Báwo ni OpenConnect ṣe yí kúkì ìwọlé padà sí túnẹ́lì?

OpenConnect so ìpààrọ̀ méjì tí ó yàtọ̀ pọ̀ pẹ̀lú iye kan tí kò pẹ́ tó: ìwọlé wẹ́ẹ̀bù àti túnẹ́lì VPN. Ìpààrọ̀ àkọ́kọ́ ni HTTPS lasan: àwọn ẹ̀rí, ìrìn SAML tàbí tọ́kẹ̀nì lọ sí ẹnubodè, ìdáhùn sì gbé kúkì ìjẹ́rìí. Ìpààrọ̀ kejì fi kúkì yẹn hàn sí ẹnubodè kan náà gẹ́gẹ́ bí ẹ̀rí pé ìpele wẹ́ẹ̀bù ti ṣẹlẹ̀ tẹ́lẹ̀, àti nígbà náà ni túnẹ́lì náà fi gòkè wá.

Ní àkókò ìwọlé, kò sí ohunkóhun nípa túnẹ́lì tí wọ́n ń dúnàádúrà. Èyí ni apá tí ó yẹ kí a yé, nítorí ọ̀pọ̀ jùlọ àṣìṣe sìkírìpùtì ro pé kúkì ni ọ̀rọ̀ ìkọ̀kọ̀ tí a ó tọ́jú, tàbí kọ́kọ́rọ́ tí ń dáàbò bo ìṣàn, nígbà tí ó jẹ́ tikẹ́ẹ̀tì olùgbé fún ìpàdé ẹnubodè pàtó kan.

Ohun tí alátìlẹ́yìn àti ẹnubodè ń pààrọ̀, ní ìtẹ̀léntẹ̀lé

Ìpele ìjẹ́rìí dà bí ojú-ìwé wẹ́ẹ̀bù ààbò lasan. OpenConnect fi ẹ̀rí olùlò ránṣẹ́, tàbí ó tẹ̀lé ìdarí ẹnubodè lọ sí olùpèsè ìdánimọ̀, ẹnubodè sì dáhùn pẹ̀lú ìwé tí ó kó kúkì ìjẹ́rìí sínú. Nínú ìlànà AnyConnect, iye yẹn máa ń rìn nínú àkọlé kúkì nínú àwọn ìbéèrè tí ó tẹ̀lé, ní ọ̀pọ̀ ìgbà lábẹ́ orúkọ bí webvpn, ìwé ìtọ́nisọ́nà sì ka á sí ẹ̀rí tí ń gbé ìpàdé lọ síwájú.

Ìpele kejì ni ìbéèrè CONNECT sí ibi ìparí VPN ti ẹnubodè pẹ̀lú kúkì yẹn tí a so mọ́. Ẹnubodè yẹ̀wò ó, ó yàn àdírẹ́sì kan, alátìlẹ́yìn sì bẹ̀rẹ̀ CSTP lórí TLS, DTLS sì jẹ́ ọ̀nà dátà yára tí ó jẹ́ àṣàyàn nígbà tí ìpàdé ti wà. Ní àkókò yìí nìkan ni a fi ẹ̀tọ́ túnẹ́lì, àwọn ọ̀nà, ètò DNS àti kọ́kọ́rọ́ ìṣàn ìpàdé náà kalẹ̀. Kúkì náà gbà alátìlẹ́yìn kọjá ẹnu-ọ̀nà; kò ṣe àṣírí ohunkóhun.

Ìtẹ̀léntẹ̀lé yìí ni ó ṣàlàyé ìdí tí openconnect --authenticate fi wà. Ṣe é, yóò ṣe ìpele wẹ́ẹ̀bù, yóò tẹ̀ jáde bulọ́kì kékeré ti àwọn àyípadà shell bí COOKIE, HOST, CONNECT_URL àti FINGERPRINT, yóò sì jáde kí a tó kọ́ túnẹ́lì kankan. Lẹ́yìn náà sìkírìpùtì ìdìbò lè bẹ̀rẹ̀ ìsopọ̀ gidi pẹ̀lú àwọn iye yẹn, àti pé ìyẹn ni pípín tí ìfilọ́lẹ̀ tí kò ní orí tàbí ti kọ́ńtéènà méjì nílò.

Kúkì ni olùgbé ìpàdé, kì í ṣe kọ́kọ́rọ́

Bá iye náà lò bí ìwọ yóò ṣe bá ìdánimọ̀ ìpàdé lò nínú ètò wẹ́ẹ̀bù. Ẹnikẹ́ni tí ó bá ní í ní àkókò ìgbésí ayé rẹ̀ lè béèrè túnẹ́lì tí ìpàdé yẹn yẹ láti ọ̀dọ̀ ẹnubodè, nítorí náà àṣírí rẹ̀ ṣe pàtàkì. Ṣùgbọ́n dàákọ rẹ̀ kò fi ìṣàn hàn, nítorí àṣírí túnẹ́lì wá láti ìfọwọ́sowọ́pọ̀ TLS àti àwọn kọ́kọ́rọ́ tí a yọ jáde, kì í ṣe láti okùn kúkì náà.

Kì í sì í ṣe àṣẹ àìnípẹ̀kun. Ẹnubodè àti olùpèsè ìdánimọ̀ ni ó ń pinnu ìgbà tí ìpàdé yóò gbé, bẹ́ẹ̀ ni aṣàwákiri tí ó ṣì ń fi ojú-ìwé tí a ti wọlé hàn kò sọ ohunkóhun nípa bóyá ìpàdé túnẹ́lì ṣì wúlò. Àtúnṣopọ̀ lẹ́yìn ìparí ìgbà túmọ̀ sí àtúnṣe ìpele wẹ́ẹ̀bù àti ṣíṣe kúkì tuntun, ìyẹn sì ni èròngbà àtúnjẹ́rìí, kì í ṣe ìyọnu tí a ó fi ẹ̀rọ yẹ̀ sí.

Má ṣe ka kúkì sí àropo gbogboayé fún àwọn ẹ̀rí mìíràn. Ìmúdájú SAML, ọ̀rọ̀ ìkọ̀kọ̀ aṣàwákiri àti kúkì tí iṣẹ́ mìíràn ti gbé jáde jẹ́ ohun tí ó yàtọ̀ pẹ̀lú olùgbọ́ tí ó yàtọ̀, ìlẹ̀ mọ́ra wọn sínú pápá ẹ̀kejì máa ń kùnà ní ẹnubodè tàbí, bí ó bá burú jù, máa ń ṣàṣeyọrí lòdì sí ààlà ìgbẹ́kẹ̀lé tí kò tọ́.

Fífi kúkì lọ láìfi àwọn ẹ̀dà sílẹ̀

Ìfilọ́lẹ̀ ẹ̀rọ tí ó ní ààbò jùlọ lórí Linux ni ìwọlé àkọ́sọ̀tọ̀. --cookie-on-stdin ka iye náà láti stdin, nítorí náà kúkì kò ní hàn nínú àkọsílẹ̀ àríyànjiyàn ìlànà, níbi tí olùlò àdúgbò kankan ti lè kà á pẹ̀lú ps. Páípù tí ó ń jẹ́rìí nínú ìlànà kan tí ó sì ń fún túnẹ́lì ní oúnjẹ nínú òmíràn ń pa iye náà mọ́ nínú páípù dípò nínú fáìlì tàbí àyípadà àyíká.

Àríyànjiyàn àti àwọn àyípadà àyíká kò lágbára tó fún àwọn ìdí tí ó yàtọ̀. Àríyànjiyàn máa ń hàn nínú tábìlì ìlànà ní gbogbo ìgbésí ayé alátìlẹ́yìn, ó sì máa ń wọ inú ìtàn shell. Àyípadà àyíká ni a máa ń jogún fún àwọn ìlànà ọmọ, systemd unit tí ó ń ṣètò rẹ̀ nínú fáìlì unit sì ń tọ́jú àṣírí náà nínú ìṣètò tí a lè kà. Bí fáìlì bá ṣe pàtàkì, fi ìpamọ́ sí àkọsílẹ̀ iṣẹ́, kí o sì pa á rẹ́ nígbà tí ìpàdé bá parí.

Pa ààlà àǹfààní mọ́ pẹ̀lú ìmọ̀. Ìlànà tí ó ń bá olùpèsè ìdánimọ̀ sọ̀rọ̀ tí ó sì lè ṣí aṣàwákiri gbọ́dọ̀ ṣiṣẹ́ gẹ́gẹ́ bí olùlò tí ó ni ìwọlé yẹn. Ìlànà tí ó ń ṣètò àwọn ọ̀nà, DNS àti ẹ̀rọ túnẹ́lì lè nílò àǹfààní púpọ̀ sí i. Ṣíṣe gbogbo aṣàwákiri gẹ́gẹ́ bí root kí kúkì rẹ̀ lè wà fún túnẹ́lì tí root ní jẹ́ pàṣípààrọ̀ tí kò tọ́, àwọn ìṣètò OpenConnect òde òní sì lè fi iye náà kọjá ààlà yẹn ní àfihàn.

Ìkọsílẹ̀ náà tún yẹ ìyèméjì kan náà. Àbájáde alátìlẹ́yìn tí ó kún, àwọn sìkírìpùtì olùrànlọ́wọ́ àti àyẹ̀wò ẹnubodè lè tún ohun èlò ìbéèrè sọ, kì í sì í ṣe gbogbo ìpele ìkọsílẹ̀ ni ó fi kúkì pa mọ́. Gba àkọsílẹ̀ àṣìṣe tí ó kéré jùlọ tí o nílò, pa á mọ́ kúrò nínú àwọn ọ̀nà tí a pín, kí o sì yẹ̀wò àpẹẹrẹ tí a fi pa mọ́ kí o tó so ó mọ́ tikẹ́ẹ̀tì.

Ìjẹ́rìí àti ìparí ìgbà ní ìpele kejì

Ìpele kejì ṣì gbọ́dọ̀ jẹ́rìí olùpín. FINGERPRINT tí --authenticate ń tẹ̀ jáde ni ìdáná ìwé-ẹ̀rí ní ìrísí pin-sha256:, fífi í fún ìpè túnẹ́lì pẹ̀lú --servercert sì ń pa ìyẹ̀wò mọ́ sí ẹnubodè tí ìwọ ti jẹ́rìí sí. Pípa ìyẹ̀wò ìwé-ẹ̀rí kúrò láti mú sìkírìpùtì rọrùn yóò mú ẹ̀rí kan ṣoṣo tí ó fi hàn pé a ń fi kúkì fún olùgbàlejò tí a pète kúrò.

Nígbà tí ẹnubodè bá kọ̀ kúkì, ojútùú ni ìyí ìjẹ́rìí tuntun, kì í ṣe káṣì tí ó gùn. Tọ́jú kúkì fún ìgbésí ayé ìsopọ̀ nìkan, pa àwọn fáìlì ìgbà díẹ̀ rẹ́ nígbà ìjáde, kí o sì lo ìlànà yíyọ ìpàdé ti olùpèsè ìdánimọ̀ tàbí ti ẹnubodè nígbà tí ìpàdé bá hàn tàbí ẹ̀rọ bá sọnù. Kúkì tí a fi pamọ́ nínú káṣì kì í ṣe ìyọkúrò kúrò nínú MFA.

Kí o tó ṣe èyí lẹ́ẹ̀kọ́, yẹ̀wò ohun mẹ́rin: túnẹ́lì ń ṣiṣẹ́ lábẹ́ àkọsílẹ̀ tí ó tọ́, kúkì ń wá nípasẹ̀ stdin, ìtẹ̀ka ọwọ́ ìwé-ẹ̀rí ti di ìdáná, ìpàdé sì di fífi sílẹ̀ nígbà tí túnẹ́lì bá ti. Bí ọ̀kan nínú wọn kò bá sí, ìṣètò aládàáṣe ti mú ìgbẹ́kẹ̀lé nínú kúkì gbòòrò sí i dípò kí ó tún ìṣàn ọwọ́ ṣe.