Kas OpenConnecti --key-password on sinu VPN-konto parool?

Lugege valiku nime sõna-sõnalt. See nimetab võtit ja segadus algab siis, kui avatavat faili aetakse segi kontoga, mida autenditakse. Kleepige konto parool sellesse valikusse ja klient proovib sellega avada võtmefaili, mis ebaõnnestub põhjustel, millel pole VPN-i sisselogimisega mingit pistmist.

Segadust tekitav on see, et üks ühendus võib õigustatult vajada mõlemat saladust. Kliendisertifikaadiga autentimine võib nõuda krüpteeritud võtit ja sama lüüs võib pärast sertifikaadi vastuvõtmist siiski teha kasutaja autentimisvahetuse. Kumbki saladus ei rahulda teist etappi ja ebaõnnestumine ühes näeb väljastpoolt väga sarnane ebaõnnestumisega teises.

Kaks saladust, kaks erinevat tööd

Lugege rolle faililigipääsuna versus võrku lubamisena. Võtme parool dekrüpteerib --sslkey poolt näidatud PEM-privaatvõtme, et saaks esitada TLS-i kliendisertifikaati. See dekrüpteerimine toimub kohapeal, kliendiprotsessi sees, ja parool ise ei liigu kunagi lüüsile. Lüüs näeb sertifikaati ja võtmega tehtud allkirja. OpenConnecti käsiraamat hoiab --key-password valikut --certificate ja --sslkey kõrval ning TPM-is hoitavat võtit kasutada suudavates buildides kannab sama valik hoopis salvestuse juurvõtme parooli.

Konto parool on teist laadi. See läheb autentimisvahetusse: kasutajanime ja parooli vorm, märgis, SAML-i ring või mingi kombinatsioon, mida lüüs kuulutab. Mõned juurutused ei küsi seda üldse, kui sertifikaat on ainus tegur, ja mõned küsivad seda ka pärast sertifikaati, sest sertifikaat tõestab seadet, samas kui konto tõestab inimest.

Kahe segamine tekitab eksitavaid vigu. Sisselogimist tagasi lükkav lüüs teatab tavaliselt autentimistõrkest, samas kui vale võtmeparool ebaõnnestub tavaliselt varem, kui TLS-kiht ei suuda võtmefaili lugeda. Need on erinevad etapid erinevate parandustega ja nimed on piisavalt sarnased, et inimesed vahetavad need ära ja ajavad seejärel taga valet logi. Pange tähele, milline viip ilmnes enne mis tahes seade muutmist, sest viiba sõnastus on odavaim diagnoos, mis teil on.

Millal võtme parooli tegelikult vaja läheb

Valikul on mõte ainult siis, kui on krüpteeritud võti, mida avada. Kui ühendute kasutajanime ja parooliga ning ilma kliendisertifikaadita, pole --key-password valikul millelegi mõjuda ja selle lisamine ei muuda midagi. Kui ühendute valikutega --certificate ja --sslkey, otsustab võtmefaili enda vorming, kas parooli üldse küsitakse.

Mõlemad saladused ühes käsus on hallatavates keskkondades tavaline: seadmesertifikaat krüpteeritud võtmes pluss sisselogimine iga kasutaja kohta. Õige järjekord on lasta kliendil küsida võtmeparooli kohapeal, lõpetada sertifikaadi kätlemine ja seejärel käsitleda lüüsi kontoviipa eraldi. Katse mõlemad ühe korduvkasutatava skriptiga ette täita on koht, kus segadus tavaliselt algab.

Kasulik diagnoos on vaadata, millal tõrge toimub. Kui klient peatub enne, kui algab mis tahes võrguautentimine, kahtlustage võtmefaili, selle vormingut või parooli. Kui TLS-i sessioon on loodud ja lüüs lükkab seejärel kasutaja tagasi, tegi võti oma töö ja probleem on konto vahetuses.

Hoidke mõlemad saladused kestast väljas

Käsurea argumente saavad teised kohalikud kasutajad protsessitabeli kaudu lugeda ja need jäävad sageli kesta ajalukku, skriptidesse ja toe transkriptsioonidesse. OpenConnect saab konto parooli lugeda standardsisendist valikuga --passwd-on-stdin ja võtmeparool võib tulla interaktiivsest viibast või agendist, mitte argumendist. Kumbki mehhanism ei tee saladust iseenesest turvaliseks, kuid mõlemad hoiavad seda kõige paljastatumatest kohtadest eemal.

Failid väärivad sama hoolt. Skript, mis kirjutab parooli ajutisse faili, peaks selle looma piiravate õigustega, kustutama väljumisel ja vältima kõigile loetavaid katalooge. Parool, mis jääb sessioonist ajutisse kataloogi, on koopia, mille tegemise unustasite. Keskkonnamuutujad on alamprotsessidele nähtavad ja neid kajastavad sageli silumisvahendid, seega pole need argumentide ees tasuta uuendus.

Diagnostiline väljund on vaikne leke. Kliendi logid suuremal detailsusel võivad näidata päringu kehi või valikute väärtusi ja kopeeritud terminalitranskripti on lihtne piletisse kleepida, seega lugege väljund enne jagamist läbi.

Surnud töölauanupp on hoopis teine viga

Töölaua VPN-kirje, mis näitab pöörlevat indikaatorit ja siis mitte midagi, pole tavaliselt üldse autentimisprobleem. Nupp kuulub võrguhaldurile, tarnija rakendikesele või pistikprogrammile, mis käivitab OpenConnecti teie nimel, ja puuduv komponent või loetamatu profiil võivad tekitada täpselt selle sümptomi. Leidke, millise protsessi nupp käivitab, ja lugege selle viga enne volituste puudutamist.

On ahvatlev sertifikaadi kontrolli lõdvendada või mõni kontroll välja lülitada, kui graafiline liides keeldub ühendumast. See muudab kliendiintegratsiooni vea turbealanduseks ega paranda käivitusprobleemi peaaegu kunagi. Hoidke serveri kontroll puutumatuna, kinnitage, et profiil osutab kavandatud lüüsile, ja kontrollige, kas liidese oodatav abiprogramm on tegelikult paigaldatud.

Lühike kontrollnimekiri eristab juhtumid. Kohalik tõrge enne, kui ükski pakett väljub, osutab võtmele või kliendi paigaldusele. Lüüsi keeldumine pärast TLS-i sessiooni osutab konto vahetusele. Nupp, mis ei käivita kunagi klienti, osutab töölauaintegratsioonile. Kolm erinevat viga, millest üks on parool, mille te olite just vale kasti kleepimas.