Ógild leyndarmál eru vandamál í gámum, ekki regla um lykilorð
Hafnaðar innskráningarupplýsingar hafa kannski aldrei náð að gáttinni. Berðu fyrst saman inntaksgámuna, auðkenningarþrepið og reikninginn sjálfan.
Að sjá skilaboð um ógild leyndarmál leiðir venjulega til einnar ályktunar: VPN-ið þolir ekki greinarmerki. Sú ályktun er venjulega röng, því skilaboðin koma oft frá staðbundinni meðferð áður en nokkur gátt hefur litið á reikninginn. Tvær hannanir senda sama lykilorðið, grafískt svæði og skrá með innskráningarupplýsingum, og þær bregðast á ólíkum stöðum. Berðu gámunum saman áður en þú einfaldar lykilorð sem var í lagi allan tímann.
Villan kemur áður en gáttin
Staðbundin sannprófun, læst leyndarmálageymsla, vantað umboðsforrit og skemmd skrá með innskráningarupplýsingum framkalla öll mistök sem notandinn upplifir sem eina höfnun. Ekkert þeirra felur í sér auðkenningarþjóninn. Höfnun gáttarinnar sjálfrar er aðskilinn atburður og kemur venjulega með öðrum skilaboðum og öðrum tímasetningum. Hún á sér stað eftir að göngin eru til og upplýsingarnar hafa verið sendar.
Fyrsta spurningin er því ekki hvaða stafir eru leyfðir heldur hvar tilraunin stöðvaðist. Biðlara sem aldrei opnaði tengingu hefur enginn hafnað. Skrifaðu niður þrepið sem þú sást, því hvert næsta skref byggir á þeirri flokkun.
Greiningin breytir líka hver lagar þetta. Vandamál í gámu tilheyrir tækinu og eiganda þess, en höfnun reiknings tilheyrir þeim sem rekur auðkenningarbakendann.
Berðu saman gámuna, ekki stafina
Grafískt lykilorðasvæði, færsla í lyklakippu, tveggja lína skrá með innskráningarupplýsingum og leyndarmál sjálfvirkninnar bera hvert sama gildið í mismunandi umslagi. Umslagið hefur sínar eigin reglur, og það eru þær reglur sem venjulega brotna. Gildið er sjaldan vandamálið; flutningur gildisins er það. Haltu hugmyndunum tveimur aðskildum og greiningin verður styttri.
| Where the value stops | What you see | What you check | Who owns the fix |
|---|---|---|---|
| GUI field or managed profile | A validation message before any connection opens | The selected authentication mode and whether the field holds the secret or the username | The device owner or the profile author |
| Keychain or secret agent | A prompt that keeps reappearing, or an agent error | Whether the agent is unlocked and holds an entry for this profile | The user who owns the keychain |
| Two-line credential file | A prompt for a password that was already supplied | Line count, line order and whether a trailing newline is present | Whoever generated the file |
| Shell argument or environment | Works interactively but fails in automation | Whether the shell expanded, trimmed or logged the value | Whoever wrote the automation |
Biðlaravalkostir OpenVPN 2.6 frá samfélaginu lýsa þessari tveggja línu skrá fyrir auth-user-pass, þar á meðal hegðuninni þegar lykilorðalínan vantar: biðlarinn spyr þá. Þessi eini smáatriði útskýrir heilan flokk tilkynninga um að biðlarinn biðji um lykilorð sem ég gaf þegar upp. Hann segir þér líka að tóm önnur lína sé merkingarlegt ástand en ekki skaðlaus sniðsval.
Gæsalappir eru aftur sérstakt lag: gæsalappir í venjulegri skrá með innskráningarupplýsingum eru geymdar sem gögn, en skelin fjarlægir þær áður en forritið sér nokkuð. Sami stafurinn er skaðlaus á einum stað og byggingarlegur á öðrum. Tafla getur ekki sagt þér hvaða gámu biðlarinn þinn notaði, svo lestu stillingar biðlarans sjálfs áður en þú velur línu.
Línubrot eru líka byggingarleg. Skrá með línum aðskildum reitum getur ekki borið gildi sem inniheldur línubrot, og það er takmörkun sniðsins en ekki dómur um styrk lykilorðsins. Notaðu þá afhendingaraðferð sem uppsetningin styður í stað þess að stytta leyndarmálið til að passa í tilbúna skrá.
Byggðu skrána með innskráningarupplýsingum án skemmdar frá skelinni
Öruggasta staðbundna leiðin heldur leyndarmálinu utan söguskrár skeljarinnar og utan rökliðalista ferlisins. Lestu báða reitina gagnvirkt og skrifaðu síðan línurnar tvær sem biðlarinn á von á. Allt annað getur verið í stillingaskrá sem er auðveld að fara yfir.
read -r VPN_USER
read -rs VPN_PASS
printf '%s\n%s\n' "$VPN_USER" "$VPN_PASS" > /etc/openvpn/client/creds
chmod 600 /etc/openvpn/client/creds
openvpn --config /etc/openvpn/client/office.conf --auth-user-pass /etc/openvpn/client/credsFyrstu tvær skipanirnar lesa notandanafnið og svo lykilorðið án að sýna það, þriðja skrifar báðar línurnar, fjórða takmarkar skrána og síðasta ræsir biðlarann með þeirri skrá. Athugaðu að read -r varðveitir sviga til baka, og einmitt slíkt smáatriði breytir virku lykilorði í það sem bregst þegar það er sleppt.
Forðastu að byggja skrána með ótilvitnuðu breytu eða here-skjali fullu af skeljastækkunum. Bæði geta umbreytt stöfum áður en þeir ná skránni, og mistökin sem af verða líta út eins og höfnun frá VPN því lykilorðið á diskinum er sannarlega annað en það sem þú þekkir. Ef þú grunar þetta skaltu bera saman bætatalningu skrárinnar við vænt gildi án að prenta leyndarmálið sjálft. Mismunur upp á einn eða tvo bæti er merki gæsalappaslyss.
Lestu þrepið úr fyrstu villunni
Haltu fyrstu nákvæmu skilaboðunum úr einni tilraun og flokkaðu þau síðan. Staðbundin sannprófunarvilla, vantaður einkalykill, óaðgengilegt leyndarmálaumboð og auðkenningarmistök í gátt eru fjórar ólíkar niðurstöður með fjórum ólíkum eigendum. Aðeins ein þeirra snýst um reikninginn.
Ef gáttin er í raun að hafna rétt afhentum innskráningarupplýsingum skaltu ásamt stjórnandanum athuga reikninginn, auðkenningarbakendann og hvers kyns áskorun sem krafist er. Almenn auðkenningarmistök nefna ekki bannaðan staf.
Endurheimtu samþykkt gildi með réttu ferli í stað þess að fækka því niður í bókstafi og tölustafi. Lykilorðastefnan tilheyrir rekstraraðilanum, og lausn sem vinnur hljóðlega á móti henni er ekki lagfæring. Hún felur líka raunverulega gallann fyrir næsta manni, sem mun mæta sömu villu með veikara lykilorði og engri betri hugmynd.