OpenConnect
OpenConnect پیاده‌سازی باز پروتکل Cisco AnyConnect است. اینباند OpenConnect شبیه HTTPS معمولی روی پورت ۴۴۳ دیده می‌شود و کاربران با نام و رمز خودشان در Cisco Secure Client (برنامه‌ای که قبلاً AnyConnect نام داشت) یا یکی از برنامه‌های OpenConnect وارد می‌شوند. این صفحه ساخت اینباند، تنظیمات، گزینه‌های گواهی و کار کاربر را پوشش می‌دهد.
به چه کاری می‌آید
- شبکه‌هایی که OpenVPN را می‌بندند ولی HTTPS را رد می‌کنند.
- مشتری‌هایی که برنامهٔ سیسکو را می‌شناسند و فقط می‌خواهند یک آدرس و رمز بزنند.
- جایی که می‌خواهید سرور به اسکنرها فقط یک پیام رد ساده بدهد. پایین‌تر استتار را ببینید.
ساخت اینباند
- وارد اینباندها شوید و اینباند جدید را بزنید.
- در پروتکل، OpenConnect را انتخاب کنید. پروتکل بعد از ساخت قابل تغییر نیست.
- یک نام بدهید و اگر پورت ۴۴۳ روی نودی که اینباند را به آن وصل می‌کنید آزاد است نگهش دارید. شبکه تونل را تعیین کنید. گواهی می‌تواند روی خودکار (هنگام اتصال به نود انتخاب می‌شود) بماند.
- ساخت را بزنید. اینباند در بدون نود ذخیره می‌شود و هنوز اجرا نمی‌شود.
- در نودها روی کارت نود مقصد اتصال اینباند را بزنید و اینباند را انتخاب کنید.
بررسی‌ها هنگام اتصال انجام می‌شوند: پورت، هم‌پوشانی شبکهٔ تونل، نصب بودن OpenConnect و گواهی. اگر بررسی ناموفق باشد چیزی تغییر نمی‌کند و پنجره دلیل را نشان می‌دهد. ساخت یا ویرایش اینباند هیچ‌کدام از این‌ها را بررسی نمی‌کند.
برای استفاده از OpenConnect روی خود سرور پنل، در نودها روی کارت همین سرور دکمهٔ نصب OpenConnect را بزنید و صبر کنید تمام شود، بعد اینباند را وصل کنید. هر نود دیگر وقتی اولین اینباند OpenConnect به آن وصل شود خودش OpenConnect را نصب می‌کند.
نسخهٔ نود
نود برای اجرای OpenConnect به اویرا ۰٫۶٫۰ یا جدیدتر نیاز دارد. صفحهٔ نودها نسخهٔ OpenConnect هر نود را نشان می‌دهد، یا اینکه نصب نیست. تا وقتی اینباند OpenConnect وجود دارد، اویرا نصب نسخهٔ قدیمی‌تر را رد می‌کند.
تنظیمات
| فیلد | کاربرد |
|---|---|
| DTLS (روی UDP) برای سرعت بیشتر | به‌طور پیش‌فرض روشن. روی همان شمارهٔ پورت UDP هم باز می‌شود. اگر UDP بسته باشد برنامه به TCP برمی‌گردد. |
| سازگاری با برنامهٔ سیسکو | به‌طور پیش‌فرض روشن. برای Cisco Secure Client روشن بماند. |
| استتار (Camouflage) | به‌طور پیش‌فرض روشن. فقط آدرسی که کلید مخفی دارد (https://host:443/?secret) به صفحهٔ ورود VPN می‌رسد. هر درخواست دیگر یک رد ساده می‌بیند. به ocserv نسخهٔ ۱٫۲٫۰ یا بالاتر نیاز دارد؛ روی نسخه‌های قدیمی‌تر گزینه خاکستری است و نسخهٔ پیداشده را نشان می‌دهد. |
| کلید مخفی استتار | بخشی از آدرسی که به کاربران می‌دهید. با تغییرش باید آدرس جدید را برایشان بفرستید. کلید جدید یکی می‌سازد. |
| متن استتار | چیزی که مرورگر هنگام باز کردن آدرس بدون کلید مخفی می‌بیند. پیش‌فرض «Restricted Content». |
| مهلت بی‌فعالیتی، مهلت بی‌فعالیتی (موبایل) | یک نشست بی‌کار چقدر باز می‌ماند. پیش‌فرض ۱۲۰۰ و ۲۴۰۰ ثانیه. |
| تشخیص قطع اتصال، تشخیص قطع اتصال (موبایل) | چند ثانیه سکوت تا کاربر قطع شود. پیش‌فرض ۹۰ و ۱۸۰۰. |
| مهلت ازسرگیری نشست | کاربر تا این مدت می‌تواند بدون ورود دوباره وصل شود. پیش‌فرض ۳۰۰ ثانیه. کوتاه نگهش دارید تا کاربر مسدودشده نتواند ادامه بدهد. |
| اولویت‌های TLS | یک رشتهٔ اولویت GnuTLS. اگر لازم نمی‌دانید دست نزنید. |
| پروتکل PROXY | فقط برای رله‌ای که جلوی اینباند است و سرآیند PROXY می‌فرستد. |
| دستورهای اضافهٔ ocserv | دستورهایی که اسکریپت اجرا می‌کنند، ورود را عوض می‌کنند یا فایل می‌نویسند پذیرفته نمی‌شوند. |
DNS، مسیرها، NAT، IPv6، حداکثر کاربر متصل، شبکه تونل و آدرس عمومی جایگزین مثل OpenVPN کار می‌کنند. گزینه‌های مخصوص OpenVPN مثل رمزها و tls-crypt پنهان‌اند.
کاربران با نام و رمز خودشان وارد می‌شوند. برای ورود از گواهی استفاده نمی‌شود.
گواهی
OpenConnect همیشه از TLS استفاده می‌کند، پس برنامه گواهی سرور را بررسی می‌کند. یک منبع را زیر گواهی انتخاب کنید، یا روی خودکار بگذارید تا نود هنگام اتصال اینباند انتخاب کند.
| منبع | کجا در دسترس است | کاربر چه می‌بیند |
|---|---|---|
| گواهی اویرا (خودامضا) | هر نود | همه‌جا کار می‌کند. برنامهٔ سیسکو هشدار «سرور نامعتبر» نشان می‌دهد. کاربر می‌تواند به‌جایش اثرانگشت گواهی را که در صفحهٔ خودش است مقایسه کند. |
| گواهی پنل (معتبر) | همین سرور | بدون هشدار، چون گواهی Let's Encrypt خود پنل است. پنل باید HTTPS داشته باشد (HTTPS پنل را ببینید) و کاربر باید به همان دامنه یا آدرسی وصل شود که گواهی برایش صادر شده. |
| معتبر (Let's Encrypt، توسط نود) | نودهای دیگر | بدون هشدار. نود برای آی‌پی خودش یا یک نام دامنه گواهی رایگان می‌گیرد. کاربر باید به همان نام یا آدرس وصل شود. |
در دسترس بودن گواهی هنگام اتصال اینباند بررسی می‌شود. وقتی پنل گواهی‌اش را تمدید می‌کند یا با ovira ssl issue گواهی تازه می‌گیرید، اینباندهای OpenConnect که از آن استفاده می‌کنند خودشان آن را دوباره بار می‌کنند و کاربران وصل‌شده وصل می‌مانند.
گواهی معتبر روی نود
معتبر (Let's Encrypt، توسط نود) را انتخاب کنید و نام گواهی را پر کنید:
- یک نام دامنه مثل
vpn.example.com. باید از قبل با رکوردAبه نود اشاره کند. Let's Encrypt آن را از بیرون بررسی می‌کند، پس نامی که جای دیگری اشاره می‌کند صادر نمی‌شود. گواهی یک نام حدود ۹۰ روز اعتبار دارد. - خالی، برای گواهی روی آی‌پی نود. وقتی کار می‌کند که نود را با آی‌پی به پنل اضافه کرده باشید. چنین گواهی‌هایی کوتاه‌مدت‌اند، حدود شش روز، و هر چند روز خودکار تمدید می‌شوند.
نود، نه پنل، از Let's Encrypt گواهی می‌گیرد، چون Let's Encrypt باید به دستگاهی برسد که کاربران به آن وصل می‌شوند. نود گواهی‌هایش را در پوشهٔ دادهٔ خودش نگه می‌دارد، خیلی پیش از پایان اعتبار تمدیدشان می‌کند، اگر تمدید ناموفق بود با فاصلهٔ فزاینده دوباره تلاش می‌کند و سرور را بدون قطع کسی دوباره بار می‌کند.
پورت ۸۰ روی نود
Let's Encrypt روی پورت ۸۰ (TCP) اعتبارسنجی می‌کند. نود این پورت را فقط در زمان اعتبارسنجی در فایروال خودش باز می‌کند. پورت ۸۰ را روی نود آزاد نگه دارید و در فایروال ابری هم برای گواهی اول و هر تمدید باز بگذارید.
اگر پورت ۸۰ گرفته باشد، نود می‌تواند از TCP ۴۴۳ استفاده کند، ولی فقط تا وقتی سرور OpenConnect هنوز روی آن راه نیفتاده. اگر هیچ‌کدام ممکن نباشد، اینباند گواهی اویرا را ارائه می‌دهد و صفحهٔ اینباندها دلیل را نشان می‌دهد.
صفحهٔ اینباندها گواهی هر اینباند را نشان می‌دهد: نام، تاریخ انقضا و مشکل احتمالی. تا وقتی گواهی معتبر در دسترس نیست، اینباند گواهی اویرا را ارائه می‌دهد و صفحه همین را می‌گوید. کاربر در این حالت به‌جای آدرس معتبر اثرانگشت را می‌بیند.
رله‌ها
گواهی معتبر متعلق به نام یا آدرس نود است. کاربری که از طریق آدرس رله وصل شود نام دیگری می‌بیند و سیسکو ناهمخوانی نام نشان می‌دهد. در صفحهٔ اشتراک فقط آدرس‌هایی که با نام گواهی برابرند «معتبر» علامت می‌خورند. برای رله‌ها در برنامهٔ OpenConnect از اثرانگشت استفاده کنید، یا از گواهی اویرا. گواهی Let's Encrypt در هر تمدید کلید تازه می‌گیرد، پس اثرانگشتش هر بار عوض می‌شود.
کاربر چه کار می‌کند
تب Cisco در صفحهٔ اشتراک کاربر این‌ها را نشان می‌دهد:
- آدرس سرور، با دکمهٔ کپی و گزینهٔ نمایش کد QR؛
- نام کاربری و رمز کاربر؛
- پیوند برنامه‌ها برای دستگاه او؛
- زیر پیشرفته: اثرانگشت گواهی، اثرانگشت، فقط برای آدرس‌هایی که گواهی معتبر ندارند.
در برنامه:
- Cisco Secure Client (اندروید، iPhone و iPad، ویندوز، macOS) یا یک برنامهٔ OpenConnect را نصب کنید: OpenConnect برای اندروید، OpenConnect-GUI برای ویندوز، و
openconnectبرای لینوکس و macOS. برنامه‌های کاربران را ببینید. - یک اتصال جدید با آدرس سرور صفحه اضافه کنید.
- با نام کاربری و رمز وارد شوید.
با گواهی معتبر برنامه بدون هشدار وصل می‌شود. با گواهی خودامضای اویرا، Cisco Secure Client باید گزینهٔ Block untrusted servers را در تنظیماتش خاموش داشته باشد تا وصل شود. برنامه‌های OpenConnect از شما می‌خواهند گواهی را بپذیرید و می‌توانید اول اثرانگشت را مقایسه کنید.
در سمت مدیر، صفحهٔ هر کاربر به‌جای دانلود پروفایل، اینباندهای OpenConnect او را با آدرس و اثرانگشت فهرست می‌کند.
چه کارهایی از آن برنمی‌آید
- گواهی کاربر را نمی‌پذیرد. ورود همیشه با نام و رمز است.
- روی یک نود نمی‌تواند TCP پورت ۴۴۳ را با یک اینباند OpenVPN شریک شود. برای یکی‌شان پورت دیگری بگذارید.
- گواهی معتبر نمی‌تواند آدرس رله را پوشش دهد.
- استتار با
ocservقدیمی‌تر از ۱٫۲٫۰ کار نمی‌کند.
صفحه‌های مرتبط
- انتخاب پروتکل: چه وقت OpenConnect انتخاب درست است.
- برنامه‌های کاربران: برنامه‌های سیسکو و OpenConnect برای هر سیستم‌عامل.
- رله‌ها و آدرس‌های اتصال: چرا رله نام گواهی را عوض می‌کند.
- عیب‌یابی: هشدار سرور نامعتبر و گواهی‌ای که صادر نمی‌شود.