Er --key-password í OpenConnect lykilorð VPN-reikningsins þíns?

Lestu nafn valmöguleikans bókstaflega. Hann nefnir lykil, og ruglingurinn byrjar þegar skránni sem er opnuð er ruglað saman við reikninginn sem er sannreyndur. Límdu lykilorð reikningsins í þann valmöguleika og biðlarinn mun reyna að opna lykilskrá með því, sem mistekst af ástæðum sem tengjast ekki VPN-innskráningunni á nokkurn hátt.

Það ruglandi er að ein tenging getur lögmætlega þurft bæði leyndarmálin. Auðkenning með biðlaraskírteini getur krafist dulritaðs lykils, og sama gáttin getur enn framkvæmt auðkenningarskipti notanda eftir að skírteinið er samþykkt. Hvort leyndarmál uppfyllir ekki hitt stigið, og bilun í öðru lítur mjög út eins og bilun í hinu séð að utan.

Tvö leyndarmál, tvö ólík verk

Lestu hlutverkin sem skráaraðgang á móti aðgangi að netinu. Lykilorð lykilsins afkóðar PEM-einkalykilinn sem nefndur er í --sslkey svo hægt sé að leggja fram TLS-biðlaraskírteinið. Sú afkóðun fer fram staðbundið, inni í ferli biðlarans, og lykilorðið sjálft fer aldrei til gáttarinnar. Það sem gáttin sér er skírteinið og undirskrift gerð með lyklinum. Handbók OpenConnect heldur --key-password við hlið --certificate og --sslkey, og í útgáfum sem geta notað lykil í TPM ber sami valmöguleiki í staðinn lykilorð rótarlykils geymslunnar.

Lykilorð reikningsins er annars eðlis. Það fer í auðkenningarskiptin: form með notandanafni og lykilorði, tákn, SAML-hring eða einhverja samsetningu sem gáttin tilkynnir. Sumar uppsetningar biðja alls ekki um það þegar skírteinið er eini þátturinn, og aðrar biðja um það jafnvel eftir skírteini, því skírteinið sannar tækið á meðan reikningurinn sannar manneskjuna.

Að blanda þessu tvennu framkallar villandi villur. Gátt sem hafnar innskráningu tilkynnir venjulega auðkenningarbilun, á meðan rangt lykilorð lykilsins mistekst venjulega fyrr, þegar TLS-lagið getur ekki lesið lykilskrána. Þetta eru ólík stig með ólíkum úrbótum, og nöfnin eru nógu lík til að fólk víxli þeim og elti síðan ranga skrá. Taktu eftir hvaða kvaðning birtist áður en þú breytir einhverjum stillingum, því orðalag kvaðningarinnar er ódýrasta greiningin sem þú hefur.

Hvenær lykilorðs lykilsins er raunverulega þörf

Valmöguleikinn hefur aðeins merkingu þegar dulritaður lykill er til að opna. Ef þú tengist með notandanafni og lykilorði og án biðlaraskírteinis hefur --key-password ekkert til að verka á, og að hafa það með breytir engu. Ef þú tengist með --certificate og --sslkey ræður snið lykilskrárinnar sjálfrar hvort beðið verður um lykilorð yfirhöfuð.

Bæði leyndarmálin í einni skipun eru algeng í stýrðum umhverfum: tækisskírteini í dulrituðum lykli, auk innskráningar fyrir hvern notanda. Rétta röðin er að láta biðlarann biðja um lykilorð lykilsins staðbundið, ljúka skírteinishandabandi og takast síðan sérstaklega á við reikningskvaðningu gáttarinnar. Tilraunin að fylla bæði fyrirfram með einu endurnýttu skripti er þar sem ruglingurinn byrjar venjulega.

Gagnleg greining er að horfa á hvenær bilunin á sér stað. Ef biðlarinn stoppar áður en nokkur netauðkenning hefst skaltu gruna lykilskrána, snið hennar eða lykilorðið. Ef TLS-lotunni er komið á og gáttin hafnar notandanum síðan hefur lykillinn gert sitt og vandamálið er reikningsskiptin.

Haltu báðum leyndarmálunum utan skeljarferilsins

Skipanalínuviðföng eru lesanleg af öðrum staðbundnum notendum í gegnum ferlatöfluna og lenda oft í skeljarferli, skriptum og stuðningstextum. OpenConnect getur lesið lykilorð reikningsins af staðalinntaki með --passwd-on-stdin, og lykilorð lykilsins getur komið úr gagnvirkri kvaðningu eða umboðsmanni í stað viðfangs. Ekkert fyrirkomulag gerir leyndarmálið óhult eitt og sér, en bæði halda því utan við opinberustu staðina.

Skrár eiga sama umhyggju skilið. Skript sem skrifar lykilorð í tímabundna skrá ætti að búa hana til með þröngum heimildum, eyða henni við útgöngu og forðast möppur sem allir geta lesið. Lykilorð sem lifir lotuna í tímabundinni möppu er afrit sem þú gleymdir að búa til. Umhverfisbreytur eru sýnilegar barnferlum og enda oft í útkomu kembiforrita, svo þær eru ekki ókeypis uppfærsla fram yfir viðföng.

Greiningarúttakið er hljóðláta lekið. Biðlaraskrár við meiri ítarleika geta sýnt bol beiðna eða gildi valmöguleika, og afritaður texti úr skjáhermi er auðveldur að líma í miða, svo lestu úttakið áður en þú deilir því.

Dauður skjáborðshnappur er önnur bilun

Skjáborðsfærsla fyrir VPN sem sýnir snúning og svo ekkert er venjulega alls ekki auðkenningarvandamál. Hnappurinn tilheyrir netstjóra, smáforriti frá framleiðanda eða viðbót sem ræsir OpenConnect fyrir þína hönd, og vantar íhlut eða ólæsilegt snið getur framkallað nákvæmlega þessi einkenni. Finndu hvaða ferli hnappurinn ræsir og lestu villuna áður en þú snertir skilríki.

Það er freistandi að slaka á skírteinissannprófun eða slökkva á athugun þegar viðmótið neitar að tengjast. Það breytir bilun í samþættingu biðlarans í öryggisafturför og lagar sjaldan ræsingarvandamálið. Haltu sannprófun þjónsins ósnortinni, staðfestu að sniðið vísi á fyrirhuguðu gáttina og athugaðu að hjálparforritið sem viðmótið væntir sé í raun uppsett.

Stuttur gátlisti aðgreinir tilfellin. Staðbundin bilun áður en einhver pakki fer út bendir á lykilinn eða uppsetningu biðlarans. Höfnun gáttarinnar eftir TLS-lotuna bendir á reikningsskiptin. Hnappur sem ræsir biðlarann aldrei bendir á samþættingu skjáborðsins. Þrjár ólíkar bilanir, og ein þeirra er lykilorð sem þú varst rétt búinn að líma í rangan reit.