Kien iras la statika defia kodo en OpenVPN-ensaluto

La kliento montras duan kadron post la pasvorta kampo, vi tajpas la kodon el la aparata ĵetono, kaj la ensaluto ankoraŭ malsukcesas kun aŭtentiga eraro. Tiu kadro ekzistas, do la profilo petis ĝin. Ĉu la servilo iam ricevis la valoron en formo, kiun ĝi komprenas, estas alia demando, kaj ĝi estas la demando, kiun indas unue respondi.

Komencu de la instigo, kiun via kliento fakte montras

Profilo povas porti instrukciĉion de statika defio kun instiga teksto kaj flago, kiu regas, ĉu la respondo montriĝas dum vi tajpas. La instigo estas tio, kion vi vidas en la dialogo; la flago estas montra prefero por tiu sama enigo. Nek unu nek la alia diras al la servilo, kiel kontroli ion ajn.

Nomu la kampojn, kiujn vi fakte ricevis. Unu kampo por uzantnomo plus unu maskita kampo estas ordinara pasvorta ensaluto tute sen defio. Dua kampo, kiu aperas post la pasvorto kaj havas propran etikedon, estas la kliento realiganta la defian interagon.

Se la dua kadro neniam aperas en la kliento, kiun vi uzas, tiu kliento eble ne realigas la interagon, aŭ realigas ĝin nur per malsama fasado, kiel administra interfaco. Kontroli la klienton estas pli malmultekosta ol reverki la profilon, kaj ĝuste tie kutime kuŝas la malkongruo.

Kion la servilo jam devas subteni

La profilo priskribas, kion la kliento devas kolekti. Ĝi ne ŝaltas kontroladon en la servilo, kaj servilo sen la responda aŭtentiga integriĝo simple ricevos pasvorton, kiun ĝi ne rekonas. Tial iuj deplojoj montras la instigon kaj rifuzas ĉiun kodon, kaj tial la respondo de la funkciiganto pri tio, kiu mekanismo faras la kontrolon, estas la respondo, kiu gravas.

Demandu la funkciiganton, kiu mekanismo faras la kontrolon. Ĝi povas esti kromaĵo, kiu parolas kun PAM, skripta hoko, kiu kontrolas la respondon kontraŭ ĵetona servo, aŭ administra integriĝo, kiu mem analizas la kunpakan valoron. Ĉiu el ili atendas iom alian enigon.

Ĉi tie ankaŭ necesas kalibri atendojn. Dua instigo estas eniga mekanismo, ne pruvo, ke dua faktoro estas trudata, ĉar la trudo okazas ĉe la servila flanko kaj montriĝas nur kiam vi testas malĝustan kodon.

La kodita kampo, kiun sendas la administra interfaco

Kiam fasado gvidas la konekton tra la administra interfaco, la pasvorto kaj la defia respondo estas kunpakitaj en unu valoron antaŭ sendo. La referenco de la administra interfaco dokumentas la formaton: prefikso, poste la pasvorto kaj la respondo kiel apartaj Base64-komponantoj.

Base64 estas kodigo, ne protekto. Ĝi kaŝas nenion de iu, kiu povas legi la kampon, kaj ĝi ne igas unufojan kodon io reuzebla. La kunpakita valoro meritas la saman traktadon kiel pasvorto: for el komunaj profiloj, for el komandlinioj kaj for el diagnozaj protokoloj.

Tiu kodigo ankaŭ estas la plej ofta fonto de konfuzo, ĉar nun ekzistas tri formoj, kiuj aspektas simile kaj ne estas interŝanĝeblaj. Ordinara akreditila dosiero enhavas pasvorton. Laŭvorta kunigo de pasvorto kaj kodo enhavas alian signoĉenon. Kunpakita respondo de administra kliento enhavas trian. Konfirmu, kiun atendas via kontrolvojo, antaŭ ol ŝanĝi kampon nur ĉar eraro malaperis.

Statika kontraŭ dinamika: malsama tempigo

Statika defio estas konata antaŭ ol la unua akreditaĵo estas sendata, do la kliento povas peti ĝin antaŭe. Dinamika defio alvenas pli poste, sendata de la aŭtentiga laborfluo post kiam interŝanĝo jam komenciĝis, kaj ĝi bezonas klienton, kiu povas pritrakti peton meze de la konversacio.

Subteno de unu ne donas al vi la alian. Profila instrukcio, kiu agordas statikan instigon, ne realigas servile iniciatitan defion, kaj fasado, kiu pritraktas dinamikajn petojn, eble tamen ne montras statikan. Legi, kiu flanko iniciatis la peton, estas la plej rapida maniero distingi ilin.

Nesuperrigardata operacio estas kie tio fariĝas demando pri dezajno, ne pri fasado. Konservita kodo ne estas daŭra akreditaĵo por starto, kaj rekonekto horojn poste bezonos freŝan enigon, krom se la deplojo subtenas ĵetonan aranĝon, kiun la funkciiganto intence ebligis.

Testu sukceson kaj malsukceson, ne nur la dialogon

Rulu ambaŭ duonojn de la testo. Ĝustaj akreditaĵoj kun valida respondo devus sukcesi; ĝustaj akreditaĵoj kun intence malĝusta respondo devus esti rifuzitaj. Se ambaŭ sukcesas, la kliento kolektas enigon, kiun nenio kontrolas, kaj la dialogo estis konfuzita kun regilo. Tiu unu testo kaptas pli da deplojoj ol iu ajn profila revizio.

Poste ripetu la konekton post rekonekto, kun konto, kiu ne estas registrita, kaj per kiu ajn kliento viaj uzantoj fakte uzas. La apero de la instigo estas klienta konduto; la rifuzo de malĝusta kodo estas la servilo trudanta ion.