OpenConnect-də --key-password VPN hesab şifrəsidirmi?

Seçimin adını hərfi oxuyun. O, açarı adlandırır və çaşqınlıq açılan faylın doğrulanan hesabla səhv salınması ilə başlayır. Hesab şifrəsini həmin seçimə yapışdırsanız, müştəri onunla açar faylını açmağa çalışacaq və bu, VPN girişi ilə heç bir əlaqəsi olmayan səbəblərdən uğursuz olacaq.

Çaşqınlıq ondadır ki, tək bir bağlantı həqiqətən hər iki sirri tələb edə bilər. Müştəri sertifikatı ilə doğrulama şifrələnmiş açar tələb edə bilər və eyni şlüz sertifikat qəbul edildikdən sonra istifadəçi doğrulama mübadiləsi də apara bilər. Heç bir sir digər mərhələni təmin etmir və birindəki nasazlıq kənardan digərindəki nasazlığa çox bənzəyir.

İki sirr, iki fərqli iş

Rolları fayl girişi və şəbəkəyə buraxılış kimi oxuyun. Açar şifrəsi --sslkey ilə göstərilən PEM şəxsi açarının şifrəsini açır ki, TLS müştəri sertifikatı təqdim edilə bilsin. Bu açma yerli olaraq, müştəri prosesinin içində baş verir və parol özü heç vaxt şlüzə getmir. Şlüzün gördüyü şey sertifikat və açarla hazırlanmış imzadır. OpenConnect təlimatı --key-password seçimini --certificate və --sslkey ilə bir yerdə saxlayır və TPM-də saxlanan açardan istifadə edə bilən buraxılışlarda həmin seçim əvəzində yaddaş kök açarının şifrəsini daşıyır.

Hesab şifrəsi təbiətcə fərqlidir. O, doğrulama mübadiləsinə daxil olur: istifadəçi adı və şifrə forması, token, SAML gediş-dönüşü və ya şlüzün elan etdiyi hansısa birləşmə. Bəzi quraşdırmalar sertifikat yeganə amil olduqda onu heç soruşmur, bəziləri isə sertifikatdan sonra belə soruşur, çünki sertifikat cihazı, hesab isə şəxsi təsdiqləyir.

İkisini qarışdırmaq yanıltıcı xətalar yaradır. Girişi rədd edən şlüz adətən doğrulama nasazlığı bildirir, səhv açar parolu isə adətən daha erkən, TLS qatı açar faylını oxuya bilmədikdə uğursuz olur. Bunlar fərqli mərhələlər və fərqli düzəlişlərdir, adlar isə o qədər bənzəyir ki, insanlar onları dəyişib sonra səhv jurnalın arxasınca gedir. Hər hansı ayarı dəyişməzdən əvvəl hansı sorğunun göründüyünə diqqət yetirin, çünki sorğunun mətni sizin ən ucuz diaqnostikanızdır.

Açar şifrəsi həqiqətən nə vaxt lazımdır

Seçim yalnız açılmalı şifrələnmiş açar olduqda məna kəsb edir. İstifadəçi adı və şifrə ilə, müştəri sertifikatı olmadan bağlanırsınızsa, --key-password seçiminin təsir edəcəyi heç nə yoxdur və onu əlavə etmək heç nəyi dəyişmir. --certificate və --sslkey ilə bağlanırsınızsa, parolun ümumiyyətlə soruşulub-soruşulmayacağını açar faylının öz formatı həll edir.

İki sirrin bir əmrdə olması idarə olunan mühitlərdə adi haldır: şifrələnmiş açarda cihaz sertifikatı və istifadəçi üzrə giriş. Düzgün ardıcıllıq müştərinin açar parolunu yerli olaraq soruşmasına imkan vermək, sertifikat əl sıxışmasını tamamlamaq və sonra şlüzün hesab sorğusunu ayrıca həll etməkdir. Hər ikisini bir təkrar istifadə olunan skriptlə əvvəlcədən doldurmağa çalışmaq çaşqınlığın adətən başladığı yerdir.

Faydalı diaqnostika nasazlığın nə vaxt baş verdiyinə baxmaqdır. Müştəri hər hansı şəbəkə doğrulaması başlamazdan əvvəl dayanırsa, açar faylını, onun formatını və ya parolu şübhə altına alın. TLS sessiyası qurulub və sonra şlüz istifadəçini rədd edirsə, açar öz işini görüb və problem hesab mübadiləsindədir.

Hər iki sirri shell tarixçəsindən kənarda saxlamaq

Əmr sətri arqumentlərini digər yerli istifadəçilər proses cədvəli vasitəsilə oxuya bilər və onlar tez-tez shell tarixçəsində, skriptlərdə və dəstək transkriptlərində tutulur. OpenConnect hesab şifrəsini standart girişdən --passwd-on-stdin ilə oxuya bilər və açar parolu arqumentdən deyil, interaktiv sorğudan və ya agentdən gələ bilər. Heç bir mexanizm sirri tək başına təhlükəsiz etmir, lakin hər ikisi onu ən açıq yerlərdən kənarda saxlayır.

Fayllar da eyni qayğıya layiqdir. Parolu müvəqqəti fayla yazan skript onu məhdud icazələrlə yaratmalı, çıxışda silməli və hamının oxuya bildiyi qovluqlardan çəkinməlidir. Sessiyadan sonra müvəqqəti qovluqda qalan parol yaratmağı unutduğunuz bir kopyadır. Mühit dəyişənləri alt proseslərə görünür və tez-tez sazlama alətləri tərəfindən əks olunur, buna görə arqumentlərdən pulsuz yüksəliş deyillər.

Diaqnostik çıxış səssiz sızıntıdır. Daha yüksək ətraflılıqda müştəri jurnalları sorğu gövdələrini və ya seçim dəyərlərini göstərə bilər və kopyalanmış terminal transkriptini bilete yapışdırmaq asandır, ona görə paylaşmazdan əvvəl çıxışı oxuyun.

Ölü masaüstü düyməsi fərqli bir nasazlıqdır

Fırlanan göstərici göstərib sonra heç nə etməyən masaüstü VPN girişi adətən heç də doğrulama problemi deyil. Düymə sizin adınızdan OpenConnect işə salan şəbəkə menecerinə, satıcı appletinə və ya plaginə aiddir və çatışmayan komponent və ya oxunmayan profil məhz bu simptomu yarada bilər. Düymənin hansı prosesi başlatdığını tapın və etimad məlumatlarına toxunmazdan əvvəl onun xətasını oxuyun.

GUI qoşulmaqdan imtina edəndə sertifikat yoxlamasını yumşaltmaq və ya bir yoxlamanı söndürmək cazibədardır. Bu, müştəri inteqrasiyası nasazlığını təhlükəsizlik enişinə çevirir və işə salma problemini nadir hallarda həll edir. Server yoxlamasını toxunulmaz saxlayın, profilin nəzərdə tutulan şlüzə yönəldiyini təsdiqləyin və GUI-nin gözlədiyi köməkçi proqramın həqiqətən quraşdırıldığını yoxlayın.

Qısa bir yoxlama siyahısı halları ayırır. Hər hansı paket çıxmazdan əvvəl yerli nasazlıq açarı və ya müştəri quraşdırmasını göstərir. TLS sessiyasından sonra şlüzün rədd etməsi hesab mübadiləsini göstərir. Müştərini heç vaxt işə salmayan düymə masaüstü inteqrasiyasını göstərir. Üç fərqli nasazlıq, biri səhv qutuya yapışdırmaq üzrə olduğunuz şifrədir.