Non kokatzen den erronka estatikoaren kodea OpenVPN saio-hasieran

Bezeroak bigarren koadro bat erakusten du pasahitz-eremuaren ondoren, hardwaredun tokenaren kodea idazten duzu, eta saio-hasierak huts egiten jarraitzen du autentifikazio-errore batekin. Koadro hori badago, beraz profilak eskatu zuen. Zerbitzariak balioa ulertzen duen forman inoiz jaso zuen ala ez beste galdera bat da, eta horri erantzun behar zaio lehenengo.

Hasi zure bezeroak benetan erakusten duen abisu-mezuarekin

Profilak erronka estatikoaren direktiba eraman dezake abisu-kate batekin eta erantzuna idazten duzun bitartean erakusten den ala ez kontrolatzen duen bandera batekin. Abisua elkarrizketa-koadroan ikusten duzuna da; bandera sarrera berberaren bistaratze-lehentasuna da. Bi horietako inork ez dio zerbitzariari ezer nola egiaztatu esaten.

Zenbatu benetan eman zizkizuten eremuak. Erabiltzaile-izenerako eremu bat gehi eremu maskaratu bat pasahitz bidezko saio-hasiera arrunta da, erronkarik gabe. Pasahitzaren ondoren bere etiketa propioarekin agertzen den bigarren eremua bezeroa erronkaren elkarrekintza inplementatzen ari dela da.

Erabiltzen duzun bezeroan bigarren koadroa sekula agertzen ez bada, agian bezero horrek ez du elkarrekintza inplementatzen, edo kudeaketa-interfaze bat bezalako beste aurreko alde baten bidez sollik inplementatzen du. Bezeroa egiaztatzea profila berridaztea baino merkeagoa da, eta normalean desberdintasuna benetan han egoten da.

Zerbitzariak jada zer onartu behar duen

Profilak bezeroak zer bildu behar duen deskribatzen du. Ez du zerbitzarian egiaztatzea gaitzen, eta dagokion autentifikazio-integrazioa ez duen zerbitzari batek ezagutzen ez duen pasahitz bat jasoko du soilik. Hori dela eta zenbait hedapenek abisua erakusten dute eta kode guztiak baztertzen dituzte, eta hori dela eta operadorearen erantzuna, zein mekanismok egiten duen egiaztapena, da garrantzitsuena.

Galdetu operadoreari zein mekanismok egiten duen egiaztapena. PAM-ekin hitz egiten duen plugina izan daiteke, erantzuna token-zerbitzu baten aurka balidatzen duen script-kako bat, edo balio bilduma bera aztertzen duen kudeaketan oinarritutako integrazio bat. Horietako bakoitzak sarrera pixka bat desberdina espero du.

Hemen ere itxaropenak kalibratu behar dira. Bigarren abisu bat sarrera-mekanismoa da, ez bigarren faktorea aplikatzen denaren froga, aplikazioa zerbitzariaren aldean gertatzen baita eta kode oker bat probatzen duzunean bakarrik azaltzen da.

Kudeaketa-interfazeak bidaltzen duen eremu kodetua

Aurreko alde batek konexioa kudeaketa-interfazearen bidez gidatzen duenean, pasahitza eta erronkaren erantzuna balio bakarrean biltzen dira bidali aurretik. Kudeaketa-interfazearen erreferentziak formatua dokumentatzen du: aurrizki bat, eta gero pasahitza eta erantzuna Base64 osagai bereizi gisa.

Base64 kodetzea da, ez babesa. Ez dio ezer ezkutatzen eremua irakur dezakeen inori, eta ez du erabilera bakarreko kodea berrerabilgarri bihurtzen. Balio bildumak pasahitzaren tratamendu bera merezi du: profil partekatuetatik kanpo, komando-lerroetatik kanpo eta diagnostiko-erregistroetatik kanpo.

Kodetze hori nahasmenaren iturri ohikoena ere bada, orain hiru forma daudelako antzekoak diruditenak eta trukagarriak ez direnak. Kredentzial-fitxategi soil batek pasahitz bat dauka. Pasahitzaren eta kodearen elkarketa literalak beste kate bat dauka. Kudeaketa-bezero baten erantzun bildumak hirugarrena dauka. Egiaztatu zure egiaztapen-bideak zein espero duen eremu bat aldatzen hasi aurretik, errore bat desagertu delako bakarrik.

Estatikoaren aurrean dinamikoa: denbora desberdina

Erronka estatiko bat lehen kredentziala bidali aurretik ezagutzen da, beraz bezeroak aldez aurretik eskatu dezake. Erronka dinamiko bat geroago iristen da, autentifikazio-fluxuak bidalia trukea hasi ondoren, eta elkarrizketaren erdian dagoen eskaera bat kudea dezakeen bezeroa behar du.

Baten onarpenak ez dizu bestea ematen. Abisu estatiko bat konfiguratzen duen profil-direktibak ez du zerbitzariak hasitako erronkarik inplementatzen, eta eskaera dinamikoak kudeatzen dituen aurreko alde batek baliteke estatiko bat erakusten ez jarraitzea. Eskaera zein aldek hasi zuen irakurtzea da haiek bereizteko modurik azkarrena.

Arretarik gabeko funtzionamendua da hau diseinu-kontu bihurtzen den tokia, interfaze-kontu beharrean. Gordetako kode bat ez da abio-kredentzial iraunkorra, eta ordu batzuk geroagoko berrikonexioak sarrera berria beharko du, hedapenak operadoreak nahita gaitutako token-akordioa onartzen ez badu behintzat.

Probatu arrakasta eta hutsegitea, ez bakarrik elkarrizketa-koadroa

Exekutatu probaren bi erdiak. Kredentzial zuzenek erantzun baliodunarekin arrakasta izan beharko lukete; kredentzial zuzenek nahita okerra den erantzunarekin baztertuak izan beharko lukete. Biak arrakastatsuak badira, bezeroak ezerk egiaztatzen ez duen sarrera biltzen ari da, eta elkarrizketa-koadroa kontrol batekin nahastu da. Probak bakarrak profil-berrikuspen edozeinek baino hedapen gehiago harrapatzen ditu.

Ondoren errepikatu konexioa berrikonexio baten ondoren, izena eman ez duen kontu batekin, eta zure erabiltzaileek benetan erabiltzen duten bezeroaren bidez. Abisua agertzea bezeroaren portaera da; kode oker baten baztertzea zerbitzariak zerbait ezartzea da.