OpenVPN wachtet op in systemd-wachtwurdfersyk: moatsto it beäntwurdzje?

Yn de terminal ferskynt in berjocht oer systemd-tty-ask-password-agent, en de tunnel is net omheech. De ferliedlike lêzing is dat de VPN in wachtwurd wegere hat en dat der no eat op in korreksje wachtet. Krekter is te sizzen dat in tsjinst systemd om ynteraktive ynfier frege hat, en dat it fersyk noch net beäntwurde is. Hokker tsjinst frege, en hokker geheim er hawwe wol, binne twa fragen dy'tsto besliepe kinst foardatsto eat ynfierst.

Twa betingsten bepale wa't beäntwurdzje moat

De earste betingst is oftsto dizze ynstânsje bewust begûn bist. In fersyk dat folget op in aksje fan dy is oan dy om te beäntwurdzjen, en ien dat ferskynt sûnder in byhearrende aksje heart by eat oars. De twadde is oft it geheim akkount-ferifikaasje is of kaai-beskerming, want dy libje op ferskate plakken en reizgje troch ferskate kodepaadsjes. Beide antwurden binne yn it sjoernaal te sjen as do sjochst foardatsto hannelst.

As beide antwurden dúdlik binne, is de beslissing ienfâldich: beäntwurdzje fia it eigen stipe promptpaad fan de tsjinst. As ien fan beide ûndúdlik is, is de goede set om te ûndersykjen ynstee fan in wachtwurd yn in prompt te typen dy'tsto net taskriuwe kinst.

Dat is de hiele regel, en it is de muoite wurdich om him foar de opdrachten te neamen. Alles hjirûnder folget derút.

List it fersyk op foardatsto eat typest

De agint kin ophelje wat der hinget sûnder eat te beäntwurdzjen. sudo systemd-tty-ask-password-agent --list prints de iepensteande fersiken, en dy útfier is it bewiis datsto nedich bist om in prompt oan in ienheid te keppeljen. Lês it foardatsto in bewiis fan identiteit leverest, en hâld fersykbeskriuwings bûten elke iepenbiere diagnostyske plak.

Korrelearje de list mei de operaasje dy'tsto begûn bist en mei de ienheid dy't him besit. As neat yn de list by dyn aksje past, heart de prompt dy'tsto seachst by in oare tsjinst en is it net oan dy om him op te lossen. De ienheidsnamme yn de list is de iennichste betroubere keppeling tusken in prompt en in tsjinst.

Beäntwurdzje gjin fersyk datsto net taskriuwe kinst. De kosten fan wachtsjen binne fertraging, wylst de kosten fan it beäntwurdzjen fan de ferkearde prompt in bewiis fan identiteit op it ferkearde plak binne.

Hokker geheim hat de ynstânsje echt nedich?

auth-user-pass giet oer akkount-ferifikaasje by de VPN-tsjinst, en sûnder in bewiisbestân is it dokumintearre gedrach om op de konsôle te freegjen. askpass krijget ynstee de wachtfrase dy't beskerme kaaistof ûntslút, en docht dat foardat it proses as eftergrûntsjinst draait. Dat binne ferskate geheimen mei ferskate libbensdoerren.

De bestânsformaten ferskille ek. De akkountfoarm ferwachtet in brûkersnamerige en in wachtwurdrige, wylst it kaai-wachtfrasebestân de earste rige as syn wachtwurd lêst. It kopiearjen fan in resept foar in bewiisbestân fan de oare rol leveret meastentiids noch in prompt ynstee fan in oplossing. In bestân mei de ferkearde foarm is slimmer as gjin bestân, want de mislearring ferhuzet nei in plak dêr't nimmen op sjocht.

Kontrolearje hokker rjochtline de ynstânsje brûkt foardatsto beslútst watsto typest. De namme fan de rjochtline fertelt dy foar hokker geheim it fersyk is.

Wat --query docht wat --list net docht

--query ferwurket elk hingjend fersyk op de oanroppende terminal, wat in folle bredere aksje is as it beäntwurdzjen fan ien prompt. It is gjin OpenVPN-karring en op in drokke masine kin it fersiken beäntwurdzje dy't by oare ienheden hearre. De wachtmodus is noch breder, want dy bliuwt fersiken behanneljen sa't se binnenkomme.

Brûk it smelste meganisme dat wurket. Foar ien tsjinst is de eigen promptwurkstream fan dy tsjinst smeller as in globaal agint, en hy hâldt it antwurd ferbûn oan de ienheid dy't frege hat.

In ienmalich fersyk omsette yn in ûnbewekke globaal agint om't in melding ien kear ferskynde, is hoe't in tydlike ergernis in permanint ûntwerp wurdt. Deselde foarsichtigens jildt foar it útskeakeljen fan wachtwurdmelding-ienheden oer de hiele host.

Beslis, en fêstigje dan de kar

Foar in ûnbewekke útrôl, stim it bewiisboarne, de bestânsrjochten en it fernijingsskema ôf mei wa't de ferbining besit. In ynteraktive twadde faktor kin in persoan of in tawijde tsjinstidentiteit nedich wêze. It fersyk de kop yndrukke leveret dy ferifikaasje net, en it fuortheljen fan auth-user-pass brekt allinnich in tsjinst dy't it nedich hat.

Sjoch nei de ynteraksje nei deselde ynstânsje foar syn folgjende barren en test it partikuliere boarne. As der neat hinget, gean werom nei de steat fan de ynstânsje ynstee fan elke OpenVPN-ienheid op de host te starten.