సర్వర్కు లాక్ చేయబడిన ప్రొఫైల్ TLS ప్రాక్సీ వెనుక విఫలమవుతుంది: ఏ తరం?
Access Server 2.8 మరియు 2.9 సర్వర్కు లాక్ చేయబడిన ప్రొఫైల్లను వేర్వేరు విధాలుగా నిర్మిస్తాయి. ఫ్రంట్ ఎండ్ను మార్చే ముందు మీ ప్రాక్సీ ఏ మార్గాన్ని విచ్ఛిన్నం చేస్తుందో నిర్ణయించండి.
ఒక వినియోగదారు కనెక్ట్ కాగలరు మరొకరు కాలేరు, అదే పోర్టల్ ద్వారా, అదే రోజున. ఇద్దరికీ సర్వర్కు లాక్ చేయబడిన ప్రొఫైల్లు ఉన్నాయి, ఇద్దరూ ఒకే Access Server బిల్డ్పై ఉన్నారు, మరియు ఏకైక భేదం వారి ప్రొఫైల్ ఎప్పుడు సృష్టించబడింది అనేది. ఇదే గుర్తించదగిన నమూనా, ఎందుకంటే "సర్వర్కు లాక్ చేయబడిన" అనేది కనెక్షన్ క్రమాన్ని కాదు, విధానాన్ని సూచిస్తుంది. Access Server ఆ ఆర్టిఫ్యాక్ట్ యొక్క రెండు తరాలను విడుదల చేసింది, మరియు TLS రివర్స్ ప్రాక్సీ వాటి ఒక మార్గం ముందు మాత్రమే ఉంటుంది. మీరు ఏ శాఖలో ఉన్నారో మూడు షరతులు నిర్ణయిస్తాయి.
రెండు తరాలు, రెండు కనెక్షన్ క్రమాలు
2.8 వరకు అమలులో ఉన్న పాత డిజైన్లో, దిగుమతి చేసిన ఫైల్ సూడో-ప్రొఫైల్. OpenVPN Connect దాన్ని HTTPS ద్వారా Access Server యొక్క వెబ్ API ముందు ప్రామాణీకరణకు ఉపయోగిస్తుంది, తాత్కాలిక వినియోగదారు-లాక్ ప్రొఫైల్ మరియు సెషన్ టోకెన్ పొంది, ఆ తర్వాత మాత్రమే VPN ను ఏర్పాటు చేస్తుంది. రెండు రవాణాలు వరుసగా పనిచేస్తాయి, మొదటిది సాధారణ వెబ్ అభ్యర్థన.
2.9తో ప్రవేశపెట్టిన ఫార్మాట్ ఆ ప్రతి-కనెక్షన్ బూట్స్ట్రాప్ను చేయదు. ఇది స్థానిక ప్రొఫైల్, దీన్ని సరిపోలే OpenVPN క్లయింట్లు ఉపయోగించగలవు, OpenVPN Connect మాత్రమే కాదు. దాన్ని డౌన్లోడ్ చేయడం లేదా URL ద్వారా దిగుమతి చేయడం ఇంకా HTTPS కలిగి ఉండవచ్చు — అది ప్రచురణ దశ, ప్రతి కనెక్షన్కు తాత్కాలిక ప్రొఫైల్ తీసుకోవడం కాదు.
| Older server-locked (≤2.8) | Newer server-locked (2.9+) | |
|---|---|---|
| Before the tunnel | Web API call with credentials | Nothing; the profile is already local |
| Client requirement | OpenVPN Connect | Any compatible client |
| What a TLS web proxy can break | The bootstrap, before any VPN attempt | Download only, not the connection |
| Expected HTTP log on connect | A request from the client | Often nothing at all |
అప్గ్రేడ్ ఇప్పటికే జారీ చేసిన ప్రొఫైల్లను తప్పనిసరిగా తిరిగి రాయదు, కాబట్టి ప్రస్తుత సర్వర్ వెర్షన్ ఇంకా పాత ఆర్టిఫ్యాక్ట్ను పంపిణీ చేయవచ్చు. సర్వర్ బిల్డ్ ఏది సాధ్యమో చెబుతుంది, ఈ వినియోగదారు ఏమి దిగుమతి చేసారో కాదు.
మీ శాఖను ఎంచుకునే మూడు షరతులు
మొదటి షరతు ఆర్టిఫ్యాక్ట్ యొక్క తరం. ఫైల్ను అడగండి, అది ఎలా ఉత్పత్తి అయిందో చూడండి, మరియు దాన్ని దిగుమతి చేసిన క్లయింట్ వెర్షన్ను గుర్తించండి. ఫైల్ నుండి తరాన్ని నిర్ధారించలేకపోతే, పరీక్ష ఖాతా కోసం జారీ చేసిన కొత్త ప్రొఫైల్ సర్వర్ ఈరోజు ఏమి ఉత్పత్తి చేస్తుందో చెబుతుంది, మరియు అది విఫలమవుతున్న వినియోగదారు వద్ద ఉన్న సమాచారం కంటే భిన్నం.
రెండవది మీ ఫ్రంట్ ఎండ్ నిజంగా ఏమి ముగిస్తుంది. TLS ను దించే ఏడవ పొర HTTP రివర్స్ ప్రాక్సీ నాల్గవ పొర TCP ఫార్వర్డర్ లాంటి వస్తువు కాదు, UDP ఫార్వర్డర్ కూడా అలా కాదు. పోర్ట్ 443లో Access Server యొక్క సాధారణ అమరిక OpenVPN TCP డీమన్ బ్రౌజర్ ట్రాఫిక్ను గుర్తించి వెబ్ సేవలకు అప్పగించేలా చేస్తుంది, కాబట్టి ముందు సంబంధం లేని HTTPS టర్మినేటర్ను ఉంచడం ఆ డీమన్ ప్రోటోకాల్ నిర్వహణను కాపాడదు. ఒకే సంఖ్య 443 పంచుకోవడం రెండు డిజైన్లను సమానం చేయదు.
మూడవది విఫలత ఎక్కడ పడుతుంది. VPN ముందు విఫలత మరియు నియంత్రణ ఛానెల్ విఫలత "కనెక్ట్ అవుతోంది" మాత్రమే చెప్పే క్లయింట్లో ఒకేలా కనిపిస్తాయి, కానీ వేర్వేరు ప్రదేశాలలో సాక్ష్యం వదిలివేస్తాయి. పాత ఫార్మాట్ అమలులో ఉంటే బూట్స్ట్రాప్ అభ్యర్థి. కొత్త ఫార్మాట్ అమలులో ఉంటే ఖాళీ వెబ్ యాక్సెస్ లాగ్ ఆశించబడుతుంది మరియు ఏ దిశలోనూ ఏమీ నిరూపించదు.
ఆర్టిఫ్యాక్ట్ పాతదైనప్పుడు: బూట్స్ట్రాప్ మొదట విఫలమవుతుంది
క్లయింట్ తుది స్థితిని కాదు, దాని నిజమైన లోపాన్ని చదవండి. ఆసక్తికరమైన ఫీల్డ్లు HTTPS లోపం, క్లయింట్ ఆశించిన సర్వర్ గుర్తింపు, అభ్యర్థన వెళ్ళిన గమ్యం, మరియు సర్టిఫికేట్ ధ్రువీకరణ పూర్తయిందా అనేవి. తర్వాత వాటిని సర్వర్ వైపు వెబ్ సేవ మరియు ప్రాక్సీ లాగ్లతో సరిపోల్చండి.
బ్రౌజర్ లాగిన్ పేజీని చేరుకోవడం ఈ క్లయింట్ యొక్క API ప్రామాణీకరణ విజయవంతమైందని నిరూపించదు. అవి వేర్వేరు అభ్యర్థనలు, వేర్వేరు సర్టిఫికేట్ అంచనాలు మరియు తరచుగా వేర్వేరు హోస్ట్నామ్లతో. పోర్టల్ సరిగ్గా అందించబడినా క్లయింట్ ఇంకా విఫలమైతే, భేదం బూట్స్ట్రాప్ మార్గంలో ఉంది, వినియోగదారు పాస్వర్డ్లో కాదు.
TLS ధ్రువీకరణను నిలిపివేయడం ద్వారా లేదా ప్రామాణీకరణ విధానాన్ని సడలించడం ద్వారా పోలికను గెలిపించవద్దు. అది నిర్ధారణ చేయగల కాన్ఫిగరేషన్ అసమతుల్యతను పనిచేసే కానీ ధ్రువీకరించబడని మార్గంగా మారుస్తుంది, మరియు తాత్కాలిక పరీక్షను శాశ్వత రంధ్రంగా మార్చే మార్పు అదే. Access Server యొక్క కనెక్షన్ ప్రొఫైల్ డాక్యుమెంటేషన్ రెండు తరాలను మరియు తాత్కాలిక ప్రొఫైల్ ప్రవాహాన్ని వివరిస్తుంది, మరియు ప్రాక్సీని దోషిగా భావించే ముందు తనిఖీ చేయవలసిన సూచన అదే.
ఆర్టిఫ్యాక్ట్ కొత్తదైనప్పుడు: బదులుగా నియంత్రణ ఛానెల్ను చదవండి
2.9 శైలి ప్రొఫైల్తో క్లయింట్ నేరుగా స్థానిక VPN ముగింపు బిందువుకు వెళ్తుంది. ప్రొఫైల్లోని ముగింపు బిందువులు, ఉపయోగించిన రవాణా, మరియు నియంత్రణ ఛానెల్ లోపాన్ని పరిశీలించండి. క్లయింట్ ఎప్పుడూ HTTP అభ్యర్థనను జారీ చేయకపోతే, అది డిజైన్కు అనుగుణంగా ఉంటుంది మరియు లక్షణం కాదు.
ఇక్కడ ప్రాక్సీ ప్రశ్న కూడా రూపం మార్చుకుంటుంది. HTTPS డిస్చార్జ్ ఎప్పుడూ చూడని TCP-మాత్రమే స్ట్రీమ్ను విచ్ఛిన్నం చేయలేదు, కానీ ప్రొఫైల్ను ప్రచురించే డౌన్లోడ్ను ఇంకా విచ్ఛిన్నం చేయవచ్చు, మరియు TCP-మాత్రమే ఫార్వర్డర్ UDP ను అసలు మోసుకెళ్లదు. ఫ్రంట్ ఎండ్ అప్రస్తుతం అని నిర్ణయించే ముందు ప్రొఫైల్ ఏ రవాణాను కోరుతుందో తనిఖీ చేయండి.
ఒకే స్ట్రీమ్ కోసం TLS పాస్త్రూ ఒక సన్నని అమరిక. అది UDP ఫార్వర్డింగ్ అందించదు, మరియు 443లో డీమన్ యొక్క స్వంత సేవా-ఫార్వర్డింగ్ ప్రవర్తనను తిరిగి ఉత్పత్తి చేయదు. మీ ఫ్రంట్ ఎండ్ వాటిలో ఒకటి చేస్తే ఏదో చెప్పండి, ఎందుకంటే పరిష్కారం భిన్నం.
సన్నగా మిగిలే పరిష్కారాలు
అతి తక్కువ జోక్యం ఉన్న తనిఖీ ఏమిటంటే పరీక్ష ఖాతా కోసం కొత్త మద్దతు ఉన్న ప్రొఫైల్ను సృష్టించి, అదే ప్రామాణీకరణ అవసరాలతో ఉద్దేశించిన స్థానిక ముగింపు బిందువు ద్వారా కనెక్ట్ కావడం. అది పనిచేసి నిల్వ ఉన్న పాత ప్రొఫైల్ పనిచేయకపోతే, ఒక దశలో ఆర్టిఫ్యాక్ట్ను సర్వర్ నుండి మరియు ప్రాక్సీ నుండి వేరు చేసారు.
వినియోగదారు-లాక్ ప్రొఫైల్ పంపిణీ పాత బూట్స్ట్రాప్ ఆధారాన్ని పూర్తిగా తొలగిస్తుంది, ఎందుకంటే విఫలమయ్యే తాత్కాలిక ప్రొఫైల్ మార్పిడి ఉండదు. ఇది ఉద్దేశించిన వినియోగదారుకు జారీ చేయాలి, ఎప్పుడూ నిర్వాహకుడి నుండి కాపీ చేయకూడదు, మరియు క్లయింట్ ఏమి చేయడానికి అధికారం కలిగి ఉందో మారుస్తుంది, కాబట్టి దీన్ని తాత్కాలిక పరిష్కారంగా కాదు, విధాన నిర్ణయంగా పరిగణించండి.
తర్వాత ప్రచురణ అమరికను ప్రతి అవసరమైన మార్గం ఉండేలా సరిచేయండి: డౌన్లోడ్లు మరియు పోర్టల్ వినియోగం కోసం వెబ్ మార్గం, మరియు ప్రొఫైల్లు ఆశించే రవాణాపై స్థానిక VPN మార్గం. ప్రాక్సీ పనిని ఒక పొరలో ఉంచండి. పనిచేసే వినియోగదారు-లాక్ సొరంగం ఆ మార్గం పనిచేస్తుందని నిరూపిస్తుంది; ప్రతి ప్రాక్సీ అమరిక ప్రతి తరాన్ని మద్దతిస్తుందని నిరూపించదు, మరియు పాత బూట్స్ట్రాప్ విఫలత కొత్త ఫార్మాట్ను ఖండించదు.
- ప్రాక్సీని తాకే ముందు ఆర్టిఫ్యాక్ట్ యొక్క తరాన్ని గుర్తించండి.
- విఫలత సొరంగం ముందు జరుగుతుందా లేదా దానిలో జరుగుతుందా నిర్ణయించండి.
- ఫ్రంట్ ఎండ్ ఏమి ముగిస్తుందో నిర్ధారించండి: HTTP, TCP స్ట్రీమ్, లేదా UDP.
- విధానాన్ని మార్చకుండా కొత్తగా జారీ చేసిన ప్రొఫైల్ను స్థానిక ముగింపు బిందువుకు వ్యతిరేకంగా పరీక్షించండి.