Etkileşimli girişten sonra OpenConnect'i arka plana alma

MFA istemini bitirirsiniz, tünel açılır ve terminali kapatmak bağlantıyı da götürür. Bu bir gözetim sorunudur, kimlik doğrulama değil, ve OpenConnect'te bunu çözen anahtar zaten var. Çözüm, istemcinin başlatma bittikten sonra, etkileşimli kısım gerçekten bittiğinde arka plana ayrılmasına izin vermektir. Aşağıda bir kontrol dizisi var: sırayla ilerleyin ve ağ geçidinize uymayan ilk kontrolde durun.

Ağ geçidinin girişte ne istediğini doğrulayın

Bir komut yazmadan önce dağıtımın dayattığı kimlik bilgisi yolunu not edin. Yalnızca sertifika, parola ve belirteç, ve bir SAML sağlayıcısı üzerinden tarayıcı turu farklı davranır ve arka plan modu hiçbirini atlayamaz. Seçenek başlatmadan sonra olanı değiştirir, asla başlatma sırasında olanı değil.

Cazip kestirme istemi otomatikleştirmektir. Parola istemini tanıdığında sabit bir yanıt yazan sarmalayıcı, ağ geçidi tek kullanımlık kod istediği anda kırılır ve kimlik bilgisini diğer hesapların okuyabileceği bir dosyada bırakır. Oturumu bir insan onaylayacaksa, insanı süreçte tutun.

İlk oturumu ön planda çalıştırın ve çıktıyı okuyun

Bir kez normal bağlanın ve tüm el sıkışmasının yazdırılmasına izin verin. Kullanılan protokolü, sertifika veya belirteç yolunu, sunucunun atadığı tünel adresini ve bağlantı kabul edilmeden önceki her uyarıyı not edin. O döküm sizin temel çizginizdir ve sonra istemci sorununu ağ geçidi değişikliğinden ayırmanın tek ucuz yoludur. Terminal arabelleğinin dışında saklayın.

Sonra aynı çağrıyı arka plan modu ve eklenmiş bir PID dosyasıyla yineleyin, örneğin openconnect --background --pid-file /run/openconnect.pid vpn.example.net, ağ geçidinizin gerektirdiği protokol ve kimlik doğrulama seçeneklerini aynı satırda tutarak. OpenConnect kılavuzu bu seçeneği başlatma tamamlandıktan sonra arka planda sürme olarak açıklar ve bu yüzden etkileşimli aşama önce bitmelidir.

Çalışan süreci bulunabilir ve durdurulabilir yapın

PID dosyası yalnızca canlı bir süreçle eşleştiği sürece kanıttır. Onu hizmet hesabının sahip olduğu bir dizine koyun ve herhangi bir sinyal göndermeden önce kaydedilen numarayı süreç tablosuyla karşılaştırın. Yeniden başlatmalar ve çökmeler dosyayı bırakır ve eski bir dosya, durdurma betiğinin tünel hâlâ ayaktayken başarı bildirmesinin olağan nedenidir. Kontrolü durdurma prosedürünün parçası sayın, isteğe bağlı bir adım değil.

Doğrulanmış PID'ye sinyal gönderin, sonra çıkış durumuna güvenmek yerine tünel arayüzünün gerçekten kaybolduğunu doğrulayın. İstemcinin arayüzü yapılandırmak için yüksek ayrıcalıklara ihtiyacı varsa, sinyal göndermeye izinli bir hesaptan gelmelidir.

Arka plan modunu bir gözetici altına yığmayın

systemd ve benzeri gözeticiler başlattıkları sürece sahip olmayı bekler, bu yüzden dışarı ayrılan istemci onları şaşırtır. Gözetici başlatıcının çıktığını görür ama gerçek bağlantı yaşamaya devam eder, bu yüzden yeniden başlatma mantığı, durum raporlaması ve durdurma zaman aşımları artık doğru olmayan bir şeyi anlatır. Birimi desteklenen ön plan düzeninde yazın ve daemon işini gözeticiye bırakın.

--background'i bir kişinin başlatıp sonra gittiği oturumlara ayırın. Gereksinim herhangi biri giriş yapmadan önce var olan bir tünelse, eksik parça onaylanmış etkileşimsiz bir kimlik ve onu yenileme planıdır ve hiçbir komut satırı bayrağı ikisini de vermez. Bayrağı bir açılış betiğine eklemek, ilk süresi dolmuş kimlik bilgisinde sessizce başarısız olan bir tünel üretir.

Oturum çerezini bir kimlik bilgisi olarak ele alın

OpenConnect --authenticate üzerinden ayrı bir kimlik doğrulama aşaması belgeler ve ortaya çıkan malzeme --cookie-on-stdin ile geri verilebilir. Bu çift entegrasyon işi için vardır ve ürettiği şey onu yaratan parola kadar hassastır.

Değeri kabuk geçmişinden, günlüklerden ve açtığınız her talepten uzak tutun. Devir betiği ayrıca istemcinin çerezle birlikte aldığı doğrulanmış uç nokta bilgisini de korumalıdır; onu kaybederseniz, sonraki bir çalıştırma hiç kimlik doğrulamadığınız bir konağa bağlanabilir ki bu, yalnızca başarısız olan bir bağlantıdan daha kötüdür.

Terminali kapatmadan önce listeyi tamamlayın

Dört şey doğru olmalıdır: etkileşimli giriş ön planda bitti, PID dosyası doğruladığınız bir süreci gösteriyor, gözetici sorusu bir yöne karara bağlandı ve çerezin düz metin dosyası olmayan bir saklama planı var. Dördü de geçerliyse terminalden ayrılmak güvenlidir ve tünel çalışmaya devam eder.

Biri başarısız olursa, diğerlerine dokunmadan önce o maddeyi düzeltin, çünkü kalan kontroller onu telafi edemez. İlk çalıştırmanın ön plan dökümünü de saklayın: tünel bir dahaki sefere uyarı vermeden düştüğünde, ağ geçidi tarafındaki bir değişikliği istemci tarafındakinden ayıran tam o temel çizgidir.