Por que OpenVPN segue pedindo un ficheiro de clave privada cando hai un token

Conecta o token, a propia ferramenta do provedor vén, e o cliente VPN segue pedindo un ficheiro de clave privada. Ese aviso non é proba de que o token non sexa compatible. Normalmente significa que o perfil nunca lle dixo ao cliente que usase o token, así que volveu ás entradas de certificado e clave que espera por defecto.

Dous valores distintos deben ser correctos antes de que ese retroceso se deteña: o provedor que expón o token e a identidade do certificado que hai dentro. Subminístranse con opcións diferentes e é fácil confundilos.

O cliente pide un ficheiro porque o perfil llo indica

Un perfil predeterminado espera un ficheiro de certificado e un ficheiro de clave privada, ou un único paquete PKCS#12. Cando faltan esas entradas, o cliente non ten nada que cargar e comportase case como o faría ante un ficheiro ausente, polo que o síntoma se le como unha ruta rota e non como un mecanismo ausente. A ruta PKCS#11 substitúe esas entradas en lugar de complementalas, así que un perfil que aínda nomea un ficheiro de clave seguirá usando o ficheiro. Elimina as entradas de ficheiro a propósito e deixa que o token aporte ambas as metades.

A opción do provedor nomea unha biblioteca de middleware, non un dispositivo nin un certificado. Que un cliente empaquetado poida cargar esa biblioteca depende de como se compilou, incluído o soporte opcional de p11-kit que algunhas compilacións activan e outras omiten. Un titorial xenérico non pode dicirche que disposición ten o teu paquete.

A identidade serializada é un valor distinto

A identidade do certificado é unha cadea serializada longa que produce o proceso de descubrimento, e non é a ruta da biblioteca, nin o PIN do token, nin o nome da conta VPN. A miúdo contén caracteres que necesitan comiñas, e un valor sen comiñas pode truncarse ou lerse mal sen un erro claro. Usa a propia opción descubrimento de identidade do cliente para listar o que expón o token e despois copia exactamente a entrada desexada. Escoller o primeiro obxecto da lista é a forma en que un dispositivo acaba presentando o certificado equivocado.

A saída do descubrimento tamén responde unha pregunta previa: se o token é visible a través dese provedor. Se non lista nada, o problema está augas arriba do cliente VPN e pertence ao middleware.

O proceso que conecta debe alcanzar o token

Unha operación co token que funciona na túa sesión de escritorio non demostra nada sobre un servizo do sistema. O servizo pode executarse como outro usuario, nun espazo de nomes de montaxe distinto, cunha ruta de módulos que omite a biblioteca do provedor ou sen permiso para abrir o nodo do dispositivo. Identifica que proceso sostén realmente a conexión e proba desde ese contexto.

O manexo do PIN merece a súa propia decisión. A implementación de referencia ofrece unha caché de PIN e unha ruta de autenticación protexida, e ambas existen para que un operador escolla un fluxo de traballo en lugar de inventalo. Non convertas un requisito sen supervisión nun PIN en texto plano dentro dun perfil compartido, porque iso cambia a protección do token por comodidade. Onde o token prohibe a exportación de claves, a sinatura ocorre no dispositivo e o PIN é o único segredo local. Trátao co coidado que iso implica.

O que o token non substitúe

O token autentica o cliente baixo a política despregada e non substitúe as comprobacións do cliente sobre o servidor. Un certificado seleccionado con éxito non é permiso para aceptar un certificado de pasarela inesperado, e as dúas verificacións protexen direccións opostas.

A inscrición aínda ten que ocorrer no emisor, e a pasarela aínda ten que autorizar a identidade.

Para a aceptación, separa as etapas: o provedor carga, atópase o certificado previsto, a clave privada úsase con autorización local, o VPN autentícase e a operación sobre o recurso ten éxito. Detente na primeira etapa que falle en lugar de percorrer contrasinais e reinstalar a pila criptográfica.

Rexistra as versións, a propiedade dos módulos, o identificador público escollido e os erros saneados, e deixa os PIN e os paquetes de credenciais fóra dese rexistro.