Stopann seirbhís OpenVPN agus pasfhocal na heochrach príobháidí á iarraidh: conas é a shocrú
Níl teirminéal ag seirbhís, mar sin teastaíonn askpass agus comhad inléite ó heochair chriptithe. Deighil pasfhocal na heochrach ó logáil isteach an fhreastalaí agus seiceáil an t-aonad.
OpenVPN iarrann pasfhocal na heochrach príobháidí ar an meaisín áitiúil, mar sin ní fhreagraíonn comhad logála isteach atá ag obair riamh é. I seirbhís níl aon teirminéal le clóscríobh ann, agus bíonn an tosú buailte nó teipeann air le hiontráil irise a ainmníonn an t-ionchur seach an chúis. Tá dhá rún i gceist, agus teastaíonn a fhoinse inléite féin ó gach ceann sula ndéantar an t-aonad a atosú. Deighlíonn an siúl thíos iad, agus ansin seiceálann sé an fhéiniúlacht a osclaíonn gach comhad i ndáiríre.
Idirdhealaigh an dá iarratas
Díghreamaíonn pasfhocal na heochrach an heochair phríobháideach áitiúil; fíoraíonn dintiúir an chuntais an seisiún leis an bhfreastalaí. Tagann siad ó áiteanna éagsúla, teipeann orthu ag amanna éagsúla agus tugann siad teachtaireachtaí éagsúla. Cuireann meascadh eatarthu daoine ag lorg athshocraithe pasfhocail nuair nach raibh baint ar bith ag an gcuntas. Léigh téacs an iarratais sula n-athraíonn tú aon rogha, óir is é an fhoclaíocht an t-aon leid iontaofa faoin rún atá ar iarraidh.
I Community OpenVPN 2.x ainmníonn askpass comhad a choinníonn pasfhocal na heochrach ar a chéad líne, agus ainmníonn auth-user-pass comhad a bhfuil an t-ainm úsáideora ar líne amháin agus an pasfhocal ar an gcéad líne eile. Ní féidir le ceachtar comhad an rogha eile a shásamh. Féadfaidh aip deisce nó próifíl NetworkManager an dá rud a choinneáil ina stór rún féin, nach léann cliant líne ordaithe riamh, mar sin tabhair faoi deara cén cliant atá á chumrú agat sula scríobhann tú aon chosán.
Cuir an dá rogha i dtreo comhad inléite
Críochnaíonn próifíl a dteastaíonn an dá ionchur uaithi le trí thagairt chomhaid: an heochair chriptithe, an pasfhocal a osclaíonn í, agus an péire logála isteach. Cuir iad leis gan an CA ná na seiceálacha féiniúlachta a bhaint, óir socraíonn siadsan cé hé an freastalaí agus níl baint acu leis an bhfadhb seo. Mura n-úsáideann an t-imscaradh dintiúir chuntais ar chor ar bith, cruthaíonn auth-user-pass ionchur nach féidir le duine ar bith a sholáthar.
key /etc/openvpn/client/office.key
askpass /etc/openvpn/client/office-key.pass
auth-user-pass /etc/openvpn/client/office-login.authIompraíonn roghanna loma iad féin go difriúil ó roghanna le cosáin, agus tá an difríocht tábhachtach ar sheirbhís. Léann askpass gan argóint an consól fós, agus fágann comhad auth-user-pass nach bhfuil ann ach ainm úsáideora fós leid pasfhocail ag fanacht. Nuair a dhéantar daemon den chliant ní féidir leis ionchur a iarraidh ar theirminéal ar chor ar bith, mar sin ní éiríonn seirbhís a chumraítear mar sin.
Baineann cosáin absalóideacha an cheist faoin eolaire oibre amach ach ní thugann siad rochtain. Tagann úinéireacht, mód agus trasnú ina dhiaidh sin, agus seiceáiltear an triúr i gcoinne an chuntais a ritheann an próiseas faoi.
Léigh cumraíocht an aonaid roimh an bpróifíl
Is é an t-aonad, ní an comhad a bhí á chur in eagar agat, a shocraíonn cén chumraíocht a lódálann an ásc. Léigh a líne ordaithe agus aon drop-in, ansin lean an t-eolaire oibre go dtí an phróifíl atá in úsáid i ndáiríre. Ní athraíonn tagairt pasfhocail a chuirtear le comhad .ovpn eile aon rud don ásc seo.
Freagraíonn trí ordú inléite amháin an chuid is mó de sin. Priontálann an chéad cheann an t-aonad agus aon drop-in, an dara ceann an fhéiniúlacht agus na socruithe sandbox a chuireann teorainn leis an bpróiseas, agus an tríú ceann an rud a rinne an tosú deireanach gearán faoi i ndáiríre. Úsáid an t-ainm áisc atá ar an óstach:
systemctl cat [email protected]
systemctl show [email protected] -p User -p Group -p WorkingDirectory -p ProtectHome
journalctl -u [email protected] -bTabhair aird ar ProtectHome agus ar roghanna an phróifíl féin user, group agus chroot. Féadfaidh comhad faoi eolaire baile a bheith inléite i do shell agus dofheicthe laistigh den tseirbhís nuair a cheiltear eolairí baile. Ní hé an cuntas a dtosaíonn systemd faoi i gcónaí an cuntas a osclaíonn an heochair sa deireadh.
Cruthaigh gur féidir leis an bhféiniúlacht reatha an dá chomhad a oscailt
Ní leor an mód a léamh, óir caithfidh gach eolaire ar an gcosán a bheith in-trasnaithe ag an bhféiniúlacht chéanna. Siúil an cosán comhpháirt ar chomhpháirt, ansin tástáil an oscailt mar an cuntas a úsáideann an próiseas. Ní oibríonn comhad le mód 600 atá faoi úinéireacht root ach amháin fad a bhíonn an próiseas fós ina root, rud nach bhfuil fíor tar éis an laghdaithe pribhléidí a dhéanann a lán próifílí. Clúdaíonn dhá ordú an trasnú agus an oscailt:
namei -l /etc/openvpn/client/office-key.pass
sudo -u openvpn test -r /etc/openvpn/client/office-key.pass && echo readablePriontálann an chéad ordú mód gach comhpháirte agus teipeann air san áit nach féidir leis an gcuntas trasnú; freagraíonn an dara ceann an t-aon cheist atá tábhachtach, is é sin an féidir leis an bhféiniúlacht reatha an comhad a oscailt le léamh. Ní phriontálann ceachtar acu ábhar an chomhaid, agus sin é an pointe nuair a choinníonn an comhad pasfhocal. Déan an tástáil arís don chomhad logála isteach, óir is minic a stóráiltear an dá cheann le húinéireacht éagsúil.
Má úsáideann an próiseas chroot nó namespace srianta, rith an tástáil chéanna ó laistigh den amharc sin, nó cuireann an freagra síos ar an gcóras comhad mícheart. Is é pasfhocal a stóráiltear faoi eolaire baile ceilte an sampla is gnáthaí de thástáil a n-éiríonn léi lasmuigh den aonad agus a dteipeann uirthi laistigh de.
Seiceáil an chéad tosú, ansin athnascadh
Tosaigh an ásc uair amháin agus léigh an chéad teip seach an ceann deireanach. Is trí imeacht éagsúla iad comhad ionchuir atá ar iarraidh, díghreamú heochrach ar theip air agus AUTH_FAILED ón bhfreastalaí, le trí shocrú éagsúla. Ní chruthaíonn socrú rabhaidh ceadanna aon rud faoi cé acu a osclaíodh an heochair.
Insíonn líne na hirise cé acu den triúr atá agat. Leanann an socrú ón ionchur ar theip air:
| What the journal shows | Which input failed | Where to look |
|---|---|---|
| A path that cannot be opened | The file the profile names | Askpass or login path, and the unit's working directory |
| A key decryption error | The key passphrase | First line of the askpass file, and read access for the runtime identity |
AUTH_FAILED from the server | The account credentials | Login file contents, and whether the account is still valid |
Ansin tástáil an timthriall saoil a theastaíonn uait i ndáiríre: tosú ag am tosaithe agus aon athnascadh a dtacaítear leis, ní hamháin tosú láimhe ó do shell. Le auth-nocache scartar na hionchuir tar éis an chéad úsáide, mar sin teastaíonn foinse inléite ó athnascadh níos déanaí fós. Níl eochairfháinne a osclaítear ag logáil isteach deisce ar fáil do sheirbhís a thosaigh sula ndearna duine ar bith logáil isteach, agus sin an chúis is gnáthaí a n-éiríonn le tástáil láimhe agus a dteipeann ar atosú. Má éiríonn leis an gcéad tosú agus má theipeann ar athnascadh níos déanaí, léigh an irisleabhar le haghaidh imeacht an athnaisc sula n-athraíonn tú ceadanna arís.
Laghdaíonn stóráil an phasfhocail in aice na heochrach an méid a thugann an chriptiú duit, mar sin cuir srian ar an gcomhad sin agus ar a chuid cúltacaí. Caith le baint phasfhocal na heochrach mar chinneadh dintiúir ar leithligh seach mar shocrú d’ionchur atá ar iarraidh. Teastaíonn a ghníomhaire nó a chomhtháthú bainistíochta tacaithe ó imscaradh a bhraitheann ar cheadú daonna nó ar MFA idirghníomhach; ní ionadaí coibhéiseach é cód aonuaire a stóráiltear go buan.