Konponketa: OpenVPNek ezin izan zuen Auth erabiltzaile-izena sarrera estandarretik irakurri

could not read Auth username from stdin autentifikazio-arazo baten antza du eta ez da hori. OpenVPNek erabiltzaile-izena sarrera estandarretik eskatu nahi izan zuen, ez zuen ezer irakurgarririk aurkitu eta zerbitzariarekin kontaktatu aurretik gelditu zen. Kontua erabat baliozkoa izan daiteke; prozesuak ez du inor galdetzeko besterik.

Horregatik lehen urrats erabilgarria bezeroak zer irakurtzen duen baieztatzea da, ez konexioa berriro saiatzea edo zerbitzariaren aldeko ezarpenak aldatzea. Egin beheko egiaztapenak ordenan eta gelditu huts egiten duen lehenengoan.

Irakurri errorea sarrerako hutsegite lokal gisa

Baldin auth-user-pass fitxategi-argumenturik gabe agertzen bada, bezeroak galdetzea espero du. Shell interaktiboan galdera horrek funtzionatzen du prozesuak terminal bat duelako. systemd, cron lan edo edukiontzi baten azpian, sarrera estandarra normalean hutsik egoten da, eta irakurketa berehala itzultzen da ikusten ari zaren errorearekin.

Mezuak huts egin duen eremua ere izendatzen du, erabiltzaile-izena edo pasahitza, eta horrek irakurketa noraino iritsi den adierazten du. Erabiltzaile-izena falta bada, prozesuak ez zuen ezer irakurri. Erabiltzaile-izena ondo irakurri ondoren pasahitza falta bada, sarrera-fluxuak bi irakurketen artean amaitu zela esan nahi du, erdi idatzitako fitxategi bat edo itxitako hodi bat bezalakoa.

Baieztatu bezeroaren beraren ikuspegia beste ezer aldatu aurretik. Exekutatu lehen planoan konfigurazio berarekin eta erabiltzaile berarekin, eta begiratu galdera agertzen den. Zure shell-ean agertzen bada baina zerbitzu-kudeatzailearen azpian ez, aldea sarrerako iturrian dago, ez kredentzialetan. Unit fitxategiaren eta zure shell ingurunearen alderaketa azkarrak erakusten du normalean zeinek ematen duen terminal bat.

Eman zerbitzuari onartutako kredentzial-iturri bat

Gainbegiratze gabe funtzionatzeko onartutako iturria argumentu gisa pasatzen den kredentzial-fitxategi bat da: auth-user-pass. Fitxategia testu arrunt gisa irakurtzen da: lehen lerroa erabiltzaile-izena da, bigarrena pasahitza. Egin erreferentzia bide absolutu batekin, adibidez /etc/openvpn/client/creds , zerbitzu-kontuaren lan-direktorioak direktibaren esanahia aldatu ez dezan.

Baimenek bidearen garrantzi bera dute. Fitxategia bezeroa exekutatzen duen kontuarentzat irakurgarria izan behar da eta ez beste guztientzat, eta zerbitzu-kontuaren edo rooten jabetzakoa izan behar luke zerbitzua barne hartzen duen talde batekin. Egiaztatu irakurgarritasuna kontu hori bezala, edukia inprimatu gabe.

Bide erlatiboa huts egiteko modu isila da. Profila direktorio batean egon daiteke systemd prozesua beste nonbait hasten duen bitartean, beraz zure shellean ebazten den fitxategia ez da zerbitzurako ebazten. Eraman kredentzialak leku finko batera eta egin erreferentzia absolutua. Ondoren abiarazi zerbitzua behin eta baieztatu bide bera erabiltzen dela, profileko editorearen ikuspegia fidatu beharrean.

Hedaketak behin-behineko kode bat edo beste erronka interaktibo bat eskatzen badu, erabaki bezeroaren lan-fluxuak gainbegiratu gabe benetan onartzen duen. Pasahitz estatiko bat duen fitxategi batek ezin dio kode birakariari erantzun, eta erantzunik gabeko galdera bat berriro saiatzeak ez du informaziorik gehitzen.

Zergatik ez du script-security-k lagunduko

script-security kontrolatzen du bezeroak scriptak exekuta ditzakeen eta zenbat pasatu diezaiekeen, besteak beste pasahitza ingurune-aldagai baten bidez script bati eman daitekeen. Ez du ezer esaten erabiltzaile-izena eta pasahitza nondik datozen.

Maila altuago batera igotzea erreflexu ohikoa da mezuak Auth aipatzen duelako, baina scripten baimenak aldatzen ditu, ez sarrerako iturria, eta bezeroak exekuta dezakeena zabaltzen du. Script lagungarria diseinuaren parte bada, konpondu lehenik sarrerako iturria eta eduki segurtasun-maila hedapenak behar duen balio baxuenean.

Kudeaketa-interfazea alternatiba zilegi bat da. Frontend batek hari konektatu, kredentzial-eskaera jaso eta erabiltzaile-izenarekin eta pasahitzarekin erantzun dezake; horrela funtzionatzen dute GUI batzuek. Erabiltzen baduzu, lotu tokiko helbide batera, babestu kudeaketa-pasahitz fitxategi batekin eta mugatu nor konektatu daitekeen, bezeroaren kontrol-kanala delako.

Egiaztatu hurrengo fasea bezeroak fitxategia irakurri ondoren

Bezeroak kredentzialak irakurri ahal dituenean, hurrengo hutsegitea zerbitzariarekiko benetako trukea da, eta haren mezuak esanahi desberdina du. Fase horretako autentifikazio-hutsegiteak zerbitzariak kontua baztertu duela esan nahi du; erronka-erantzunak zerbitzariak beste faktore bat nahi duela. Hartu arazo berri gisa, ez bezala errepikatua.

Probatu bide osoa zerbitzuak exekutatuko duen moduan: kontu bera, lan-direktorio bera, unit ingurune bera. Zure shell-etik abiarazita soilik funtzionatzen duen konexioa seinale da ingurune-aldagai bat edo terminal bat oraindik fluxuaren parte dela.

Gero gorde sekretuak dagokien lekuan. Komando-lerroko argumentuetako pasahitzak prozesuen taulan agertzen dira, eta arazketa-irteerako pasahitzak tiketeetara joaten dira. Erabili fitxategi babestu bat edo kudeaketa-interfazea, eduki erregistroak kredentzialak errepikatzen ez dituen mailan, eta aldatu fitxategia sarbidea duen edonor joaten denean.

Egiaztapen-zerrenda: kredentzialen bide absolutua, zerbitzu-kontu gisa irakurgarria, terminalik behar ez, script-security minimoan utzita, kudeaketa-interfazea lotuta eta autentifikatuta badago soilik, eta ondoriozko zerbitzariaren erantzuna gertaera bereizi gisa tratatuta.