A yw --key-password OpenConnect yn gyfrinair eich cyfrif VPN?

Darllenwch enw’r opsiwn yn llythrennol. Mae’n enwi allwedd, ac mae’r dryswch yn dechrau pan gymerir y ffeil sy’n cael ei datgloi am y cyfrif sy’n cael ei ddilysu. Rhowch gyfrinair y cyfrif yn yr opsiwn hwnnw a bydd y cleient yn ceisio agor ffeil allwedd ag ef, sy’n methu am resymau nad oes ganddynt ddim i’w wneud â mewngofnodi VPN.

Y rhan ddryslyd yw y gall un cysylltiad yn gyfreithlon fod angen y ddau gyfrinach. Efallai y bydd dilysu tystysgrif cleient angen allwedd wedi’i hamgryptio, a gall yr un porth redeg cyfnewidiad dilysu defnyddiwr ar ôl derbyn y dystysgrif. Nid yw’r naill gyfrinach yn bodloni’r llall, ac mae methiant yn y naill yn edrych yn debyg iawn i fethiant yn y llall o’r tu allan.

Dau gyfrinach, dau wahanol waith

Darllenwch y rolau fel mynediad i ffeil yn erbyn caniatâd i’r rhwydwaith. Mae cyfrinair yr allwedd yn dadgryptio’r allwedd breifat PEM a enwir yn --sslkey fel y gellir cyflwyno tystysgrif cleient TLS. Mae’r dadgryptio hwnnw’n digwydd yn lleol, y tu mewn i broses y cleient, ac nid yw’r cyfrinair ei hun byth yn teithio i’r porth. Yr hyn y mae’r porth yn ei weld yw’r dystysgrif a llofnod a wneir â’r allwedd. Mae llawlyfr OpenConnect yn cadw --key-password wrth ymyl --certificate a --sslkey, ac ar adeiladau sy’n gallu defnyddio allwedd mewn TPM mae’r un opsiwn yn cario cyfrinair allwedd wreiddyn y storfa yn lle hynny.

Mae cyfrinair y cyfrif yn wahanol o ran natur. Mae’n mynd i’r cyfnewidiad dilysu: ffurflen enw defnyddiwr a chyfrinair, tocyn, rownd SAML, neu ryw gyfuniad y mae’r porth yn ei hysbysebu. Nid yw rhai defnyddiadau yn gofyn amdano o gwbl pan mai’r dystysgrif yw’r unig ffactor, ac mae rhai yn gofyn amdano hyd yn oed ar ôl tystysgrif, oherwydd bod y dystysgrif yn profi’r ddyfais tra bod y cyfrif yn profi’r person.

Mae cymysgu’r ddau yn cynhyrchu gwallau camarweiniol. Mae porth sy’n gwrthod mewngofnodi fel arfer yn adrodd methiant dilysu, tra bod cyfrinair allwedd anghywir fel arfer yn methu’n gynt, pan na all y haen TLS ddarllen y ffeil allwedd. Camau gwahanol â chywiriadau gwahanol yw’r rhain, ac mae’r enwau’n ddigon tebyg i bobl eu cyfnewid ac yna mynd ar drywydd y log anghywir. Sylwch pa anogiad a ymddangosodd cyn i chi newid unrhyw osodiad, oherwydd geiriad yr anogiad yw’r diagnostig rhataf sydd gennych.

Pryd y mae cyfrinair yr allwedd ei wir angen

Nid oes ystyr i’r opsiwn oni bai bod allwedd amgryptiedig i’w datgloi. Os ydych yn cysylltu ag enw defnyddiwr a chyfrinair heb dystysgrif cleient, nid oes gan --key-password ddim i weithredu arno, ac nid yw ei gynnwys yn newid dim. Os ydych yn cysylltu â --certificate a --sslkey, fformat y ffeil allwedd ei hun sy’n penderfynu a ofynnir am gyfrinair o gwbl.

Mae’r ddau gyfrinach mewn un gorchymyn yn gyffredin mewn amgylcheddau rheoledig: tystysgrif dyfais mewn allwedd amgryptiedig, ynghyd â mewngofnodi fesul defnyddiwr. Y dilyniant cywir yw gadael i’r cleient ofyn am gyfrinair yr allwedd yn lleol, cwblhau ysgwyd llaw’r dystysgrif, ac yna trin anogiad cyfrif y porth ar wahân. Ceisio llenwi’r ddau ymlaen llaw drwy un sgript a ailddefnyddir yw’r man lle mae’r dryswch fel arfer yn dechrau.

Diagnostig defnyddiol yw edrych ar bryd y mae’r methiant yn digwydd. Os yw’r cleient yn stopio cyn i unrhyw ddilysu rhwydwaith ddechrau, amheuwch y ffeil allwedd, ei fformat, neu’r cyfrinair. Os yw’r sesiwn TLS yn cael ei sefydlu ac yna’r porth yn gwrthod y defnyddiwr, gwnaeth yr allwedd ei gwaith a’r cyfnewidiad cyfrif yw’r broblem.

Cadw’r ddau gyfrinach allan o hanes y plisgyn

Mae dadleuon llinell orchymyn yn ddarllenadwy gan ddefnyddwyr lleol eraill drwy’r tabl prosesau ac yn aml yn cael eu dal yn hanes y plisgyn, mewn sgriptiau ac mewn trawsgrifiadau cymorth. Gall OpenConnect ddarllen cyfrinair y cyfrif o fewnbwn safonol gyda --passwd-on-stdin, a gall cyfrinair yr allwedd ddod o anogiad rhyngweithiol neu o asiant yn lle dadl. Nid yw’r naill fecanwaith yn gwneud y gyfrinach yn ddiogel ar ei ben ei hun, ond mae’r ddau yn ei chadw allan o’r mannau mwyaf agored.

Mae ffeiliau’n haeddu’r un gofal. Dylai sgript sy’n ysgrifennu cyfrinair i ffeil dros dro ei chreu â chaniatadau cyfyngol, ei dileu wrth adael, ac osgoi cyfeiriaduron y gellir eu darllen gan bawb. Mae cyfrinair sy’n goroesi’r sesiwn mewn cyfeiriadur dros dro yn gopi y gwnaethoch chi anghofio ei wneud. Mae newidynnau amgylchedd yn weladwy i brosesau plant ac yn aml yn cael eu hadleisio gan offer dadfygio, felly nid ydynt yn uwchraddiad am ddim dros ddadleuon.

Yr allbwn diagnostig yw’r gollyngiad tawel. Gall logiau’r cleient ar lefel manylder uwch ddangos cynnwys ceisiadau neu werthoedd opsiynau, ac mae trawsgrifiad terfynell wedi’i gopïo yn hawdd ei bastio i docyn, felly darllenwch yr allbwn cyn ei rannu.

Mae botwm bwrdd gwaith marw yn fai gwahanol

Nid yw cofnod VPN bwrdd gwaith sy’n dangos troelliad ac yna dim byd fel arfer yn broblem ddilysu o gwbl. Mae’r botwm yn perthyn i reolwr rhwydwaith, applet gwerthwr, neu ategyn sy’n lansio OpenConnect ar eich rhan, a gall cydran sydd ar goll neu broffil annarllenadwy gynhyrchu’r union symptom hwnnw. Darganfyddwch pa broses y mae’r botwm yn ei dechrau a darllenwch ei gwall cyn cyffwrdd â chyfriflythrennau.

Mae’n demtasiwn llacio dilysu’r dystysgrif neu analluogi gwiriad pan fydd y GUI yn gwrthod cysylltu. Mae hynny’n troi bai integreiddio’r cleient yn israddio diogelwch ac yn anaml yn trwsio’r broblem lansio. Cadwch ddilysu’r gweinydd yn gyfan, cadarnhewch fod y proffil yn pwyntio at y porth a fwriadwyd, a gwiriwch fod y cymorthydd y mae’r GUI yn ei ddisgwyl wedi’i osod mewn gwirionedd.

Mae rhestr wirio fer yn gwahanu’r achosion. Mae methiant lleol cyn i unrhyw becyn adael yn pwyntio at yr allwedd neu osodiad y cleient. Mae gwrthodiad porth ar ôl y sesiwn TLS yn pwyntio at y cyfnewidiad cyfrif. Mae botwm nad yw byth yn lansio’r cleient yn pwyntio at integreiddio’r bwrdd gwaith. Tri gwahanol fai, un ohonynt yn gyfrinair yr oeddech ar fin ei bastio yn y blwch anghywir.