openconnect kann mit -g keine Verbindung zu einer Anyconnect-VPN-Gruppe herstellen

16

Ich benutze openconnect, um eine Verbindung zu einem VPN herzustellen. Beim Starten des Clients als sudo openconnect -v -u anaphory vpn-gw1.somewhere.netkann ich nach Eingabe von GROUP und Passwort eine Verbindung herstellen.

# openconnect -v -u anaphory vpn-gw1.somewhere.net
[…]
XML POST enabled
Please enter your username and password.
GROUP: [Anyconnect-VPN|CLUSTER-DLCE|Clientless]:CLUSTER-DLCE
POST https://vpn-gw1.somewhere.net
Got HTTP response: HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
[…]

Wenn ich jedoch denselben Gruppennamen in der Befehlszeile eingebe, schlägt die Verbindung mit der Meldung "Ungültiger Hosteintrag" fehl.

# openconnect -v -g CLUSTER-DLCE -u anaphory vpn-gw1.somewhere.net
[…]
XML POST enabled
Please enter your username and password.
Password:XML POST enabled
Invalid host entry. Please re-enter.
Failed to obtain WebVPN cookie

Muss ich den Gruppennamen verzaubern oder wie finde ich heraus, wie das funktioniert?

vpn openconnect

— Anaphorie
quelle

Hast du inzwischen eine Lösung gefunden?

— Henrik

Verwandte Fragen openconnect VPN funktioniert im KDE NetworkManager-Widget, jedoch nicht in der Befehlszeile

— user1129682

15

Versuchen Sie es --authgroupstatt-g

openconnect -v --authgroup CLUSTER-DLCE -u anaphory vpn-gw1.somewhere.net

Grüße

— Andy S
quelle

das hat bei mir funktioniert

— Nikolay Dimitrov

@AndyS und @stambata: Vielen Dank für Ihre freundliche Hilfe! Wie kann ich diesen Befehl verwenden, wenn der Gruppenname Leerzeichen zwischen Wörtern enthält, zum Beispiel einen Gruppennamen wie: "tunnel Company XYZ"? Ich kann weder schreiben authgroup=tunnel Company XYZnoch `authgroup =" tunnel Company XYZ ". Weißt du, wie man das löst?

— Dave

@AndyS und @stambata: Nur zur zusätzlichen Information werden die Gruppennamen in der Benutzereingabeaufforderung folgendermaßen angegeben: GROUP: [tunnel Company XYZ|tunnel all]:- Wie kann ich dies in den openconnect-Befehl eingeben?

— Dave

1

Tatsächlich führt die von user2000606 nicht gegebene Antwort zum Erfolg.

Die an den ASA gesendeten HTTP-Nachrichten unterscheiden sich, je nachdem, wie Sie eine Gruppe auswählen, und VPN-Gateways können diesbezüglich wählerisch sein.

Dies ist mein grundlegender Aufruf an openconnect

openconnect -v --printcookie --dump-http-traffic \
 --passwd-on-stdin \
 -u johnsmith \
 vpn.ssl.mydomain.tld

Das Ausgeben dieses Befehls und das Bereitstellen der gewünschten VPN-Gruppe nach Aufforderung führt zu folgendem HTTP-Chat (ich habe nur die scheinbar relevanten Teile der XML-Dokumente eingeschlossen):

[Certificate error, I tell openconnect to continue]
Me >> ASA:  POST / HTTP/1.1
            [...]<group-access>https://vpn.ssl.mydomain.tld</group-access>
ASA << ME:  HTTP/1.1 200 OK
Me >> ASA:  POST / HTTP/1.1
            [...]<group-access>https://vpn.ssl.mydomain.tld/</group-access><group-select>AnyConnect-MyGroup</group-select>
ASA << ME:  HTTP/1.1 200 OK
Me >> ASA:  POST / HTTP/1.1
            [...]<auth><username>johnsmith</username><password>secret</password></auth><group-select>AnyConnect-MyGroup</group-select>
ASA << ME:  HTTP/1.1 200 OK

Beachten Sie die group-select-groups und dass alle Anforderungen sind POST / HTTP/1.1. Das gleiche Ergebnis wird --authgroup AnyConnect-MyGroupmit dem Basisaufruf an erzielt openconnect.

Bei der Verwendung passiert -g AnyConnect-MyGroupanstelle von --authgroup AnyConnect-MyGroup:

Me >> ASA:  POST /AnyConnect-MyGroup HTTP/1.1
            [...]<group-access>https://vpn.ssl.mydomain.tld/AnyConnect-MyGroup</group-access>
ASA << ME:  HTTP/1.1 200 OK
            [...] <error id="91" param1="" param2="">Invalid host entry. Please re-enter.</error>

Beachten Sie, dass wir diesmal den Server nicht informieren, group-selectsondern einfach unseren Gruppennamen mit group-accessund die HTTP-Anfrage eingeben. Das gleiche negative Ergebnis wird hervorgerufen, wenn der Gruppenname zur Gateway-Adresse hinzugefügt wird, dh vpn.ssl.mydomain.tld/AnyConnect-MyGroupals letzte Zeile des Basisaufrufs verwendet wird openconnect.

— user1129682
quelle