openvpn3 session-start hunsar skilríkjaskrána þína

3.x-biðlarinn tekur við skilríkjum þegar seta hefst og les ekki vistaða skrá. Notaðu beiðnina eða autoload-slóðina og vitaðu hvað hvort um sig geymir.

Tengstu með 2.x-biðlaranum og sniðið virkar; gefðu sama skrá til 3.x-biðlarans og hann stöðvast við lykilorðsbeiðni. Gefðu --auth-user-pass creds.txt til openvpn3 session-start og útkoman er sú sama, því nýrri biðlarinn hefur ekkert þrep sem les skrána. Synjunin er viljandi: skilríki tilheyra setu, og setu skapar þjónusta en ekki ferlið í flugstöðinni þinni. Veldu milli gagnvirkrar beiðni og autoload-hjálparans og vitaðu hvað hvort um sig geymir.

Hvers vegna vistaða skráin kemst hvergi

Í nýrri hönnun eru stjórnun stillinga og stjórnun seta aðskildar þjónustur sem tala saman um kerfisbótina. Sú aðgreining gerir venjulegum notanda kleift að hefja setu án þess að forréttindadæmi lesi verndaða lykilorðsskrá fyrir hann. Skilríki sem byggja á skrám eiga sér ekki stað í þeirri fyrirmynd, því ekkert ræsingarferli á hlið dæmisins myndi lesa þau. Synjunin er afleiðing af arkitektúrnum, ekki vantaður eiginleiki.

Gamla mynstrið er vert að nefna svo auðveldara sé að leggja það af: snið vísar í skrá með skilríkjum og dæmið les hana þegar göngin hefjast. Í nýju fyrirmyndinni tilheyra skilríki setu og eru afhent þegar sú seta hefst. openvpn3 session-start --config work.ovpn biður um þau, og --auth-user-pass creds.txt er hafnað því ekkert á þeirri slóð myndi opna skrána. Hvert 2.x-uppskrift sem þú finnur gerir ráð fyrir þrepi sem er ekki lengur til.

Stillingar og staðbundnar stillingar vefsvæðis eru líka aðskildar, sem útskýrir aðra óvænta upplifun. Snið getur virst heilt á meðan tengingin sem það myndar vantar leiðar- og leysistillingar. Þessir hlutar eru settir sem staðbundnar stillingar, aðskildir frá innfluttu skránni.

Beiðnislóðin og setan sem hún skilur eftir

Að gefa lykilorðið þegar seta hefst er ætlað vinnuferli. Biðlarinn biður einu sinni, afhendir skilríkin setubakendanum og heldur áfram:

openvpn3 session-start --config work.ovpn
openvpn3 sessions-list

Ekkert er skrifað á disk með þeirri slóð. Setan heldur líka áfram eftir að flugstöðin lokast, sem kemur á óvart fólki sem býst við að ferlið deyi með skelinni. Það er kjarninn í að færa meðferð seta inn í þjónustu. Setan lifir lengur en flugstöðin sem bað um hana og verður að stöðva hana sérstaklega.

Fyrir vinnustöð með manneskju fyrir framan er þetta líka öruggasti kosturinn, því ekkert vistað leyndarmál er til að vernda eða gleyma. Hann hentar aðeins ekki þar sem enginn er viðstaddur til að slá inn.

Sjálfvirknivæðing án manneskju við lyklaborðið

Þegar vél þarf að tengjast án manneskju fylgir verkefninu openvpn3-autoload. Hann les möppu af sniðum og samsvarandi lýsingu fyrir hvert snið, og lýsingin afhendir skilríkin í hreinu texta. Hjálparinn er sérstakt tvíundarkerfi, venjulega á /usr/sbin/openvpn3-autoload, ekki fáni á session-start. Að setja hann upp þýðir að búa til möppuna, afrita sniðið undir nafninu sem lýsingin býst við og skrifa lýsinguna.

Uppsetning fyrir hvern notanda lítur svona út, keyrð sem reikningurinn sem á setuna. Möppuhamurinn heldur öðrum staðbundnum notendum fyrir utan:

mkdir -m700 -p ~/.openvpn3/autoload
cp work.ovpn ~/.openvpn3/autoload/client.conf
$EDITOR ~/.openvpn3/autoload/client.autoload

Lýsingin nefnir skilríkin og biður um sjálfvirka ræsingu. Haltu lykilorðsgildinu utan útgáfustýringar:

{
  "autostart": true,
  "user-auth": {
    "autologin": true,
    "username": "svc-vpn",
    "password": "change-this-value"
  }
}

Kallaðu síðan á hjálparann einu sinni og staðfestu að setan birtist. Seinna skipunin er prófið, ekki annað uppsetningarþrep:

/usr/sbin/openvpn3-autoload --directory ~/.openvpn3/autoload
openvpn3 sessions-list

Við ræsingu notar pökkuð eining sem heitir openvpn3-autoload.service kerfisvíðu möppuna /etc/openvpn3/autoload, ekki þá sem er fyrir hvern notanda. Sú staðsetning þarf rótareign og þéttari ham, og lýsingin geymir lykilorðið enn í hreinu texta. Afskiptin eru skýr: lykilorðið liggur nú á diski, svo meðhöndlaðu möppuna sem leyndarmál, útilokaðu hana frá afritum utan vélar og veldu gagnvirku slóðina þegar manneskja er viðstödd.

Bilunir á kerfisbót sem líta út eins og lykilorðsbilun

Sumar bilanir sem er eignað skilríkjum eru alls ekki þess háttar. Heimildarvilla sem nefnir virkjunarstíg þjónustunnar þýðir annar tveggja hluta: bakendinn er ekki í gangi, eða kallarinn hefur ekki heimild til að virkja hann. Engin sniðbreyting mun breyta hvorugu. Athugaðu stöðu þjónustunnar og útgefnu kerfisbótarstefnuna áður en þú snertir stillingarnar.

Skipunirnar hér fyrir neðan aðskilja þetta tvennt. Sú fyrri greinir frá því hvort bakendinn sé í gangi; sú síðari sýnir nýlegar kerfisbótarvillur:

systemctl status openvpn3-service-client
journalctl -b -u openvpn3-service-client --no-pager | tail -20

Hin tíða rangtúlkun er seta sem birtist og hverfur svo í einu. Sú mynd bendir venjulega til þess að staðbundnu stillingarnar hafi aldrei verið settar, svo göngin komu upp án leiðanna og leysisbreytinganna sem gera þau gagnleg. Lestu röðina frekar en síðustu línu: hvort setan var búin til, hvort hún náði tengdri stöðu og hvort hún lifði af eru þrjár aðskildar staðreyndir.

Þegar eldri biðlarinn er enn í notkun

2.x-biðlarinn tekur enn við skrá með skilríkjum, og lyklahringur getur svarað beiðni hans án þess að leyndarmálið komi nokkurn tíma á disk. Umbúðir leysa færsluna, svo skráin nefnir uppflettinguna en ekki lykilorðið. Þetta fyrirkomulag reiðir sig á ólæstan lyklahring, sem gámur án innskráningarsetu eða eining sem ræsist áður en nokkur skráir sig inn getur ekki veitt. Uppflettitólið tilkynnir þá safn sem það getur ekki skrifað í, svo villan lítur út eins og skilríkjavilla þegar hún er lyklahringsvilla.

Áður en þú byggir nokkuð af þessu skaltu athuga hvort lífvarðarstilling í sniðinu fjarlægi þörfina á endurræsingu alveg. Seta sem helst uppi nær aldrei beiðninni sem þú ert að reyna að gera sjálfvirka.

Tengdir greinar