OpenConnect-en --key-password zure VPN kontuaren pasahitza al da?

Irakurri aukeraren izena hitzez hitz. Gako bat izendatzen du, eta nahasmena hasten da desblokeatzen ari den fitxategia autentifikatzen ari den kontuarekin nahasten denean. Itsatsi kontuaren pasahitza aukera horretan eta bezeroak gako fitxategi bat irekitzen saiatuko da harekin, eta horrek huts egiten du VPN saio-hasierarekin zerikusirik ez duten arrazoiengatik.

Nahasgarria dena da konexio batek zilegi duela bi sekretuok behar izatea. Bezeroaren ziurtagiriaren autentifikazioak gako zifratua behar izan dezake, eta atebide berak erabiltzailearen autentifikazio trukea egin dezake ziurtagiria onartu ondoren. Sekretuetako batek ere ez du beste etapa betetzen, eta bateko hutsegitea kanpotik besteko hutsegitearen oso antzekoa da.

Bi sekretu, bi lan desberdin

Irakurri rolak fitxategirako sarbide gisa sareko onarpenaren aurka. Gakoaren pasahitzak --sslkey aukeran adierazitako PEM gako pribatua deszifratzen du, TLS bezeroaren ziurtagiria aurkeztu ahal izateko. Deszifratze hori lokalean gertatzen da, bezeroaren prozesuaren barruan, eta pasaldia bera ez da inoiz atebidera joaten. Atebideak ikusten duena ziurtagiria eta gakoarekin egindako sinadura da. OpenConnect-en eskuliburuak --key-password --certificate eta --sslkey ondoan mantentzen ditu, eta TPM batean gordetako gakoa erabil dezaketen bertsioetan aukera berak biltegiko erro-gakoaren pasahitza darama ordez.

Kontuaren pasahitza mota desberdinekoa da. Autentifikazio trukean sartzen da: erabiltzaile-izena eta pasahitza dituen formularioa, token bat, SAML itzulia edo atebideak iragartzen duen konbinazioren bat. Zenbait inplementaziok ez dute batere eskatzen ziurtagiria faktore bakarra denean, eta batzuek ziurtagiriaren ondoren ere eskatzen dute, ziurtagiriak gailua frogatzen baitu eta kontuak pertsona.

Bien nahasketak errore engainagarriak sortzen ditu. Saio-hasiera baztertzen duen atebide batek autentifikazio hutsegitea jakinarazten du normalean, gakoaren pasaldi okerra lehenago huts egiten duen bitartean, TLS geruzak gako fitxategia irakurri ezin duenean. Etapa desberdinak dira konponbide desberdinekin, eta izenak nahikoa antzekoak dira jendeak trukatu eta gero erregistro okerraren atzetik ibili dadin. Kontuan hartu zein iradokizun agertu zen edozein ezarpen aldatu aurretik, iradokizunaren hitzak duzun diagnosi merkeena baita.

Gakoaren pasahitza noiz behar den benetan

Aukerak zentzua du desblokeatzeko gako zifratu bat dagoenean soilik. Erabiltzaile-izen eta pasahitzarekin eta bezeroaren ziurtagiririk gabe konektatzen bazara, --key-password aukerak ez du zertan eragin, eta hura sartzeak ez du ezer aldatzen. --certificate eta --sslkey erabiliz konektatzen bazara, gako fitxategiaren formatuak berak erabakitzen du pasaldia eskatuko den ala ez.

Bi sekretuak komando bakarrean ohikoak dira kudeatutako inguruneetan: gailuaren ziurtagiria gako zifratu batean, gehi erabiltzaile bakoitzeko saio-hasiera. Segida egokia da bezeroak gakoaren pasaldia lokalean eskatzeko bidea uztea, ziurtagiriaren esku-ematea amaitzea eta gero atebidearen kontu iradokizuna bereizitakoan kudeatzea. Biak aldez aurretik berrerabilitako script bakar baten bidez betetzeko saiakera da nahasmena normalean hasten den lekua.

Diagnosi erabilgarria hutsegitea noiz gertatzen den begiratzea da. Bezeroa sareko autentifikazioa hasi aurretik gelditzen bada, susma itzazu gako fitxategia, haren formatua edo pasaldia. TLS saioa ezarri eta gero atebideak erabiltzailea baztertzen badu, gakoak bere lana egin du eta arazoa kontuaren trukean dago.

Eduki bi sekretuak shellaren historiatik kanpo

Komando-lerroko argumentuak beste tokiko erabiltzaile batzuek irakur ditzakete prozesu-taularen bidez, eta askotan shellaren historian, scriptetan eta laguntza transkripzioetan harrapatzen dira. OpenConnect-ek kontuaren pasahitza sarrera estandarraretik irakur dezake --passwd-on-stdin aukerarekin, eta gakoaren pasaldia elkarrekintzako iradokizun batetik edo agente batetik etor daiteke argumentu batetik beharrean. Inongo mekanismok ez du sekretua berez seguru egiten, baina biek toki agerienetik kanpo mantentzen dute.

Fitxategiek arreta bera merezi dute. Pasaldia aldi baterako fitxategi batean idazten duen script batek murriztaileak diren baimenekin sortu beharko luke, irtetean ezabatu eta denek irakur ditzaketen direktorioak saihestu. Saioaren ondoren aldi baterako direktorio batean bizirik dirauen pasaldia egitea ahaztu zenuen kopia bat da. Ingurune-aldagaiak prozesu umeek ikus ditzakete eta askotan arazketa tresnek islatzen dituzte, beraz ez dira argumentuen gaineko hobekuntza doakoa.

Diagnosi-irteera isurtze isila da. Bezeroaren erregistroek xehetasun handiagoz eskaeren gorputzak edo aukeren balioak erakuts ditzakete, eta kopiatutako terminal transkripzioa erraza da tiket batean itsasteko, beraz irakurri irteera partekatu aurretik.

Mahaigaineko botoi hila beste akats bat da

Biratzen ari den adierazlea erakutsi eta gero ezer ez duen mahaigaineko VPN sarrera bat normalean ez da autentifikazio arazoa inola ere. Botoia sare-kudeatzaile bati, fabrikatzailearen applet bati edo zure izenean OpenConnect abiarazten duen plug-in bati dagokio, eta falta den osagai batek edo irakurtezina den profilek sintoma hori bera sor dezakete. Aurkitu botoiak zein prozesu abiarazten duen eta irakurri haren errorea kredentzialak ukitu aurretik.

Tentagarria da ziurtagiriaren egiaztapena lasaitzea edo egiaztapen bat desgaitzea interfaze grafikoak konektatzeari uzten ez dionean. Horrek bezeroaren integrazio akatsa segurtasun-maila jaiste bihurtzen du eta gutxitan konpontzen du abiarazte arazoa. Mantendu zerbitzariaren egiaztapena ukitu gabe, berretsi profileak nahi den atebidera seinalatzen duela eta egiaztatu interfazeak espero duen laguntzailea benetan instalatuta dagoela.

Kontrol-zerrenda labur batek kasuak bereizten ditu. Pakete bat atera aurretik gertatzen den hutsegite lokalak gakoari edo bezeroaren instalazioari seinalatzen dio. TLS saioaren ondorengo atebidearen baztertzeak kontuaren trukeari seinalatzen dio. Bezeroa inoiz abiarazten ez duen botoiak mahaigaineko integrazioari seinalatzen dio. Hiru akats desberdin, eta horietako bat kutxa okerrean itsasteko zorian zinen pasahitza da.