Düzəliş: OpenVPN Auth istifadəçi adını standart girişdən oxuya bilmədi

could not read Auth username from stdin autentifikasiya probleminə bənzəyir, amma deyil. OpenVPN istifadəçi adını standart girişdən soruşmağa çalışdı, oxunaqlı heç nə tapmadı və serverə qoşulmadan əvvəl dayandı. Hesab tamamilə etibarlı ola bilər; sadəcə prosesin soruşacaq heç kimi yoxdur.

Buna görə ilk faydalı addım müştərinin nə oxuduğunu təsdiqləməkdir, bağlantını yenidən sınamaq və ya server tərəfindəki ayarları dəyişmək deyil. Aşağıdakı yoxlamaları sıra ilə keçin və ilk uğursuz olanda dayanın.

Xətanı yerli giriş nasazlığı kimi oxuyun

Əgər auth-user-pass fayl arqumenti olmadan görünürsə, müştəri sorğu gözləyir. İnteraktiv qabıqda bu sorğu işləyir, çünki proses terminala sahibdir. systemd, cron tapşırığı və ya konteyner altında standart giriş adətən boş olur və oxuma dərhal gördüyünüz xəta ilə qayıdır.

Mesaj həm də uğursuz olan sahəni göstərir — istifadəçi adı və ya parol — bu da oxumanın nə qədər irəlilədiyini bildirir. İstifadəçi adının olmaması prosesin ümumiyyətlə heç nə oxuya bilmədiyini bildirir. İstifadəçi adı uğurla oxunduqdan sonra parolun olmaması giriş axınının iki oxuma arasında bitdiyini göstərir; bu, yarımçıq yazılmış fayl və ya bağlanmış boru üçün tipikdir.

Başqa heç nəyi dəyişməzdən əvvəl müştərinin öz baxışını təsdiqləyin. Onu eyni konfiqurasiya və eyni istifadəçi ilə ön planda işə salın və sorğunun görünüb-görünmədiyinə baxın. Əgər qabığınızda görünür, xidmət meneceri altında görünmürsə, fərq giriş mənbəyindədir, etimad məlumatlarında deyil. Unit faylı ilə qabıq mühitinizin qısa müqayisəsi adətən hansının terminal verdiyini göstərir.

Xidmətə dəstəklənən etimad mənbəyi verin

Dəstəklənən nəzarətsiz mənbə, arqument kimi verilən etimad faylıdır: auth-user-pass. Fayl düz mətn kimi oxunur: birinci sətir istifadəçi adı, ikinci sətir paroldur. Ona mütləq yol ilə işarə edin, məsələn /etc/openvpn/client/creds kimi, belə ki xidmət hesabının iş qovluğu direktivin mənasını dəyişə bilməsin.

İcazələr yol qədər vacibdir. Fayl müştərini işlədən hesab üçün oxunaqlı olmalı, başqaları üçün yox, və xidmət hesabına və ya root-a aid olmalıdır, qrup isə xidməti əhatə etməlidir. Oxunaqlılığı həmin hesab kimi, məzmunu çap etmədən yoxlayın.

Nisbi yol səssiz nasazlıq rejimidir. Profil bir qovluqda ola bilər, systemd isə prosesi başqa yerdə başladır, ona görə qabığınızda həll olunan fayl xidmət üçün həll olunmur. Etimad məlumatlarını sabit yerə köçürün və ona mütləq yol ilə istinad edin. Sonra xidməti bir dəfə başladın və eyni yolun istifadə olunduğunu təsdiqləyin, profil redaktorunun görünüşünə güvənməyin.

Əgər yerləşdirmə birdəfəlik kod və ya başqa interaktiv çağırış tələb edirsə, müştərinin iş axınının bunu həqiqətən nəzarətsiz dəstəkləyib-dəstəkləmədiyinə qərar verin. Statik parol olan fayl dəyişən kodu cavablandıra bilməz və cavablandırıla bilməyən sorğunu təkrarlamaq heç bir məlumat əlavə etmir.

Niyə script-security kömək etməyəcək

script-security müştərinin skriptləri işə sala bilib-salamayacağını və onlara nə qədər ötürə biləcəyini, o cümlədən parolun mühit dəyişəni ilə skriptə verilib-verilə bilməyəcəyini idarə edir. İstifadəçi adı və parolun haradan gəldiyi barədə heç bir sözü yoxdur.

Onu daha yüksək səviyyəyə qaldırmaq adi bir refleksdir, çünki mesaj Auth-u qeyd edir, amma bu, giriş mənbəyini deyil, skript icazələrini dəyişir və müştərinin nəyi icra edə biləcəyini genişləndirir. Köməkçi skript dizaynın bir hissəsidirsə, əvvəlcə giriş mənbəyini düzəldin və təhlükəsizlik səviyyəsini yerləşdirmənin tələb etdiyi ən aşağı dəyərdə saxlayın.

İdarəetmə interfeysi qanuni alternativdir. Ön panel ona qoşula, etimad sorğusunu qəbul edə və istifadəçi adı ilə parolla cavab verə bilər; bəzi GUI-lər belə işləyir. İstifadə edirsinizsə, onu yerli ünvana bağlayın, idarəetmə parol faylı ilə qoruyun və kimin qoşula biləcəyini məhdudlaşdırın, çünki bu, müştəri üçün idarəetmə kanalıdır.

Müştəri faylı oxuduqdan sonra növbəti mərhələni yoxlayın

Müştəri etimad məlumatlarını oxuya bildikdən sonra növbəti uğursuzluq serverlə real mübadilədir və onun mesajı fərqli məna daşıyır. O mərhələdə autentifikasiya nasazlığı serverin hesabı rədd etdiyini bildirir; çağırış cavabı serverin başqa faktor istədiyini bildirir. Bunları eyni problemin təkrarı kimi deyil, yeni problemlər kimi qəbul edin.

Bütün yolu xidmətin işləyəcəyi kimi sınayın: eyni hesab, eyni iş qovluğu, eyni unit mühiti. Yalnız qabığınızdan başladıqda işləyən bağlantı, mühit dəyişəninin və ya terminalın hələ də axının hissəsi olduğunun əlamətidir.

Sonra sirləri lazımi yerdə saxlayın. Əmr sətri arqumentlərindəki parollar proses cədvəlində görünür, sazlama çıxışındakı parollar isə biletlərə düşür. Qorunan fayl və ya idarəetmə interfeysindən istifadə edin, qeydləri etimad məlumatlarını əks etdirməyən səviyyədə saxlayın və girişi olan hər kəs ayrıldıqda faylı dəyişdirin.

Yoxlama siyahısı: mütləq etimad yolu, xidmət hesabı kimi oxunaqlı, terminal tələb etmir, script-security minimumda saxlanılıb, idarəetmə interfeysi yalnız bağlı və autentifikasiya olunubsa, və nəticədə server cavabı ayrı hadisə kimi qiymətləndirilir.