Pa URI PKCS#11 sydd ei angen ar OpenConnect ar gyfer tocyn?

Rhaid dweud wrth gerdyn clyfar sydd eisoes yn dal yr allwedd gywir pa wrthrych arno i’w ddefnyddio o hyd. Nid yw OpenConnect am ffeil .key wedi’i chopïo yn y sefyllfa honno; mae am URI PKCS#11 sy’n enwi’r dystysgrif ac, pan na all y chwiliad awtomatig orffen y gwaith, yr allwedd breifat wrth ei hymyl. Y rhan anghyfleus yw nad yw URI sy’n gystrawennol ddilys yn profi dim. Rhaid iddo enwi’r cofrestriad y mae’r porth yn ymddiried ynddo’n barod, nid yn unig gwrthrych y mae’r cerdyn yn fodlon ei agor.

Beth mae’r cleient am ei gael yn lle allwedd allforiedig

Mae’r opsiwn -c fel arfer yn cymryd llwybr ffeil, ond pan fydd y gwerth yn dadansoddi fel URI PKCS#11, mae OpenConnect yn ei drin fel cyfeiriad at wrthrych y tu mewn i’r tocyn yn hytrach nag at ffeil ar y disg. Mae’r opsiwn -k yn ymddwyn yr un ffordd ar gyfer yr allwedd breifat. Nid oes dim yn cael ei allforio, ac nid yw’r allwedd byth yn gadael y diogelwch y mae’r cerdyn yn ei ddarparu. Yr hyn y mae’r cleient ei angen gennych yw enw y mae modiwl y tocyn, y storfa dystysgrifau a chofrestriad y porth i gyd yn cytuno arno.

Ar y cyfyngiad olaf hwnnw y mae’r rhan fwyaf o ymdrechion yn stopio. Gall URI fod yn berffaith o ran ffurf ac eto ddewis tystysgrif y bydd y porth yn ei gwrthod, oherwydd mae dilysrwydd a pherthnasedd yn gwestiynau ar wahân. Y gwiriad sy’n werth ei wneud yw cymhariaeth â chofnod y cofrestriad, nid chwiliad am y gwrthrych cyntaf sy’n digwydd agor.

Dau URI, dwy dasg wahanol

Mae URI’r dystysgrif yn ateb pa hunaniaeth yr ydych yn ei honni. Mae’n pwyntio at wrthrych tystysgrif y mae ei allwedd gyhoeddus a’i linell pwnc yn cyfateb i’r proffil cyfrif neu ddyfais a gyhoeddwyd gan weinyddwr VPN. Mae’r un dystysgrif fel arfer yn dod â gwrthrych allwedd breifat wedi’i storio wrth ei hymyl, a’r pâr hwnnw sy’n cael ei angen ar y gydlawediad TLS.

Mae URI’r allwedd yn ateb ble mae’r deunydd preifat cyfatebol yn byw pan na all OpenConnect ei gasglu. Gyda dim ond -c wedi’i osod, mae’r cleient yn adeiladu chwiliad allwedd o briodweddau’r dystysgrif; mae cyflenwi -k yn disodli dyfalu â chyfeiriad gwrthrych penodol. Mae PIN y tocyn yn drydedd fewnbwn, heb gysylltiad: mae’n datgloi’r cerdyn ar gyfer y llawdriniaeth, ac nid yw byth yn nodi gwrthrych.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Mae popeth yn y llinyn dyfynnol hwnnw yn ddata. Mae’r hanner colonnau yn gwahanu priodweddau URI ac mae’r dianc canrannol yn amgodio nodau a fyddai fel arall yn torri’r dadansoddiad, felly rhaid i’r ddadl gyfan oroesi’r plisgyn yn gyfan.

Dod o hyd i’r URI sy’n cyfateb i’ch cofrestriad

Mae GnuTLS yn cludo p11tool, sy’n rhestru’r hyn y gall y defnyddiwr cyfredol ei gyrraedd mewn gwirionedd trwy p11-kit. Dechreuwch gyda p11tool --list-tokens, yna rhestrwch wrthrychau’r dystysgrif ar y tocyn sydd o ddiddordeb i chi. Ychwanegwch --login pan fydd y gwrthrychau ond yn ymddangos ar ôl PIN, a chymharwch y pwnc a’r cyhoeddwr â chofnod y cofrestriad yn hytrach na dewis yr hyn sy’n ymddangos gyntaf.

Os nad yw’r tocyn yn ymddangos o gwbl, mae’r broblem oddi tan OpenConnect: nid oes gan p11-kit fodiwl wedi’i gofrestru ar gyfer y middleware hwnnw, neu mae’r modiwl wedi’i gofrestru ar gyfer cyfrif arall. Mae’r cofrestriad system-gyfan yn byw o dan /etc/pkcs11/modules, a gall cyfeiriadur fesul defnyddiwr ddal yr un peth heb gyffwrdd y copi system. Gwiriwch fod llwybr y darparwr yn y ffeil fodiwl yn pwyntio at lyfrgell y mae meddalwedd y darllenydd wedi’i gosod mewn gwirionedd.

Pan fyddwch yn copïo’r URI allan o’r rhestr, cadwch y dyfynau o’i amgylch. Mae hanner colonnau heb eu dyfynnu yn torri’r ddadl ar y briodwedd gyntaf ac yna mae’r cleient yn adrodd gwrthrych na all ddod o hyd iddo.

Pan fydd y chwiliad allwedd awtomatig yn rhoi’r gorau iddi

Gall OpenConnect ddeillio chwiliad allwedd o URI’r dystysgrif, ond mae’r union gyfatebiad y mae’n ei wneud yn dibynnu ar y fersiwn, ac mae trin y math gwrthrych a’r label wedi newid dros amser. Mae cyngor sy’n dweud wrthych i fyrhau’r URI nes ei fod yn gweithio yn disgrifio hen ateb dros dro, nid gofyniad. Os bydd y chwiliad deilliedig yn methu, enwch yr allwedd yn benodol gyda -k yn hytrach na throi URI’r dystysgrif yn rhywbeth mwy annelwig.

Cadarnhewch fod yr allwedd yn bodoli ac yn weladwy gyda p11tool --list-keys cyn beio’r cleient. Yna gwiriwch fod y gwrthrych wedi’i farcio fel un defnyddiadwy ar gyfer llofnodi neu ddadgryptio, gan na all allwedd a gynhyrchwyd â phriodweddau anghywir gwblhau gydlawediad, waeth pa mor gywir yw’r URI. Peidiwch â thrawsblannu gwerth pkcs11-id wedi’i gyfresoli o broffil OpenVPN i opsiwn OpenConnect; mae’r ddau gleient yn defnyddio fformatau dynodydd gwahanol hyd yn oed pan fyddant yn siarad â’r un cerdyn.

Os yw’r URI yn datrys ac mae’r PIN yn cael ei dderbyn ond mae’r dilysu yn dal i fethu, stopiwch diwnio’r URI. Darllenwch wall y porth ei hun, oherwydd mae’r methiant nesaf i fyny o’r tocyn.

Methiannau sy’n edrych fel problemau URI yn unig

Bydd porth sy’n siarad protocol gwahanol yn methu’n union yr un fath p’un a yw’ch URI yn gywir neu’n anghywir. Disodlodd OpenConnect yr hen gleient vpnc am reswm, ac nid yw cymorth cerdyn yn gwneud protocol porth anghydnaws yn gydnaws. Cadarnhewch brotocol disgwyliedig y gweinydd a threfniad y dilysu cyn gwario awr arall ar briodweddau gwrthrych.

Mae dilysu hunaniaeth y gweinydd yn haen ar wahân hefyd. Mae’r cleient yn gwirio tystysgrif y porth yn erbyn ei storfa ymddiriedaeth, ac mae’r gwiriad hwnnw’n rhedeg ar ôl i’r cerdyn wneud ei ran yn barod. Mae caniatâd darllenydd a gwasanaeth pcscd wedi’i stopio yn cynhyrchu’r un symptom allanol, tocyn annarllenadwy, gyda thrwsio llawer symlach.

Gweithiwch allan o’r gwrthrych: a yw p11tool yn gweld y tocyn, a yw’n gweld y dystysgrif a’r allwedd, a yw OpenConnect yn derbyn yr URI, ac yna yn unig gofynnwch a yw’r porth yn derbyn yr hunaniaeth. Mae gan bob cam ei neges gwall ei hun, ac mae pob un yn rhatach i’w brofi na’r un nesaf.