OpenVPN-þjónustan stöðvast við beiðni um lykilorð einkalykilsins: hvernig laga á það

OpenVPN biður um lykilorð einkalykilsins á staðbundinni vél, svo virk innskráningarskrá svarar því aldrei. Í þjónustu er ekkert skjáherbergi til að skrifa í, og ræsingin hangir annaðhvort eða mistekst með færslu í journal sem nefnir inntakið frekar en orsökina. Tvö leyndarmál koma við sögu, og hvort þeirra þarf sína eigin læsilegu uppsprettu áður en unit er endurræst. Ferlið hér að neðan aðskilur þau og athugar síðan auðkennið sem í raun opnar hverja skrá.

Greindu milli beiðnanna tveggja

Lykilorð lykilsins afkóðar staðbundna einkalykilinn; auðkenni reikningsins sannreyna lotuna við þjóninn. Þau koma frá ólíkum stöðum, mistekjast á ólíkum augnablikum og gefa ólík skilaboð. Að rugla þeim sendir fólk að leita að endurstillingu lykilorðs þegar reikningurinn átti ekki hlut að máli. Lestu texta beiðninnar áður en þú breytir einhverjum valkosti, því orðalagið er eina áreiðanlega vísbendingin um hvaða leyndarmál vantar.

Í Community OpenVPN 2.x tilgreinir askpass skrá sem heldur lykilorði lykilsins á fyrstu línu, og auth-user-pass tilgreinir skrá með notandanafni á einni línu og lykilorði á þeirri næstu. Hvorki skráin getur uppfyllt hinn valkostinn. Skjáborðsforrit eða NetworkManager-snið getur geymt hvort tveggja í eigin leyndarmálageymslu, sem skipanalínuforrit les aldrei, svo taktu eftir hvaða forrit þú ert að stilla áður en þú skrifar einhverja slóð.

Beindu báðum valkostum að læsilegum skrám

Snið sem þarf bæði inntökin endar með þremur skráartilvísunum: dulkóðaði lykillinn, lykilorðið sem opnar hann og innskráningar parið. Bættu þeim við án að snerta CA eða auðkennisathuganir, því þær ráða hver þjónninn er og eru ekki hluti af þessu vandamáli. Ef uppsetningin notar alls ekki auðkenni reikningsins býr auth-user-pass til inntak sem enginn getur veitt.

key /etc/openvpn/client/office.key
askpass /etc/openvpn/client/office-key.pass
auth-user-pass /etc/openvpn/client/office-login.auth

Valkostir án röksemdar haga sér öðruvísi en valkostir með slóð, og munurinn skiptir máli í þjónustu. askpass án röksemdar les enn stjórnborðið, og auth-user-pass-skrá með aðeins notandanafni lætur enn beiðni um lykilorð bíða. Þegar forritið verður dæmon getur það alls ekki beðið skjáherbergi um inntak, svo þjónusta stillt þannig rís ekki.

Algildar slóðir fjarlægja spurninguna um vinnumöppuna en veita ekki aðgang. Eigandi, hamur og gegnumferð koma næst, og öll þrjú eru athuguð gagnvart reikningnum sem ferlið keyrir undir.

Lestu stillingar unitsins áður en sniðið

Það er unitið, ekki skráin sem þú varst að breyta, sem ræður því hvaða stillingu tilvikið hleður. Lestu skipanalínuna og allar drop-in skrár, fylgdu svo vinnumöppunni að sniðinu sem er í raun notað. Tilvísun í lykilorð sem bætt er við aðra .ovpn-skrá breytir engu fyrir þetta tilvik.

Þrjár leseinungis skipanir svara mestu um þetta. Fyrsta prentar unitið og allar drop-in skrár, önnur auðkennið og sandbox-stillingarnar sem binda ferlið, og þriðja það sem síðasta ræsing kvartaði í raun undan. Notaðu nafn tilviksins sem er til á hýsilnum:

systemctl cat [email protected]
systemctl show [email protected] -p User -p Group -p WorkingDirectory -p ProtectHome
journalctl -u [email protected] -b

Fylgstu með ProtectHome og eigin valkostum sniðsins user, group og chroot. Skrá undir heimamöppu getur verið læsileg í skelinni þinni og ósýnileg inni í þjónustunni þegar heimamöppur eru faldar. Reikningurinn sem systemd ræsir með er ekki alltaf reikningurinn sem endar með að opna lykilinn.

Sannaðu að auðkenni keyrslunnar geti opnað báðar skrárnar

Að lesa haminn er ekki nóg, því hver mappa á slóðinni verður að vera ferðafær fyrir sama auðkenni. Gakktu slóðina í gegn hluta fyrir hluta og prófaðu svo opnunina sem reikningurinn sem ferlið notar. Skrá með ham 600 í eigu root virkar aðeins á meðan ferlið er enn root, sem er ekki rétt eftir réttindalækkunina sem mörg snið gera. Tvær skipanir ná yfir gegnumferðina og opnunina:

namei -l /etc/openvpn/client/office-key.pass
sudo -u openvpn test -r /etc/openvpn/client/office-key.pass && echo readable

Fyrsta skipunin prentar ham hvers hluta og mistekst þar sem reikningurinn kemst ekki í gegn; önnur svarar einu mikilvægu spurningunni, hvort auðkenni keyrslunnar geti opnað skrána til lestrar. Hvorug prentar innihald skrárinnar, og það er einmitt málið þegar skráin geymir lykilorð. Endurtaktu prófið fyrir innskráningarskrána, því þær tvær eru oft geymdar með ólíkum eiganda.

Ef ferlið notar chroot eða takmarkað namespace skaltu keyra sama próf innan frá þeirri sýn, annars lýsir svarið rangri skráarkerfi. Lykilorð geymt undir falinni heimamöppu er venjulega dæmið um próf sem gengur utan unitsins og mistekst inni í því.

Athugaðu fyrstu ræsinguna, síðan endurtengingu

Ræstu tilvikið einu sinni og lestu fyrstu mistökin frekar en þau síðustu. Vantar inntaksskrá, misheppnuð afkóðun lykils og AUTH_FAILED frá þjóninum eru þrír ólíkir atburðir með þremur ólíkum lagfæringum. Að laga tilkynningu um heimildir sannar ekkert um hvort lykillinn var opnaður.

Lína í journal segir hvaða þriggja þú hefur. Lagfæringin leiðir af því hvaða inntak mistókst:

Prófaðu svo lífsferilinn sem þú þarft í raun: ræsingu við botn og hverja studda endurtengingu, ekki bara handvirka ræsingu úr skelinni þinni. Með auth-nocache er inntakinu hent eftir fyrstu notkun, svo síðari endurtenging þarf enn læsilega uppsprettu. Lyklakippa sem opnast við innskráningu á skjáborðinu er ekki tiltæk fyrir þjónustu sem ræstist áður en nokkur skráði sig inn, og það er venjulega ástæðan fyrir því að handvirkt próf gengur og endurræsing mistekst. Ef fyrsta ræsingin gengur og síðari endurtenging mistekst skaltu lesa journal fyrir endurtengingaratburðinn áður en þú breytir heimildum aftur.

Að geyma lykilorðið við hlið lykilsins dregur úr því sem dulkóðunin gefur þér, svo takmarkaðu þá skrá og öryggisafrit hennar. Líttu á að fjarlægja lykilorð lykilsins sem sérstaka ákvörðun um auðkenni, ekki sem lagfæringu fyrir vantar inntak. Uppsetning sem byggir á mannlegri samþykkt eða gagnvirkri MFA þarf studda umboðsmanninn eða stjórnunarsamþættingu sína; varanlega geymdur einnota kóði er ekki jafngild staðganga.