Miért kér még mindig privátkulcs-fájlt az OpenVPN token használatakor

Bedugja a tokent, a szolgáltató saját eszköze látja, a VPN-kliens mégis privátkulcs-fájlt kér. Ez a kérés nem bizonyítja, hogy a token nem támogatott. Általában azt jelenti, hogy a profil soha nem mondta meg a kliensnek, hogy használja a tokent, ezért visszaesett az alapértelmezésként várt tanúsítvány- és kulcsbemenetekre.

Két külön értéknek kell helyesnek lennie ahhoz, hogy ez a visszaesés megszűnjön: a tokent közzétevő szolgáltatónak és a benne lévő tanúsítvány identitásának. Ezeket különböző beállítások adják meg, és könnyű összekeverni őket.

A kliens azért kér fájlt, mert a profil így rendelkezik

Az alapértelmezett profil tanúsítványfájlt és privátkulcs-fájlt, vagy egyetlen PKCS#12 csomagot vár. Ha ezek a bemenetek hiányoznak, a kliensnek nincs mit betöltenie, és csaknem úgy viselkedik, mint hiányzó fájl esetén, ezért a tünetet törött útvonalként olvassák, nem hiányzó mechanizmusként. A PKCS#11 útvonal lecseréli ezeket a bemeneteket, nem kiegészíti őket, ezért a kulcsfájlt még mindig megnevező profil továbbra is a fájlt használja. Távolítsa el szándékosan a fájlbemeneteket, és engedje, hogy a token szolgáltassa mindkét felét.

A szolgáltató beállítása köztes szoftver könyvtárát nevezi meg, nem eszközt és nem tanúsítványt. Hogy egy csomagolt kliens be tudja-e tölteni ezt a könyvtárat, attól függ, hogyan építették, beleértve az opcionális p11-kit támogatást, amelyet egyes buildek engedélyeznek, mások kihagynak. Egy általános útmutató nem tudja megmondani, milyen elrendezése van az Ön csomagjának.

A szerializált identitás más érték

A tanúsítvány identitása egy hosszú szerializált karakterlánc, amelyet a felderítési folyamat állít elő, és nem a könyvtár útvonala, nem a token PIN-kódja és nem a VPN-fiók neve. Gyakran tartalmaz idézőjelet igénylő karaktereket, és az idézőjel nélküli érték világos hiba nélkül levágódhat vagy félreolvasható. Használja a kliens saját identitásfelderítés beállítását a token által közzétett elemek listázásához, majd másolja pontosan a kívánt bejegyzést. A lista első objektumának kiválasztása az az út, amelyen az eszköz végül a rossz tanúsítványt mutatja be.

A felderítés kimenete egy korábbi kérdésre is válaszol: egyáltalán látható-e a token azon a szolgáltatón keresztül. Ha semmit nem listáz, a probléma a VPN-kliens felett van, és a köztes szoftverhez tartozik.

A kapcsolatot létesítő folyamatnak el kell érnie a tokent

Az asztali munkamenetben működő tokenművelet semmit nem bizonyít egy rendszerszolgáltatásról. A szolgáltatás futhat más felhasználóként, másik mount-névtérben, olyan modulútvonallal, amely kihagyja a szolgáltató könyvtárát, vagy az eszközcsomópont megnyitására vonatkozó engedély nélkül. Állapítsa meg, melyik folyamat tartja valójában a kapcsolatot, és onnan teszteljen.

A PIN kezelése saját döntést érdemel. A referenciamegvalósítás PIN-gyorsítótárat és védett hitelesítési útvonalat kínál, és mindkettő azért létezik, hogy az üzemeltető munkafolyamatot válasszon ahelyett, hogy kitaláljon egyet. Ne alakítson egy felügyelet nélküli követelményt sima szövegű PIN-kóddá egy megosztott profilban, mert ez a token védelmét cseréli kényelemre. Ahol a token tiltja a kulcsexportot, az aláírás az eszközön történik, és a PIN az egyetlen helyi titok. Kezelje azzal a gondossággal, amit ez megkövetel.

Amit a token nem helyettesít

A token a telepített szabályzat szerint hitelesíti a klienst, és nem helyettesíti a kliens kiszolgálóra vonatkozó ellenőrzéseit. A sikeresen kiválasztott tanúsítvány nem engedély váratlan átjárótanúsítvány elfogadására, és a két ellenőrzés ellentétes irányokat véd.

A regisztrációnak továbbra is a kibocsátónál kell megtörténnie, és az átjárónak továbbra is engedélyeznie kell az identitást.

Az elfogadáshoz válassza szét a szakaszokat: a szolgáltató betöltődik, a kívánt tanúsítvány megtalálható, a privátkulcs helyi engedélyezéssel használatos, a VPN hitelesít, és az erőforrás-művelet sikerül. Álljon meg az első sikertelen szakasznál ahelyett, hogy jelszavakon menne végig és újratelepítené a kriptográfiai vermet.

Rögzítse a verziókat, a modulok tulajdonjogát, a kiválasztott nyilvános azonosítót és a tisztított hibákat, és hagyja a PIN-kódokat és hitelesítőadat-csomagokat azon a nyilvántartáson kívül.