És --key-password d’OpenConnect la contrasenya del vostre compte VPN?

Llegeix el nom de l’opció al peu de la lletra. Anomena una clau, i la confusió comença quan el fitxer que es desbloqueja es confon amb el compte que s’autentica. Enganxa la contrasenya del compte en aquesta opció i el client intentarà obrir-hi un fitxer de clau, cosa que falla per motius que no tenen res a veure amb l’inici de sessió VPN.

La part confusa és que una sola connexió pot necessitar legítimament tots dos secrets. L’autenticació amb certificat de client pot requerir una clau xifrada, i la mateixa passarel·la pot dur a terme un intercanvi d’autenticació d’usuari després d’acceptar el certificat. Cap dels dos secrets satisfà l’altra etapa, i una fallada en un s’assembla molt, des de fora, a una fallada en l’altre.

Dos secrets, dues feines diferents

Llegeix els papers com a accés al fitxer enfront d’admissió a la xarxa. La contrasenya de la clau desxifra la clau privada PEM indicada a --sslkey perquè es pugui presentar el certificat de client TLS. Aquest desxifrat es fa localment, dins del procés del client, i la frase de pas no viatja mai a la passarel·la. El que veu la passarel·la és el certificat i una signatura feta amb la clau. El manual d’OpenConnect manté --key-password al costat de --certificate i --sslkey, i en les compilacions que poden fer servir una clau allotjada en un TPM la mateixa opció porta en canvi la contrasenya de la clau arrel d’emmagatzematge.

La contrasenya del compte és diferent de mena. Va a l’intercanvi d’autenticació: un formulari d’usuari i contrasenya, un testimoni, una ronda SAML o alguna combinació que anunciï la passarel·la. Alguns desplegaments no la demanen gens quan el certificat és l’únic factor, i alguns la demanen fins i tot després d’un certificat, perquè el certificat demostra el dispositiu mentre que el compte demostra la persona.

Barrejar les dues coses produeix errors enganyosos. Una passarel·la que rebutja un inici de sessió sol informar d’una fallada d’autenticació, mentre que una frase de pas de clau incorrecta sol fallar abans, quan la capa TLS no pot llegir el fitxer de clau. Són etapes diferents amb solucions diferents, i els noms s’assemblen prou perquè la gent els intercanviï i després persegueixi el registre equivocat. Fixa’t en quin missatge ha aparegut abans de canviar cap paràmetre, perquè la redacció del missatge és el diagnòstic més barat que tens.

Quan cal realment la contrasenya de la clau

L’opció només té sentit quan hi ha una clau xifrada per desbloquejar. Si et connectes amb usuari i contrasenya i sense certificat de client, --key-password no té res sobre què actuar, i incloure’l no canvia res. Si et connectes amb --certificate i --sslkey, el format propi del fitxer de clau decideix si es demanarà una frase de pas o no.

Tots dos secrets en una sola ordre és habitual en entorns gestionats: un certificat de dispositiu en una clau xifrada, més un inici de sessió per usuari. La seqüència correcta és deixar que el client demani la frase de pas de la clau localment, completar l’apretada de mans del certificat i després gestionar per separat el missatge de compte de la passarel·la. Intentar omplir tots dos per endavant amb un sol script reutilitzat és on sol començar la confusió.

Un diagnòstic útil és mirar quan es produeix la fallada. Si el client s’atura abans que comenci cap autenticació de xarxa, sospita del fitxer de clau, del seu format o de la frase de pas. Si la sessió TLS s’estableix i després la passarel·la rebutja l’usuari, la clau ha fet la seva feina i el problema és l’intercanvi de compte.

Mantenir tots dos secrets fora de l’historial de l’intèrpret

Els arguments de la línia d’ordres són llegibles per altres usuaris locals a través de la taula de processos i sovint queden capturats a l’historial de l’intèrpret, en scripts i en transcripcions de suport. OpenConnect pot llegir la contrasenya del compte de l’entrada estàndard amb --passwd-on-stdin, i la frase de pas de la clau pot venir d’un missatge interactiu o d’un agent en lloc d’un argument. Cap mecanisme fa segur el secret per si sol, però tots dos el mantenen fora dels llocs més exposats.

Els fitxers mereixen la mateixa cura. Un script que escriu una frase de pas en un fitxer temporal hauria de crear-lo amb permisos restrictius, esborrar-lo en sortir i evitar directoris llegibles per tothom. Una frase de pas que sobreviu a la sessió en un directori temporal és una còpia que et vas oblidar de fer. Les variables d’entorn són visibles per als processos fills i sovint acaben reproduïdes per les eines de depuració, així que no són una millora gratuïta respecte dels arguments.

La sortida de diagnòstic és la fuita silenciosa. Els registres del client amb més detall poden mostrar cossos de sol·licitud o valors d’opcions, i una transcripció de terminal copiada és fàcil d’enganxar en un tiquet, així que llegeix la sortida abans de compartir-la.

Un botó mort de l’escriptori és una avaria diferent

Una entrada VPN d’escriptori que mostra un indicador giratori i després res no sol ser cap problema d’autenticació. El botó pertany a un gestor de xarxa, a un miniaplicatiu del fabricant o a un connector que inicia OpenConnect en nom teu, i un component que falta o un perfil il·legible poden produir exactament aquest símptoma. Esbrina quin procés inicia el botó i llegeix-ne l’error abans de tocar les credencials.

És temptador relaxar la verificació del certificat o desactivar una comprovació quan la interfície gràfica es nega a connectar. Això converteix una avaria d’integració del client en una rebaixa de seguretat i poques vegades arregla el problema d’arrencada. Mantén intacta la verificació del servidor, confirma que el perfil apunta a la passarel·la prevista i comprova que l’ajudant que la interfície espera estigui realment instal·lat.

Una llista curta separa els casos. Una fallada local abans que surti cap paquet apunta a la clau o a la instal·lació del client. Un rebuig de la passarel·la després de la sessió TLS apunta a l’intercanvi de compte. Un botó que no inicia mai el client apunta a la integració d’escriptori. Tres avaries diferents, una de les quals és una contrasenya que estaves a punt d’enganxar a la caixa equivocada.