لماذا يظل OpenVPN يطلب ملف مفتاح خاص عند استخدام رمز

تُدخل الرمز فيُبصره أدات المزوّد نفسها، ومع ذلك يظل عميل VPN يطلب ملف مفتاح خاص. هذا الطلب ليس دليلًا على أن الرمز غير مدعوم. وهو يعني عادةً أن الملف الشخصي لم يخبر العميل قط باستخدام الرمز، فعاد إلى مدخلات الشهادة والمفتاح التي يتوقعها افتراضيًا.

قيمتان منفصلتان يجب أن تكونا صحيحتين قبل أن يتوقف ذلك الرجوع: المزوّد الذي يعرض الرمز، وهوية الشهادة داخله. تُقدَّم القيمتان عبر خيارين مختلفين ويسهل الخلط بينهما.

العميل يطلب ملفًا لأن الملف الشخصي ينص على ذلك

يتوقع الملف الشخصي الافتراضي ملف شهادة وملف مفتاح خاص، أو حزمة PKCS#12 واحدة. وعندما تغيب هذه المدخلات لا يجد العميل ما يحمّله و يتصرف تقريبًا كما لو كان الملف مفقودًا، ولهذا يُقرأ العرَض كمسار معطوب لا كآلية مفقودة. مسار PKCS#11 يستبدل تلك المدخلات بدل أن يضيف إليها، لذلك سيظل الملف الشخصي الذي يذكر ملف مفتاح يستخدم الملف. أزل مدخلات الملف عن قصد ودع الرمز يوفّر الشقين.

خيار المزوّد يسمّي مكتبة وسيطة، لا جهازًا ولا شهادة. وقدرة عميل محزَّم على تحميل تلك المكتبة تعتمد على طريقة بنائه، بما في ذلك دعم p11-kit الاختياري الذي تُفعّله بعض عمليات البناء وتتركه أخرى. ولا يستطيع دليل عام أن يخبرك أي ترتيب لدى حزمتك.

الهوية المتسلسلة قيمة مختلفة

هوية الشهادة سلسلة طويلة متسلسلة ينتجها مسار الاكتشاف، وهي ليست مسار المكتبة ولا رقم PIN للرمز ولا اسم حساب VPN. وهي كثيرًا ما تحتوي محارف تحتاج إلى اقتباس، والقيمة غير المقتبسة قد تُقتطع أو تُقرأ خطأً دون خطأ واضح. استخدم خيار اكتشاف الهوية الخاص بالعميل لسرد ما يعرضه الرمز، ثم انسخ الإدخال المقصود تمامًا. واختيار أول كائن في القائمة هو الطريق الذي ينتهي به الجهاز إلى تقديم الشهادة الخطأ.

كما يجيب ناتج الاكتشاف عن سؤال سابق: هل الرمز مرئي عبر ذلك المزوّد أصلًا. فإن لم يُدرج شيئًا فالمشكلة تقع فوق عميل VPN وتخص المكتبة الوسيطة.

العملية التي تتصل يجب أن تصل إلى الرمز

عملية رمز تنجح في جلسة سطح مكتبك لا تثبت شيئًا عن خدمة نظام. فقد تعمل الخدمة بمستخدم آخر، وفي فضاء أسماء تحميل مختلف، وبمسار وحدات يغفل مكتبة المزوّد، أو دون إذن لفتح عقدة الجهاز. حدّد العملية التي تحمل الاتصال فعلًا واختبر من ذلك السياق.

معالجة PIN تستحق قرارًا خاصًا بها. يوفّر التنفيذ المرجعي ذاكرة PIN مؤقتة ومسار مصادقة محميًا، وكلاهما موجود كي يختار المشغّل سير عمل بدل أن يبتكره. لا تحوّل متطلبًا بلا إشراف إلى PIN نصي صريح داخل ملف شخصي مشترك، لأن ذلك يقايض حماية الرمز بالراحة. وحيث يمنع الرمز تصدير المفتاح يحدث التوقيع على الجهاز ويكون PIN هو السر المحلي الوحيد. تعامل معه بالعناية التي يستلزمها ذلك.

ما لا يستبدله الرمز

الرمز يصادق العميل في إطار السياسة المنشورة، ولا يستبدل فحوص العميل على الخادم. والشهادة المختارة بنجاح ليست إذنًا بقبول شهادة بوابة غير متوقعة، والتحققان يحميان اتجاهين متعاكسين.

لا يزال التسجيل يجب أن يحدث عند المُصدر، ولا تزال البوابة يجب أن تأذن للهوية.

للقبول افصل المراحل: يُحمَّل المزوّد، وتُوجد الشهادة المقصودة، ويُستخدم المفتاح الخاص بترخيص محلي، ويصادق VPN، وتنجح عملية المورد. توقف عند أول مرحلة تفشل بدل الدوران في كلمات المرور وإعادة تثبيت حزمة التشفير.

سجّل الإصدارات وملكية الوحدات والمعرّف العام المختار والأخطاء المنقّاة، وأبقِ أرقام PIN وحزم بيانات الاعتماد خارج ذلك السجل.