מדוע OpenVPN עדיין מבקש קובץ מפתח פרטי כשיש טוקן
סביר שהפרופיל מעולם לא ציין את הטוקן. הפרידו בין ספריית הספק לבין הזהות המסודרת של התעודה, ואז בדקו מהתהליך שמתחבר.
אתם מחברים את הטוקן, הכלי של הספק עצמו רואה אותו, ולקוח ה-VPN עדיין מבקש קובץ מפתח פרטי. הבקשה הזו אינה הוכחה שהטוקן אינו נתמך. היא בדרך כלל אומרת שהפרופיל מעולם לא אמר ללקוח להשתמש בטוקן, ולכן הוא נפל חזרה לקלטי התעודה והמפתח שהוא מצפה להם כברירת מחדל.
שני ערכים נפרדים חייבים להיות נכונים לפני שהנסיגה הזו נפסקת: הספק שחושף את הטוקן, והזהות של התעודה שבתוכו. הם מסופקים באמצעות אפשרויות שונות וקל לבלבל ביניהם.
הלקוח מבקש קובץ מפני שהפרופיל מורה כך
פרופיל ברירת מחדל מצפה לקובץ תעודה ולקובץ מפתח פרטי, או לחבילת PKCS#12 אחת. כשהקלטים האלה חסרים אין ללקוח מה לטעון והוא מתנהג כמעט כמו כשקובץ חסר, ולכן הסימפטום נקרא כנתיב שבור ולא כמנגנון חסר. נתיב PKCS#11 מחליף את הקלטים האלה במקום להשלים אותם, ולכן פרופיל שעדיין מציין קובץ מפתח ימשיך להשתמש בקובץ. הסירו את קלטי הקבצים במכוון והניחו לטוקן לספק את שני החצאים.
אפשרות הספק מציינת ספריית תווכה, לא התקן ולא תעודה. האם לקוח ארוז יכול לטעון את הספרייה הזו תלוי באופן שבו נבנה, כולל תמיכת p11-kit אופציונלית שחלק מהבניות מפעילות ואחרות משמיטות. מדריך כללי לא יכול לומר לכם איזה סידור יש לחבילה שלכם.
הזהות המסודרת היא ערך אחר
זהות התעודה היא מחרוזת מסודרת ארוכה שתהליך הגילוי מייצר, והיא אינה נתיב הספרייה, לא ה-PIN של הטוקן ולא שם חשבון ה-VPN. היא מכילה לעיתים קרובות תווים שדורשים מרכאות, וערך ללא מרכאות עלול להיחתך או להיקרא בטעות בלי שגיאה ברורה. השתמשו באפשרות גילוי זהות של הלקוח עצמו כדי לפרט מה הטוקן חושף, ואז העתיקו את הרשומה המבוקשת בדיוק. בחירת האובייקט הראשון ברשימה היא הדרך שבה התקן בסופו של דבר מציג את התעודה הלא נכונה.
פלט הגילוי עונה גם על שאלה קודמת: האם הטוקן בכלל נראה דרך אותו ספק. אם הוא לא מפרט דבר, הבעיה נמצאת מעל לקוח ה-VPN ושייכת לתווכה.
התהליך שמתחבר חייב להגיע אל הטוקן
פעולת טוקן שעובדת בהפעלת שולחן העבודה שלכם אינה מוכיחה דבר על שירות מערכת. השירות עשוי לרוץ כמשתמש אחר, במרחב שמות עגינה אחר, עם נתיב מודולים שמשמיט את ספריית הספק, או בלי הרשאה לפתוח את צומת ההתקן. זהו איזה תהליך באמת מחזיק את החיבור ובדקו מאותו הקשר.
טיפול ב-PIN ראוי להחלטה משלו. מימוש הייחוס מציע מטמון PIN ונתיב אימות מוגן, ושניהם קיימים כדי שמפעיל יבחר זרימת עבודה במקום להמציא אחת. אל תמירו דרישה ללא השגחה ל-PIN בטקסט גלוי בתוך פרופיל משותף, כי זה מחליף את ההגנה של הטוקן בנוחות. במקום שבו הטוקן אוסר ייצוא מפתח, החתימה מתרחשת בהתקן וה-PIN הוא הסוד המקומי היחיד. התייחסו אליו בזהירות שזה מחייב.
מה הטוקן אינו מחליף
הטוקן מאמת את הלקוח תחת המדיניות שנפרסה, והוא אינו מחליף את הבדיקות של הלקוח על השרת. תעודה שנבחרה בהצלחה אינה הרשאה לקבל תעודת שער בלתי צפויה, ושתי הבדיקות מגנות על כיוונים מנוגדים.
ההרשמה עדיין חייבת להתרחש אצל המנפיק, והשער עדיין חייב להסמיך את הזהות.
לשם קבלה, הפרידו בין השלבים: הספק נטען, התעודה המיועדת נמצאת, המפתח הפרטי משמש עם הרשאה מקומית, ה-VPN מאמת, ופעולת המשאב מצליחה. עצרו בשלב הראשון שנכשל במקום לעבור בין סיסמאות ולהתקין מחדש את מחסנית ההצפנה.
תעדו גרסאות, בעלות מודולים, המזהה הציבורי שנבחר ושגיאות מנוקות, והשאירו PIN-ים וחבילות אישורים מחוץ לתיעוד הזה.