Cén URI PKCS#11 a theastaíonn ó OpenConnect le haghaidh comhartha?

Ní mór a insint do chárta cliste a bhfuil an eochair cheart air cheana féin cén réad air a n-úsáidfear. Ní theastaíonn comhad .key cóipeáilte ó OpenConnect sa chás sin; teastaíonn URI PKCS#11 uaidh a ainmníonn an teastas agus, nuair nach féidir leis an gcuardach uathoibríoch an obair a chríochnú, an eochair phríobháideach ina aice. Is é an deacair ná nach gcruthaíonn URI bailí ó thaobh comhréire de aon rud. Caithfidh sé an clárú a ainmniú a bhfuil muinín ag an ngeata as cheana, ní hamháin réad a bhfuil an cárta sásta é a oscailt.

Cad a theastaíonn ón gcliant in ionad eochair easpórtáilte

Glacann an rogha -c le cosán comhaid de ghnáth, ach nuair a pharsáiltear an luach mar URI PKCS#11, caitheann OpenConnect leis mar thagairt do réad taobh istigh den chomhartha seachas do chomhad ar an diosca. Iompraíonn an rogha -k ar an mbealach céanna don eochair phríobháideach. Ní easpórtáiltear aon rud, agus ní fhágann an eochair riamh an chosaint a sholáthraíonn an cárta. Is é a theastaíonn ón gcliant uait ná ainm a n-aontaíonn modúl an chomhartha, stór na dteastas agus clárú an gheata air.

Is ar an srian deireanach sin a stopann formhór na n-iarrachtaí. Is féidir le URI a bheith go hiomlán dea-fhoirmithe agus fós teastas a roghnú a dhiúltóidh an geata, mar is ceisteanna ar leith iad bailíocht agus ábharthacht. Is é an seiceáil is fiú a dhéanamh comparáid le taifead an chláraithe, ní cuardach don chéad réad a osclaíonn trí thimpiste.

Dhá URI, dhá jab éagsúla

Freagraíonn URI an teastais cén fhéiniúlacht atá á héileamh agat. Díríonn sé ar réad teastais a bhfuil a eochair phoiblí agus a líne ábhair ag teacht le próifíl an chuntais nó na feiste a d'eisigh riarthóir an VPN. Tagann an teastas céanna de ghnáth le réad eochrach príobháidí a stóráiltear ina aice, agus is é an péire sin a theastaíonn ó chroitheadh láimhe TLS i ndáiríre.

Freagraíonn URI na heochrach cá bhfuil an t-ábhar príobháideach comhfhreagrach nuair nach féidir le OpenConnect é a bhaint amach. Le -c amháin socraithe, tógann an cliant cuardach eochrach as airíonna an teastais; cuireann soláthar -k tagairt réada fhollasach in ionad an bhuille faoi thuairim. Is é PIN an chomhartha an tríú ionchur, gan bhaint; díghlasálann sé an cárta don oibríocht, agus ní aithníonn sé réad riamh.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Is sonraí gach rud sa teaghrán luanna sin. Scarann na leathstadanna airíonna URI agus ionchódaíonn na héalaithe faoin gcéad carachtair a bhriseadh an pharsáil murach sin, mar sin caithfidh an argóint iomlán teacht slán ón sliogán gan mheabhair.

An URI a aimsiú a fhreagraíonn do do chlárú

Soláthraíonn GnuTLS p11tool, a liostaíonn cad is féidir leis an úsáideoir reatha a bhaint amach go hiarbhír trí p11-kit. Tosaigh le p11tool --list-tokens, ansin liostaigh réada teastais ar an gcomhartha a bhfuil suim agat ann. Cuir --login leis nuair nach bhfeictear na réada go dtí tar éis PIN, agus cuir an t-ábhar agus an t-eisitheoir i gcomparáid le taifead an chláraithe in ionad an rud is túisce a fheictear a phiocadh.

Mura bhfeictear an comhartha ar chor ar bith, tá an fhadhb faoi bhun OpenConnect: níl aon mhodúl cláraithe ag p11-kit don mheánbhogearra sin, nó tá an modúl cláraithe do chuntas eile. Tá an clárú ar fud an chórais suite faoi /etc/pkcs11/modules, agus is féidir le heolaire in aghaidh an úsáideora an rud céanna a choinneáil gan an chóip chórais a bhaint. Seiceáil go ndíríonn cosán an tsoláthraí i gcomhad an mhodúil chuig leabharlann a d'fhostaigh bogearraí an léitheora i ndáiríre.

Nuair a chóipeálann tú an URI as an liosta, coinnigh na luanna timpeall air. Gearrann leathstadanna gan luanna an argóint ag an gcéad airí agus ansin tuairiscíonn an cliant réad nach féidir leis a fháil.

Nuair a ghéilleann an cuardach eochrach uathoibríoch

Is féidir le OpenConnect cuardach eochrach a dhíorthú ó URI an teastais, ach braitheann an mheaitseáil bheacht a dhéanann sé ar an leagan, agus tá láimhseáil an chineáil réada agus an lipéid athraithe le himeacht ama. Déanann comhairle a deir leat an URI a ghiorrú go n-oibríonn sé cur síos ar sheanobair mhalartach, ní ar riachtanas. Má theipeann ar an gcuardach díorthaithe, ainmnigh an eochair go follasach le -k in ionad URI an teastais a athrú go rud níos doiléire.

Deimhnigh go bhfuil an eochair ann agus go bhfeictear le p11tool --list-keys í sula gcuireann tú an locht ar an gcliant. Ansin seiceáil go bhfuil an réad marcáilte mar rud is féidir a úsáid le haghaidh síniú nó díchriptithe, mar ní féidir le heochair a ghintear le hairíonna míchearta croitheadh láimhe a chríochnú, is cuma cé chomh ceart agus atá an URI. Ná trasphlandaigh luach pkcs11-id sraitheach ó phróifíl OpenVPN isteach i rogha OpenConnect; úsáideann an dá chliant formáidí aitheantóra éagsúla fiú nuair a labhraíonn siad leis an gcárta céanna.

Má réitítear an URI agus má ghlactar leis an PIN ach má theipeann ar an bhfíordheimhniú fós, stop ag tiúnadh an URI. Léigh earráid an gheata féin, mar tá an chéad teip eile os cionn an chomhartha.

Teipeanna nach bhfuil cosúil ach le fadhbanna URI

Teipfidh geata a labhraíonn prótacal eile ar an mbealach céanna cibé an bhfuil do URI ceart nó mícheart. Tháinig OpenConnect in ionad an chliant vpnc seanré ar chúis, agus ní dhéanann tacaíocht cárta prótacal geata neamh-chomhoiriúnach a dhéanamh comhoiriúnach. Deimhnigh prótacal ionchasach an fhreastalaí agus socrú an fhíordheimhnithe sula gcaithfidh tú uair eile ar airíonna réada.

Is ciseal ar leith freisin bailíochtú fhéiniúlacht an fhreastalaí. Fíoraíonn an cliant teastas an gheata i gcoinne a stóir mhuiníne, agus ritheann an tseiceáil sin tar éis don chárta a chuid a dhéanamh cheana. Táirgeann ceadanna léitheora agus seirbhís pcscd stoptha an comhartha seachtrach céanna, comhartha dothuigthe, le réiteach i bhfad níos simplí.

Oibrigh amach ón réad: an bhfeiceann p11tool an comhartha, an bhfeiceann sé an teastas agus an eochair, an nglacann OpenConnect leis an URI, agus ansin amháin fiafraigh an nglacann an geata leis an bhféiniúlacht. Tá a theachtaireacht earráide féin ag gach céim, agus tá gach ceann níos saoire le tástáil ná an chéad cheann eile.