openconnect

[Le ecureuil]

42 минуты назад, beh01d сказал:

Пишу в личку.

Баг был уже исправлен в upstream: https://gitlab.com/openconnect/openconnect/-/commit/82c73c5e5fbd5add10a85ac7e5148c21d2bf591a
Занес фикс к нам, в следующих версиях 4.3 и 5.0 будет работать.

[beh01d]

30 минут назад, Le ecureuil сказал:

Баг был уже исправлен в upstream: https://gitlab.com/openconnect/openconnect/-/commit/82c73c5e5fbd5add10a85ac7e5148c21d2bf591a
Занес фикс к нам, в следующих версиях 4.3 и 5.0 будет работать.

Благодарю вас!

[Tdva]

Здравствуйте! Может тут уже обсуждали ранее, но не нашел ответа. Можно ли на 1810 ultra с установленные и корректно-работающим приложением openconnect-server, сделать авторизацию пользоваиеля по сертификату из CiscoAnyConnect? Сейчас в клиентской CiscoAnyConnect приходиться вводить логин и пароль пользователя keenetic для подключения. С логином и паролем все подключается и работает.  Ставить openconnect на wrt не буду. Через cli кинетика не нашел нужных настроек в ocserver.

[Cherdenko]

А когда добавят возможность использовать файл сертификата при подключении к anyconnect ?

[qmxocynjca]

Словил в клиенте OpenConnect какое-то перманентное кэширование IP зарезолвленного домена.

После перезагрузки роутера-сервера, он прописался у меня в xxx.keenetic.link на серый IP от другого провайдера, а потом в течение часа вернулся обратно на правильный статический публичный IP. Это я сам игрался с порядком провайдеров, так что ситуация рядовая.

Клиент же, после разрыва, зарезолвил хост только один раз на серый IP и постоянно стал его использовать (около 20 часов подряд), без попыток зарезолвить его опять, когда домен уже указывал на другой IP.

После ручного выкл-вкл OC-интерфейса на клиенте, всё сразу завелось. Я уже начал грешить что с мобильного оператора и это прикрыли.

То ли OpenConnect не резолвит домен повторно по истечении TTL домена, то ли DNS-кэширование чудит. Судя по nslookup -debug у домена TTL 5 минут.

Сервер 5.0A8, клиент 4.3.4. На клиенте провайдерные DNS активны, плюс используется публичный DNS-резолвер "Yandex.DNS - Базовый".

cc @Le ecureuil

Изменено 21 июля пользователем qmxocynjca

[Le ecureuil]

13 часов назад, qmxocynjca сказал:

Словил в клиенте OpenConnect какое-то перманентное кэширование IP зарезолвленного домена.

После перезагрузки роутера-сервера, он прописался у меня в xxx.keenetic.link на серый IP от другого провайдера, а потом в течение часа вернулся обратно на правильный статический публичный IP. Это я сам игрался с порядком провайдеров, так что ситуация рядовая.

Клиент же, после разрыва, зарезолвил хост только один раз на серый IP и постоянно стал его использовать (около 20 часов подряд), без попыток зарезолвить его опять, когда домен уже указывал на другой IP.

После ручного выкл-вкл OC-интерфейса на клиенте, всё сразу завелось. Я уже начал грешить что с мобильного оператора и это прикрыли.

То ли OpenConnect не резолвит домен повторно по истечении TTL домена, то ли DNS-кэширование чудит. Судя по nslookup -debug у домена TTL 5 минут.

Сервер 5.0A8, клиент 4.3.4. На клиенте провайдерные DNS активны, плюс используется публичный DNS-резолвер "Yandex.DNS - Базовый".

cc @Le ecureuil

Нужно бы interface OpenConnect debug в этот момент, и лог.

[Le ecureuil]

Сертификатов пока не ожидается.

[qmxocynjca]

2 часа назад, Le ecureuil сказал:

Нужно бы interface OpenConnect debug в этот момент, и лог.

Отправил скрытым сообщением.

[Le ecureuil]

3 часа назад, qmxocynjca сказал:

Отправил скрытым сообщением.

Спасибо за репорт, да, понятно откуда это берется. Поправлю.

[Le ecureuil]

Исправление появится в следующем выпуске 5.0.

[qmxocynjca]

Задал вручную белый IP сервера через ip host на клиенте, но OC-клиент всё равно ходит на зарезолвленный через публичный DNS адрес. Ребутнул клиента, всё равно значение из ip host игнорируется.

self-test следующим сообщением. Возможно это связано с предыдущей проблемой и она уже автоматически пофикшена, но всё же.

upd: в 5.0a9 починилось.

Изменено Воскресенье в 11:22 пользователем qmxocynjca

[Le ecureuil]

В 26.07.2025 в 10:37, qmxocynjca сказал:

Задал вручную белый IP сервера через ip host на клиенте, но OC-клиент всё равно ходит на зарезолвленный через публичный DNS адрес. Ребутнул клиента, всё равно значение из ip host игнорируется.

self-test следующим сообщением. Возможно это связано с предыдущей проблемой и она уже автоматически пофикшена, но всё же.

upd: в 5.0a9 починилось.

Да, это исправлено в последних версиях 5.0, до этого всегда лезло в DNS-серверы.

[daffix]

Здравствуйте. 

На Keenetic настроен OpenConnect - Server, все прекрасно работает при подключении с любы внешних устройв, ходит по локальной сети и выходит в интернет.

Но на некоторые локальные адреса не могу зайти при подключении через OpenConnect, уже всю голову сломал и в логах ничего не пишет, просто соединение разрывается.

Потом обратил внимание что на все эти ip адреса/хосты, настроен доступ через доменное имя (скрин.шот приложил если вдруг не понятно разьясняюсь).

Как можно решить эту проблему? Если подключится к примеру через WireGuard то все прекрасно работает, доступ к этим хостам по ip есть.

Keenetic Ultra (KN-1810)

Версия ОС 4.5.3

Канал обновления Основной

Так же настроен Entware и XKeen (если вдруг эта информация как-то поможет).

 

[Le ecureuil]

2 часа назад, daffix сказал:

Здравствуйте. 

На Keenetic настроен OpenConnect - Server, все прекрасно работает при подключении с любы внешних устройв, ходит по локальной сети и выходит в интернет.

Но на некоторые локальные адреса не могу зайти при подключении через OpenConnect, уже всю голову сломал и в логах ничего не пишет, просто соединение разрывается.

Потом обратил внимание что на все эти ip адреса/хосты, настроен доступ через доменное имя (скрин.шот приложил если вдруг не понятно разьясняюсь).

Как можно решить эту проблему? Если подключится к примеру через WireGuard то все прекрасно работает, доступ к этим хостам по ip есть.

Keenetic Ultra (KN-1810)

Версия ОС 4.5.3

Канал обновления Основной

Так же настроен Entware и XKeen (если вдруг эта информация как-то поможет).

 

Только на IP-адреса пытаетесь зайти, или по доменным именам?

[daffix]

15 часов назад, Le ecureuil сказал:

Только на IP-адреса пытаетесь зайти, или по доменным именам?

По IP адресам, там в некоторых случаях на одном хосте/ip работает несколько сервисов привязанные к разным доменам. 

По доменам все работает, только что проверил. 

Я так понимаю домены работают через прокси, может быть в этом причина, но как это решить ума не приложу. 

Изменено 5 часов назад пользователем daffix