని మినహాయింపే లక్ష్యమైనప్పుడు పిన్ చేయండి. ఏ మార్గం అమూర్తంగా ఎక్కువ సురక్షితం కాదు: CA పునరుద్ధరణల అంతటా విస్తరిస్తుంది, పిన్ సమీక్షించడం సులభం.
మీరు ఏది ఎంచుకున్నా, విశ్వసనీయ విలువ మార్పు జరగడానికి ముందు విశ్వసనీయంగా ఉన్న మార్గం ద్వారా రావాలి. నిర్వాహకుడు, గేట్వేపై కన్సోల్ సెషన్, లేదా ముందుగా తీసుకున్న నకలు అన్నీ అర్హమైనవి. ప్రాంప్ట్ చూపే ఏ వేలిముద్రనైనా కాపీ చేయడం సౌకర్యంగా ఉంటుంది మరియు మధ్యవర్తి ఆశించేది కూడా అదే.
మీరు నిజంగా ప్రారంభించే ఆదేశంలో విలువ పెట్టండి
పిన్ సర్వర్-సర్టిఫికెట్ ఎంపికలో ప్రయాణిస్తుంది, దాని ఉపసర్గ ఎన్కోడింగ్ను నిర్ణయిస్తుంది: sha1 లేదా sha256 కింద హెక్సాడెసిమల్ ప్రజా-కీ డైజెస్ట్లు, మరియు pin-sha256 కింద base64 కీ పిన్. దాన్ని ఇవ్వడం ఆ పరుగుకు సిస్టమ్ విశ్వాసాన్ని కూడా నిలిపివేస్తుంది, కాబట్టి పిన్ చేసిన కీ మొత్తం నిర్ణయం అవుతుంది.
sudo openconnect --protocol=gp vpn.example.com --user alice \
--servercert pin-sha256:AbCdEf... # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trustక్లయింట్ కత్తిరించిన డైజెస్ట్ను సరిపోలుస్తుంది, ఉపసర్గ తర్వాత నాలుగు అక్షరాలతో సహా అంగీకరిస్తుంది, ఇది సౌకర్యం కాదు ఉచ్చు. చిన్న విలువ స్థానికంగా దాటుతుంది మరియు మీరు ఉద్దేశించిన గేట్వేను ఇప్పటికీ గుర్తించదు. సందేశం నుండి మళ్లీ టైప్ చేయడం బదులు మొదటి ప్రయత్నంలో క్లయింట్ ముద్రించిన పూర్తి స్ట్రింగ్ను కాపీ చేయండి. తర్వాత పూర్తయిన ఎంపికను కనెక్షన్ ప్రారంభించే ర్యాపర్ స్క్రిప్ట్, యూనిట్ ఫైల్ లేదా ప్రొఫైల్కు తరలించండి, విశ్వాస నిర్ణయం సమీక్షించదగినదిగా మరియు తర్వాతి మార్పులు ఉద్దేశపూర్వకంగా ఉండేలా.
డెస్క్టాప్ లాంచర్లు మరియు NetworkManager ప్లగిన్ కనెక్షన్ ఆర్గ్యుమెంట్ల సొంత నకలును నిల్వ చేస్తాయి. డిస్క్లో సవరించిన స్క్రిప్ట్ ముందుగా దిగుమతి చేసిన ప్రొఫైల్కు చేరదు, కాబట్టి నిల్వ చేసిన విలువ గెలుస్తూనే ఉంటుంది.
మిమ్మల్ని బయట లాక్ చేయకుండా రోల్ఓవర్ను నిర్వహించండి
ఎంపికను ఒకటి కంటే ఎక్కువసార్లు ఇవ్వవచ్చు, కాబట్టి ప్రణాళికాబద్ధమైన మార్పు బయటకు వెళ్లే మరియు లోపలికి వచ్చే కీలను కలిసి అంగీకరించగలదు. గేట్వే మారే ముందు కొత్త పిన్ను జోడించండి, సెషన్లు వలస వెళ్తున్నంత కాలం రెండింటినీ జాబితాలో ఉంచండి, పాత కీ పోయాక పదవీ విరమణ పొందినదాన్ని తీసివేయండి. ఆ విండోకు యజమాని అవసరం, ఎందుకంటే మరచిపోయిన ద్వంద్వ పిన్ కీని ఎవరూ గమనించకుండా విశ్వసనీయంగా వదిలివేస్తుంది. కొత్త కీ జంటను ఉత్పత్తి చేసే పునర్నిర్మాణం స్వచ్ఛమైన పిన్ను విరుస్తుంది, మరియు పునరుద్ధరణ వ్యతిరేక దిశలో అదే ప్రక్రియ.
పిన్ పక్కన మార్పు తేదీని రాయండి. సమీక్ష తేదీ లేని పిన్ గందరగోళకరమైన లోప సందేశాన్ని మోసుకొచ్చే భవిష్యత్ అంతరాయం.
విశ్వాసాన్ని సవరించే ముందు క్లయింట్ వెర్షన్ను మినహాయించండి
పాత క్లయింట్ గేట్వే తర్వాత మార్చిన ప్రామాణీకరణ ప్రతిస్పందనను పార్స్ చేస్తున్నప్పుడు విఫలమవవచ్చు, మరియు ఉపరితల సందేశం ఇప్పటికీ పార్సర్ గురించి కాదు, కనెక్షన్ గురించి మాట్లాడుతుంది. ఇన్స్టాల్ చేసిన వెర్షన్ను గేట్వే డాక్యుమెంట్ చేసే దానితో పోల్చండి, మరియు ఏదైనా విశ్వాస సెట్టింగ్ను మార్చే ముందు ప్రస్తుత ప్యాకేజీని ఒకసారి వాడే ప్రొఫైల్లో పరీక్షించండి.
openconnect --versionమరమ్మతు తర్వాత ఒకటి కాదు, రెండు విషయాలను ధృవీకరించండి: పోర్టల్ సొరంగం ద్వారా లోడ్ అవుతుంది, మరియు సాధారణ అంతర్గత చిరునామా సమాధానమిస్తుంది. పూర్తయిన హ్యాండ్షేక్ విశ్వాస నిర్ణయం అంగీకరించబడిందని మాత్రమే నిరూపిస్తుంది.