OpenVPN zerbitzua gako pribatuaren pasahitza eskatzean geratzen da: nola konpondu
Zerbitzuak ez du terminalik, beraz gako zifratuak askpass eta fitxategi irakurgarria behar ditu. Bereizi gakoaren pasaesaldia zerbitzariko saio-hasieratik eta egiaztatu unitatea.
OpenVPN gako pribatuaren pasaesaldia eskatzen du makina lokalean, beraz funtzionatzen duen saio-hasierako fitxategi batek ez dio inoiz erantzuten. Zerbitzu batean ez dago idazteko terminalik, eta abiaraztea edo blokeatu egiten da edo huts egiten du sarrera izendatzen duen erregistro-sarrera batekin, kausa izan beharrean. Bi sekretu daude jokoan, eta bakoitzak bere irakurgarri den iturria behar du unitatea berrabiarazi aurretik. Beheko bideak bereizi egiten ditu, eta gero fitxategi bakoitza benetan irekitzen duen identitatea egiaztatzen du.
Bereizi bi eskaerak
Gakoaren pasaesaldiak gako pribatu lokala deszifratzen du; kontuaren kredentzialek saioa zerbitzariarekin autentifikatzen dute. Leku ezberdinetatik datoz, une ezberdinetan huts egiten dute eta mezu ezberdinak ematen dituzte. Hauek nahasteak jendea pasahitza berrezartzeko bila bidaltzen du, kontuak zerikusirik izan ez bazuen ere. Irakurri eskaeraren testua edozein aukera aldatu aurretik, idazkerak soilik ematen baitu sekretu falta denaren arrasto fidagarria.
Community OpenVPN 2.x-en askpass gakoaren pasaesaldia lehen lerroan daukan fitxategia izendatzen du, eta auth-user-pass erabiltzaile-izena lerro batean eta pasahitza hurrengoan dituen fitxategia. Bi fitxategietako batek ere ezin du beste aukera ase. Mahaigaineko aplikazio batek edo NetworkManager profil batek biek bere sekretu-biltegian gorde ditzakete, komando-lerroko bezero batek inoiz irakurtzen ez duena, beraz ohartu zein bezero konfiguratzen ari zaren edozein bide idatzi aurretik.
Egin bi aukerak fitxategi irakurgarrietara
Bi sarrerak behar dituen profil batek hiru fitxategi-erreferentzia izaten ditu: gako zifratua, hura irekitzen duen pasaesaldia eta saio-hasierako bikotea. Gehitu itzazu CA eta identitate-egiaztapenak ukitu gabe, horiek erabakitzen baitute nor den zerbitzaria eta ez baitira arazo honen parte. Hedapenak kontu-kredentzialik erabiltzen ez badu, auth-user-pass gehituz gero inork eman ezin duen sarrera bat sortzen da.
key /etc/openvpn/client/office.key
askpass /etc/openvpn/client/office-key.pass
auth-user-pass /etc/openvpn/client/office-login.authArgumenturik gabeko aukerak ez bezala jokatzen dute bidea duten aukerek, eta aldea garrantzitsua da zerbitzu batean. Argumenturik gabeko askpass batek kontsola irakurtzen du oraindik, eta erabiltzaile-izena soilik duen auth-user-pass fitxategi batek pasahitz-eskaera bat itxaroten uzten du oraindik. Bezeroa deabrutzen denean ezin dio inolaz ere terminalari sarrerarik eskatu, beraz horrela konfiguratutako zerbitzua ez da abiarazten.
Bide absolutuek lan-direktorioaren galdera kentzen dute, baina ez dute sarbiderik ematen. Jabetza, modua eta ibiltzea datoz gero, eta hirurak prozesua exekutatzen den kontuaren aurka egiaztatzen dira.
Irakurri unitatearen konfigurazioa profila baino lehen
Instantziak zein konfigurazio kargatzen duen unitateak erabakitzen du, ez zuk editatzen ari zinen fitxategiak. Irakurri bere komando-lerroa eta edozein drop-in, eta gero jarraitu lan-direktorioa benetan erabiltzen den profileraino. Beste .ovpn fitxategi batean gehitutako pasaesaldi-erreferentziak ez du ezer aldatzen instantzia honentzat.
Irakurtzeko soilik diren hiru komandok erantzuten dute horren zatirik handiena. Lehenak unitatea eta edozein drop-in inprimatzen ditu, bigarrenak prozesua mugatzen duten identitatea eta sandbox ezarpenak, eta hirugarrenak azken abiarazteak benetan zer salatu zuen. Erabili ostalarian existitzen den instantzia-izena:
systemctl cat [email protected]
systemctl show [email protected] -p User -p Group -p WorkingDirectory -p ProtectHome
journalctl -u [email protected] -bKontuan hartu ProtectHome eta profilaren beraren user, group eta chroot aukerak. Etxeko direktorio baten azpiko fitxategi bat zure shell-ean irakurgarri izan daiteke eta zerbitzuaren barnean ikusezin, etxeko direktorioak ezkutatzen direnean. systemd abiarazten duen kontua ez da beti gakoa azkenean irekitzen duen kontua.
Froga ezazu exekuzio-identitateak bi fitxategiak ireki ditzakeela
Modua irakurtzea ez da nahikoa, bidean dauden direktorio guztiek identitate berberak zeharkagarriak izan behar baitute. Ibili bidea osagai osagai, eta gero probatu irekitzea prozesuak erabiltzen duen kontu gisa. root-en jabetzako eta 600 moduko fitxategi batek prozesua oraindik root den bitartean bakarrik funtzionatzen du, eta hori ez da egia profil askok egiten duten pribilegio-jaitsieraren ondoren. Bi komandok estaltzen dituzte zeharkatzea eta irekitzea:
namei -l /etc/openvpn/client/office-key.pass
sudo -u openvpn test -r /etc/openvpn/client/office-key.pass && echo readableLehen komandok osagai bakoitzaren modua inprimatzen du eta kontuak zeharka dezakeen lekuan huts egiten du; bigarrenak axola duen galdera bakarrari erantzuten dio, hau da, exekuzio-identitateak fitxategia irakurtzeko ireki dezakeen. Batak ere ez du fitxategiaren edukia inprimatzen, eta hori da kontua fitxategiak pasaesaldi bat daukalako. Errepikatu proba saio-hasierako fitxategirako, biak sarritan jabetza ezberdinarekin gordetzen baitira.
Prozesuak chroot edo namespace mugatua erabiltzen badu, exekutatu proba bera ikuspegi horren barnean, bestela erantzunak okerreko fitxategi-sistema deskribatzen du. Etxeko direktorio ezkutu baten azpian gordetako pasaesaldi bat da unitatetik kanpo pasatu eta barnean huts egiten duen probaren adibide ohikoa.
Egiaztatu lehen abiaraztea, gero berriro konektatzea
Abiarazi instantzia behin eta irakurri lehen hutsegitea, azkena ez. Falta den sarrera-fitxategia, gakoaren deszifratzeak huts egitea eta zerbitzariaren AUTH_FAILED hiru gertaera ezberdin dira, hiru konponbide ezberdinekin. Baimenen abisu bat konpontzeak ez du ezer frogatzen gakoa ireki zen ala ez.
Erregistroaren lerroak esaten du hiruetako zein duzun. Konponbidea zein sarrerak huts egin zuen araberakoa da:
| What the journal shows | Which input failed | Where to look |
|---|---|---|
| A path that cannot be opened | The file the profile names | Askpass or login path, and the unit's working directory |
| A key decryption error | The key passphrase | First line of the askpass file, and read access for the runtime identity |
AUTH_FAILED from the server | The account credentials | Login file contents, and whether the account is still valid |
Ondoren probatu benetan behar duzun bizi-zikloa: abioan hasteko eta onartutako berriro konektatze oro, ez soilik zure shell-etik eskuz egindako abiaraztea. auth-nocache erabilita, sarrerak lehen erabileraren ondoren baztertu egiten dira, beraz geroagoko berriro konektatze batek oraindik iturri irakurgarria behar du. Mahaigaineko saio-hasieran irekitzen den giltza-sortak ez du erabilgarririk inor saioa hasi aurretik abiarazi zen zerbitzuarentzat, eta hori da eskuzko proba bat pasatzen eta berrabiarazte bat huts egiten duen arrazoi ohikoa. Lehen abiarazteak arrakasta badu eta geroagoko berriro konektatze batek huts egiten badu, irakurri erregistroa berriro konektatzearen gertaerarako baimenak berriz aldatu aurretik.
Pasaesaldia gakoaren ondoan gordetzeak zifratzeak ematen dizuna gutxitzen du, beraz mugatu fitxategi hori eta bere kopiak. Gakoaren pasaesaldia kentzea kredentzialen erabaki bereizia da, ez falta den sarrera konpontzeko modua. Giza onespenaren edo MFA interaktiboaren mende dagoen hedapen batek bere agente edo kudeaketa-integrazio onartua behar du; betiko gordetako erabilera bakarreko kodea ez da ordezko baliokidea.