چرا OpenVPN با وجود توکن همچنان فایل کلید خصوصی می‌خواهد
احتمالاً پروفایل هرگز توکن را نام نبرده است. کتابخانهٔ ارائه‌دهنده را از هویت سریال‌شدهٔ گواهی جدا کنید، سپس از فرآیندی که اتصال را برقرار می‌کند آزمایش کنید.
توکن را وصل می‌کنید، ابزار خود ارائه‌دهنده آن را می‌بیند، و کلاینت VPN همچنان فایل کلید خصوصی می‌خواهد. این درخواست شاهد آن نیست که توکن پشتیبانی نمی‌شود. معمولاً یعنی پروفایل هرگز به کلاینت نگفته است که از توکن استفاده کند، پس به ورودی‌های گواهی و کلید که به‌طور پیش‌فرض انتظار دارد بازگشته است.
دو مقدار جداگانه باید درست باشند تا این بازگشت متوقف شود: ارائه‌دهنده‌ای که توکن را نمایش می‌دهد، و هویت گواهی درون آن. این دو با گزینه‌های متفاوت تأمین می‌شوند و به‌راحتی با هم اشتباه گرفته می‌شوند.
کلاینت فایل می‌خواهد چون پروفایل چنین می‌گوید
پروفایل پیش‌فرض یک فایل گواهی و یک فایل کلید خصوصی، یا یک بستهٔ PKCS#12 انتظار دارد. وقتی این ورودی‌ها نباشند کلاینت چیزی برای بارگذاری ندارد و تقریباً مانند نبودن فایل رفتار می‌کند، و به همین دلیل نشانه به‌صورت مسیر خراب خوانده می‌شود نه سازوکار غایب. مسیر PKCS#11 این ورودی‌ها را جایگزین می‌کند نه تکمیل، پس پروفایلی که هنوز فایل کلید را نام می‌برد همچنان از فایل استفاده خواهد کرد. ورودی‌های فایل را آگاهانه حذف کنید و بگذارید توکن هر دو نیمه را تأمین کند.
گزینهٔ ارائه‌دهنده یک کتابخانهٔ میان‌افزار را نام می‌برد، نه یک دستگاه و نه یک گواهی. اینکه کلاینت بسته‌بندی‌شده بتواند آن کتابخانه را بارگذاری کند به نحوهٔ ساخت آن بستگی دارد، از جمله پشتیبانی اختیاری p11-kit که برخی ساخت‌ها فعال می‌کنند و برخی دیگر کنار می‌گذارند. یک آموزش عمومی نمی‌تواند بگوید بستهٔ شما چه چیدمانی دارد.
هویت سریال‌شده مقدار دیگری است
هویت گواهی یک رشتهٔ سریال‌شدهٔ بلند است که فرآیند کشف تولید می‌کند، و نه مسیر کتابخانه است، نه PIN توکن و نه نام حساب VPN. اغلب نویسه‌هایی دارد که به نقل‌قول نیاز دارند، و مقدار بدون نقل‌قول می‌تواند بدون خطای روشن بریده یا بد خوانده شود. از گزینهٔ کشف هویت خود کلاینت استفاده کنید تا فهرست کنید توکن چه چیزی نمایش می‌دهد، سپس ورودی موردنظر را دقیقاً کپی کنید. انتخاب نخستین شیء در فهرست همان راهی است که دستگاه در نهایت گواهی نادرست را ارائه می‌کند.
خروجی کشف به یک پرسش پیشین هم پاسخ می‌دهد: اینکه آیا توکن اصلاً از طریق آن ارائه‌دهنده دیده می‌شود. اگر چیزی فهرست نکند، مشکل بالاتر از کلاینت VPN است و به میان‌افزار مربوط می‌شود.
فرآیندی که اتصال را برقرار می‌کند باید به توکن برسد
عملیات توکنی که در نشست رومیزی شما کار می‌کند هیچ چیزی دربارهٔ یک سرویس سیستم اثبات نمی‌کند. سرویس ممکن است به‌عنوان کاربر دیگر، در فضای نام mount متفاوت، با مسیر ماژولی که کتابخانهٔ ارائه‌دهنده را حذف می‌کند، یا بدون اجازهٔ باز کردن گرهٔ دستگاه اجرا شود. مشخص کنید کدام فرآیند واقعاً اتصال را نگه می‌دارد و از همان بافت آزمایش کنید.
مدیریت PIN تصمیم جداگانه‌ای می‌طلبد. پیاده‌سازی مرجع یک حافظهٔ نهان PIN و یک مسیر احراز هویت محافظت‌شده ارائه می‌دهد، و هر دو وجود دارند تا بهره‌بردار به‌جای اختراع یک گردش کار، آن را انتخاب کند. یک نیاز بدون نظارت را به PIN متن ساده در یک پروفایل مشترک تبدیل نکنید، چون این حفاظت توکن را با راحتی معاوضه می‌کند. جایی که توکن صدور کلید را ممنوع می‌کند، امضا روی دستگاه انجام می‌شود و PIN تنها راز محلی است. با همان دقتی که این اقتضا می‌کند با آن رفتار کنید.
آنچه توکن جایگزینش نمی‌شود
توکن کلاینت را زیر سیاست مستقرشده احراز هویت می‌کند و بررسی‌های کلاینت روی سرور را جایگزین نمی‌شود. گواهی انتخاب‌شدهٔ موفق اجازهٔ پذیرش گواهی دروازهٔ غیرمنتظره نیست، و دو بررسی جهت‌های مخالف را حفاظت می‌کنند.
ثبت‌نام همچنان باید نزد صادرکننده انجام شود، و دروازه همچنان باید هویت را مجاز کند.
برای پذیرش، مراحل را جدا کنید: ارائه‌دهنده بارگذاری می‌شود، گواهی موردنظر پیدا می‌شود، کلید خصوصی با مجوز محلی استفاده می‌شود، VPN احراز هویت می‌شود، و عملیات منبع موفق می‌شود. در نخستین مرحله‌ای که شکست می‌خورد بایستید، نه اینکه میان گذرواژه‌ها بچرخید و پشتهٔ رمزنگاری را دوباره نصب کنید.
نسخه‌ها، مالکیت ماژول، شناسهٔ عمومی انتخاب‌شده و خطاهای پاک‌سازی‌شده را ثبت کنید، و PINها و بسته‌های اعتبارنامه را بیرون از آن ثبت نگه دارید.