Sertifikat almashtirilgandan keyin OpenConnect nega shlyuzni rad etadi?

Shlyuzlar sertifikatlarni almashtiradi, kechagi ulangan mijoz esa birinchi TLS almashinuvida to'xtay boshlaydi. Xabar tarmoq nosozligi emas, tekshiruv sababini aytadi, va mashinaning o'zi o'zgarmagan, bu foydali belgi. Buzilgan narsa hozir taqdim etilayotgan sertifikat bilan mijoz ko'rib chiqishga tayyor ildizlar orasidagi munosabatdir. Buni tuzatish ishonch qarori, shuning uchun variant yozishdan oldin o'sha qarorni qabul qiling.

Har qanday ishonch sozlamasini o'zgartirishdan oldin xatoni o'qing

Imzolovchi yo'q turidagi xato zanjir mijoz qabul qilmaydigan narsada tugashini bildiradi. Bu ichki organning yangilangan sertifikati, ommaviy organning almashtiruvi yoki o'rtadagi qurilma o'z sertifikatini taqdim etishi bo'lishi mumkin. Faqat so'z tuzilishi bu holatlarni ajrata olmaydi, shuning uchun qaror qabul qilishdan oldin beruvchiga qarang.

Ulanishni bir marta oldingi planda ishga tushiring va muvaffaqiyatsiz bo'lishiga yo'l qo'ying, chunki interaktiv chiqish server nomi, beruvchilar zanjiri va mijoz hisoblagan barmoq izini olib yuradi. O'sha beruvchini tashkilotingiz haqiqatan boshqaradigan organ bilan solishtiring. Agar barmoq izi o'zgargan bo'lsa-yu, beruvchi o'zgarmagan bo'lsa, siz allaqachon ishonadigan kanal orqali yangilanish tasdiqlanmaguncha buni shubhali deb biling. Bu paytda taxmin qilish odamning oxir-oqibat oraga kiruvchining kalitini mahkamlashiga olib boradigan yo'ldir.

Mijoz versiyasini o'sha yozuvga yozib qo'ying. Ishonch muammosiga o'xshab ko'rinadigan nosozliklarning katta qismi eski mijozning yangiroq shlyuz almashinuviga duch kelishidan keladi.

Beruvchiga ishonish va bitta kalitni mahkamlash orasida tanlang

Ikkala variant ham ulanishni muvaffaqiyatli qiladi. Ular keyinchalik qarama-qarshi yo'llar bilan buziladi, shuning uchun tanlov siz toqat qila oladigan nosozlikka tegishli.

Sertifikat mustaqil tekshira oladigan organdan kelsa, CA fayliga murojaat qiling, chunki yangilanishlar keyin mijoz argumentlariga tegmasdan ishlayveradi. Uni tizim ildizlarini o'chiruvchi kalit bilan juftlang, aks holda ommaviy organ tekshiruvni sizning nomingizdan bajarishi mumkin. Buning o'rniga shlyuzda olish mumkin bo'lgan CA bo'lmasa yoki maqsad imkon qadar tor istisno bo'lsa, mahkamlang. Hech bir yo'l mavhum ma'noda xavfsizroq emas: CA yangilanishlar bo'ylab kengayadi, mahkamlashni ko'rib chiqish osonroq.

Qaysinisini tanlasangiz ham, ishonchli qiymat o'zgarish yuz berishidan oldin ishonchli bo'lgan kanal orqali kelishi kerak. Administrator, shlyuzdagi konsol sessiyasi yoki oldindan olingan nusxa — barchasi mos. So'rov ko'rsatgan har qanday barmoq izini nusxalash qulay va aynan oraga kiruvchi kutgan narsadir.

Qiymatni haqiqatan ishga tushiradigan buyruqqa qo'ying

Mahkamlash server sertifikati variantida boradi va uning prefiksi kodlashni belgilaydi: sha1 yoki sha256 ostida o'n oltilik ochiq kalit daydjestlari, va pin-sha256 ostida base64 kalit mahkamlashi. Uni berish o'sha ishga tushirish uchun tizim ishonchini ham o'chiradi, shuning uchun mahkamlangan kalit butun qarorga aylanadi.

sudo openconnect --protocol=gp vpn.example.com --user alice \
  --servercert pin-sha256:AbCdEf...   # single key pin
sudo openconnect vpn.example.com --cafile /etc/ssl/internal-ca.pem --no-system-trust

Mijoz qisqartirilgan daydjestni moslashtiradi, prefiksdan keyin to'rt belgini ham qabul qiladi, bu qulaylik emas tuzoqdir. Qisqartirilgan qiymat mahalliy ravishda o'tadi va baribir siz nazarda tutgan shlyuzni aniqlamaydi. Xabardan qayta terish o'rniga mijoz birinchi urinishda chop etgan to'liq satrni nusxalang. So'ngra tayyor variantni ulanishni ishga tushiruvchi o'ram skripti, unit fayli yoki profilga ko'chiring, ishonch qarori ko'rib chiqiladigan va keyingi tahrirlar qasddan bo'lsin.

Ish stoli ishga tushirgichlari va NetworkManager plagini ulanish argumentlarining o'z nusxasini saqlaydi. Diskda tahrirlangan skript avval import qilingan profilga yetib bormaydi, shuning uchun saqlangan qiymat yutishda davom etadi.

O'zingizni tashqarida qulflamay almashinuvni boshqaring

Variant bir necha marta berilishi mumkin, shuning uchun rejalashtirilgan o'zgarish chiqayotgan va kirayotgan kalitlarni birga qabul qilishi mumkin. Shlyuz almashishidan oldin yangi mahkamlashni qo'shing, sessiyalar ko'chib o'tayotganda ikkalasini ro'yxatda saqlang, eski kalit yo'qolgach, iste'foga chiqarilganini olib tashlang. Bu oynaga egasi kerak, chunki unutilgan ikkilamchi mahkamlash kalitni hech kim kuzatmasdan ishonchli qoldiradi. Yangi kalit juftligini yaratadigan qayta qurish sof mahkamlashni buzadi, va tiklash qarama-qarshi yo'nalishda xuddi shu tartibdir.

O'zgarish sanasini mahkamlash yoniga yozing. Ko'rib chiqish sanasi bo'lmagan mahkamlash chalkash xato xabarini olib yuradigan kelajakdagi uzilishdir.

Ishonchni tahrirlashdan oldin mijoz versiyasini chiqarib tashlang

Eskirgan mijoz shlyuz keyinroq o'zgartirgan autentifikatsiya javobini tahlil qilishda muvaffaqiyatsiz bo'lishi mumkin, va yuza xabari hali ham tahlilchi emas, ulanish haqida gapiradi. O'rnatilgan versiyani shlyuz hujjatlashtirgan narsa bilan solishtiring va har qanday ishonch sozlamasini o'zgartirishdan oldin joriy paketni bir martalik profilda sinab ko'ring.

openconnect --version

Tuzatishdan keyin bitta emas, ikkita narsani tekshiring: portal tunneldan yuklanadi va oddiy ichki manzil javob beradi. Tugallangan qo'l siqish faqat ishonch qarori qabul qilinganini isbotlaydi.