Ինչու OpenVPN-ը դեռ պահանջում է մասնավոր բանալու ֆայլ՝ թոքենի առկայության դեպքում
Հավանաբար պրոֆիլը երբեք չի նշել թոքենը։ Առանձնացրեք մատակարարի գրադարանը վկայագրի սերիականացված ինքնությունից, ապա ստուգեք միացումը կատարող պրոցեսից։
Դուք տեղադրում եք թոքենը, մատակարարի սեփական գործիքը տեսնում է այն, իսկ VPN հաճախորդը դեռ պահանջում է մասնավոր բանալու ֆայլ։ Այդ հարցումը վկայություն չէ, որ թոքենը չի աջակցվում։ Սովորաբար դա նշանակում է, որ պրոֆիլը երբեք չի ասել հաճախորդին օգտագործել թոքենը, ուստի այն վերադարձել է լռելյայն սպասվող վկայագրի և բանալու մուտքերին։
Երկու առանձին արժեք պետք է ճիշտ լինեն, մինչ այդ վերադարձը կդադարի՝ թոքենը բացահայտող մատակարարը և դրա ներսում գտնվող վկայագրի ինքնությունը։ Դրանք տրվում են տարբեր ընտրանքներով և հեշտ է դրանք շփոթել։
Հաճախորդը ֆայլ է պահանջում, որովհետև պրոֆիլն այդպես է ասում
Լռելյայն պրոֆիլը սպասում է վկայագրի ֆայլ և մասնավոր բանալու ֆայլ, կամ մեկ PKCS#12 փաթեթ։ Երբ այդ մուտքերը բացակայում են, հաճախորդը բեռնելու ոչինչ չունի և վարվում է գրեթե այնպես, ինչպես բացակայող ֆայլի դեպքում, այդ պատճառով ախտանիշը կարդացվում է որպես կոտրված ուղի, այլ ոչ որպես բացակայող մեխանիզմ։ PKCS#11 ուղին փոխարինում է այդ մուտքերին, ոչ թե լրացնում դրանք, ուստի բանալու ֆայլ դեռ նշող պրոֆիլը կշարունակի օգտագործել ֆայլը։ Հեռացրեք ֆայլային մուտքերը դիտավորյալ և թողեք, որ թոքենը տրամադրի երկու կեսերը։
Մատակարարի ընտրանքը նշում է միջանկյալ ծրագրային գրադարան, ոչ սարք և ոչ վկայագիր։ Արդյոք փաթեթավորված հաճախորդը կարող է բեռնել այդ գրադարանը, կախված է նրանից, թե ինչպես է այն կառուցվել, ներառյալ ոչ պարտադիր p11-kit աջակցությունը, որը որոշ կառուցումներ միացնում են, իսկ մյուսները բաց թողնում։ Ընդհանուր ձեռնարկը չի կարող ասել, թե ձեր փաթեթն ինչ դասավորություն ունի։
Սերիականացված ինքնությունը այլ արժեք է
Վկայագրի ինքնությունը երկար սերիականացված տող է, որը ստեղծում է հայտնաբերման գործընթացը, և այն ոչ գրադարանի ուղին է, ոչ թոքենի PIN-ը, ոչ էլ VPN հաշվի անունը։ Այն հաճախ պարունակում է նշաններ, որոնք պահանջում են չակերտներ, և առանց չակերտների արժեքը կարող է կտրվել կամ սխալ կարդացվել առանց հստակ սխալի։ Օգտագործեք հաճախորդի սեփական ինքնության հայտնաբերում ընտրանքը՝ ցանկը տեսնելու համար, թե ինչ է բացահայտում թոքենը, ապա ճշգրտորեն պատճենեք ցանկալի գրառումը։ Ցանկի առաջին օբյեկտն ընտրելը այն ուղին է, որով սարքը ի վերջո ներկայացնում է սխալ վկայագիր։
Հայտնաբերման արդյունքը պատասխանում է նաև նախորդ հարցին՝ արդյոք թոքենն ընդհանրապես տեսանելի է այդ մատակարարի միջոցով։ Եթե այն ոչինչ չի թվարկում, խնդիրը VPN հաճախորդից վերև է և պատկանում է միջանկյալ ծրագրին։
Միացումը կատարող պրոցեսը պետք է հասնի թոքենին
Ձեր աշխատասեղանի նստաշրջանում աշխատող թոքենի գործողությունը ոչինչ չի ապացուցում համակարգային ծառայության մասին։ Ծառայությունը կարող է աշխատել որպես այլ օգտվող, այլ mount անվանատարածքում, մոդուլների ուղով, որը բաց է թողնում մատակարարի գրադարանը, կամ առանց սարքի հանգույցը բացելու թույլտվության։ Որոշեք, թե որ պրոցեսն է իրականում պահում կապը, և ստուգեք այդ համատեքստից։
PIN-ի հետ աշխատանքը արժանի է առանձին որոշման։ Հղման իրականացումը առաջարկում է PIN քեշ և պաշտպանված նույնականացման ուղի, և երկուսն էլ գոյություն ունեն, որպեսզի օպերատորը ընտրի աշխատանքային հոսք, այլ ոչ թե հորինի այն։ Չվերածեք չհսկվող պահանջը բաց տեքստով PIN-ի՝ համօգտագործվող պրոֆիլում, որովհետև դա թոքենի պաշտպանությունը փոխանակում է հարմարավետության հետ։ Այնտեղ, որտեղ թոքենն արգելում է բանալու արտահանումը, ստորագրումը կատարվում է սարքում, և PIN-ը միակ տեղական գաղտնիքն է։ Վերաբերվեք դրան այն խնամքով, ինչ դա ենթադրում է։
Ինչը թոքենը չի փոխարինում
Թոքենը նույնականացնում է հաճախորդին տեղակայված քաղաքականության ներքո և չի փոխարինում հաճախորդի ստուգումները սերվերի նկատմամբ։ Հաջողությամբ ընտրված վկայագիրը թույլտվություն չէ ընդունելու անսպասելի դարպասի վկայագիր, և երկու ստուգումները պաշտպանում են հակառակ ուղղությունները։
Գրանցումը դեռ պետք է տեղի ունենա թողարկողի մոտ, և դարպասը դեռ պետք է լիազորի ինքնությունը։
Ընդունման համար առանձնացրեք փուլերը՝ մատակարարը բեռնվում է, նախատեսված վկայագիրը գտնվում է, մասնավոր բանալին օգտագործվում է տեղական լիազորությամբ, VPN-ը նույնականացնում է, և ռեսուրսի գործողությունը հաջողվում է։ Կանգ առեք առաջին ձախողված փուլում՝ գաղտնաբառերի միջով անցնելու և կրիպտոգրաֆիկ կույտը վերատեղադրելու փոխարեն։
Գրանցեք տարբերակները, մոդուլների սեփականությունը, ընտրված հանրային նույնացուցիչը և մաքրված սխալները, և PIN-ները ու հավատարմագրերի փաթեթները թողեք այդ գրառումից դուրս։