Արդյո՞ք OpenConnect-ի --key-password-ը ձեր VPN հաշվի գաղտնաբառն է։

Կարդացեք պարամետրի անվանումը բառացիորեն։ Այն անվանում է բանալի, և շփոթությունը սկսվում է, երբ բացվող ֆայլը շփոթում են նույնականացվող հաշվի հետ։ Տեղադրեք հաշվի գաղտնաբառը այդ պարամետրի մեջ, և հաճախորդը կփորձի դրանով բացել բանալու ֆայլ, ինչը ձախողվում է պատճառներով, որոնք կապ չունեն VPN մուտքի հետ։

Շփոթեցնող մասն այն է, որ մեկ կապը կարող է օրինականորեն պահանջել երկու գաղտնիքները։ Հաճախորդի վկայագրով նույնականացումը կարող է պահանջել գաղտնագրված բանալի, և նույն դարպասը վկայագիրն ընդունելուց հետո կարող է դեռ իրականացնել օգտվողի նույնականացման փոխանակում։ Ոչ մի գաղտնիք չի բավարարում մյուս փուլին, և մեկում ձախողումը դրսից շատ նման է մյուսում ձախողմանը։

Երկու գաղտնիք, երկու տարբեր աշխատանք

Կարդացեք դերերը որպես ֆայլի հասանելիություն՝ ընդդեմ ցանց մուտք գործելու թույլտվության։ Բանալու գաղտնաբառը վերծանում է --sslkey-ում նշված PEM մասնավոր բանալին, որպեսզի հնարավոր լինի ներկայացնել TLS հաճախորդի վկայագիրը։ Այդ վերծանումը տեղի է ունենում տեղական մակարդակում՝ հաճախորդի գործընթացի ներսում, և գաղտնաբառն ինքը երբեք չի ուղարկվում դարպասին։ Դարպասը տեսնում է վկայագիրը և բանալիով արված ստորագրությունը։ OpenConnect-ի ձեռնարկը --key-password-ը պահում է --certificate-ի և --sslkey-ի կողքին, իսկ TPM-ում պահվող բանալի օգտագործող տարբերակներում նույն պարամետրը փոխարենը կրում է պահոցի արմատային բանալու գաղտնաբառը։

Հաշվի գաղտնաբառը տարբեր տեսակի է։ Այն մտնում է նույնականացման փոխանակման մեջ՝ օգտանունի և գաղտնաբառի ձևաթուղթ, նշան, SAML փուլ կամ ինչ-որ համակցություն, որը հայտարարում է դարպասը։ Որոշ տեղակայումներ ընդհանրապես չեն հարցնում դա, երբ վկայագիրն է միակ գործոնը, իսկ որոշները հարցնում են նույնիսկ վկայագրից հետո, որովհետև վկայագիրը հաստատում է սարքը, մինչդեռ հաշիվը հաստատում է մարդուն։

Երկուսը խառնելը առաջացնում է մոլորեցնող սխալներ։ Մուտքը մերժող դարպասը սովորաբար հայտնում է նույնականացման ձախողման մասին, մինչդեռ սխալ բանալու գաղտնաբառը սովորաբար ձախողվում է ավելի վաղ, երբ TLS շերտը չի կարողանում կարդալ բանալու ֆայլը։ Դրանք տարբեր փուլեր են՝ տարբեր լուծումներով, և անունները բավական նման են, որ մարդիկ դրանք փոխարինում են և հետո սխալ մատյանն են հետապնդում։ Նկատեք, թե որ հուշումն է հայտնվել նախքան որևէ կարգավորում փոխելը, որովհետև հուշման ձևակերպումը ձեր ունեցած ամենաէժան ախտորոշումն է։

Երբ է բանալու գաղտնաբառն իրականում անհրաժեշտ

Պարամետրն իմաստ ունի միայն այն դեպքում, երբ կա բացելու գաղտնագրված բանալի։ Եթե միանում եք օգտանունով և գաղտնաբառով և առանց հաճախորդի վկայագրի, --key-password-ը ոչինչ չունի ազդելու, և այն ավելացնելը ոչինչ չի փոխում։ Եթե միանում եք --certificate-ով և --sslkey-ով, բանալու ֆայլի սեփական ձևաչափն է որոշում՝ արդյոք գաղտնաբառ ընդհանրապես կհարցվի։

Երկու գաղտնիքները մեկ հրամանում սովորական են կառավարվող միջավայրերում՝ սարքի վկայագիր գաղտնագրված բանալու մեջ, գումարած յուրաքանչյուր օգտվողի մուտք։ Ճիշտ հաջորդականությունն է թույլ տալ հաճախորդին տեղական մակարդակում հարցնել բանալու գաղտնաբառը, ավարտել վկայագրի ձեռքսեղմումը, ապա առանձին զբաղվել դարպասի հաշվի հուշումով։ Երկուսը նախապես լրացնելու փորձը մեկ վերօգտագործվող սկրիպտով այն տեղն է, որտեղից սովորաբար սկսվում է շփոթությունը։

Օգտակար ախտորոշում է տեսնել, թե երբ է տեղի ունենում ձախողումը։ Եթե հաճախորդը կանգ է առնում նախքան ցանցային նույնականացման սկսվելը, կասկածեք բանալու ֆայլին, դրա ձևաչափին կամ գաղտնաբառին։ Եթե TLS սեսիան հաստատվել է, և դարպասն այնուհետև մերժում է օգտվողին, բանալին արել է իր գործը, և խնդիրը հաշվի փոխանակման մեջ է։

Երկու գաղտնիքները հեռու պահեք shell-ի պատմությունից

Հրամանի տողի արգումենտները կարելի է կարդալ այլ տեղական օգտվողների կողմից գործընթացների աղյուսակի միջոցով, և դրանք հաճախ գրանցվում են shell-ի պատմության, սկրիպտների և աջակցության արտագրությունների մեջ։ OpenConnect-ը կարող է հաշվի գաղտնաբառը կարդալ ստանդարտ մուտքից --passwd-on-stdin-ով, իսկ բանալու գաղտնաբառը կարող է գալ ինտերակտիվ հուշումից կամ գործակալից՝ արգումենտի փոխարեն։ Ոչ մի մեխանիզմ ինքնին գաղտնիքը անվտանգ չի դարձնում, բայց երկուսն էլ այն հեռու են պահում ամենաբաց տեղերից։

Ֆայլերը նույն խնամքի կարիքն ունեն։ Գաղտնաբառը ժամանակավոր ֆայլում գրող սկրիպտը պետք է այն ստեղծի սահմանափակ թույլտվություններով, ջնջի այն դուրս գալիս և խուսափի բոլորի համար ընթեռնելի թղթապանակներից։ Ժամանակավոր թղթապանակում սեսիայից հետո մնացած գաղտնաբառը պատճեն է, որը դուք մոռացել եք ստեղծել։ Միջավայրի փոփոխականները տեսանելի են զավակ գործընթացներին և հաճախ արտացոլվում են վրիպազերծման գործիքներով, ուստի դրանք արգումենտների նկատմամբ անվճար բարելավում չեն։

Ախտորոշիչ ելքը լուռ արտահոսքն է։ Ավելի բարձր մանրամասնության դեպքում հաճախորդի մատյանները կարող են ցույց տալ հարցումների մարմիններ կամ պարամետրերի արժեքներ, իսկ պատճենված տերմինալի արտագրությունը հեշտ է տոմսի մեջ տեղադրել, ուստի կարդացեք ելքը նախքան այն կիսելը։

Մեռած աշխատասեղանի կոճակը այլ խափանում է

Աշխատասեղանի VPN մուտքը, որը ցույց է տալիս պտտվող նշան և հետո ոչինչ, սովորաբար ամենևին էլ նույնականացման խնդիր չէ։ Կոճակը պատկանում է ցանցի կառավարչին, արտադրողի հավելվածիկին կամ փլագինին, որը ձեր փոխարեն գործարկում է OpenConnect-ը, և բացակայող բաղադրիչը կամ անընթեռնելի պրոֆիլը կարող են առաջացնել հենց այդ ախտանիշը։ Պարզեք, թե որ գործընթացն է գործարկում կոճակը, և կարդացեք դրա սխալը նախքան հավատարմագրերին դիպչելը։

Գայթակղիչ է թուլացնել վկայագրի ստուգումը կամ անջատել ստուգումը, երբ գրաֆիկական ինտերֆեյսը հրաժարվում է միանալ։ Դա հաճախորդի ինտեգրման խափանումը վերածում է անվտանգության անկման և հազվադեպ է լուծում գործարկման խնդիրը։ Պահեք սերվերի ստուգումն անձեռնմխելի, հաստատեք, որ պրոֆիլը ցույց է տալիս նախատեսված դարպասին, և ստուգեք, որ ինտերֆեյսի սպասած օգնականը իսկապես տեղադրված է։

Կարճ ստուգաթերթը բաժանում է դեպքերը։ Տեղական ձախողումը նախքան որևէ փաթեթի դուրս գալը մատնանշում է բանալին կամ հաճախորդի տեղադրումը։ Դարպասի մերժումը TLS սեսիայից հետո մատնանշում է հաշվի փոխանակումը։ Կոճակը, որը երբեք չի գործարկում հաճախորդին, մատնանշում է աշխատասեղանի ինտեգրումը։ Երեք տարբեր խափանում, որոնցից մեկը գաղտնաբառ է, որը դուք պատրաստվում էիք սխալ դաշտում տեղադրել։