Rétt VPN-lykilorð kemur ekki í stað vottorðs sem vantar

Auðkennin eru rétt, sniðið flyst inn á hreinan hátt og tengingin mistekst samt áður en auðkenningunni lýkur. Í Windows geta skilaboðin verið villa 798, um vottorð sem fannst ekki fyrir EAP-aðferðina. Á OpenVPN sýnir biðlaraloggið TLS-handaband sem fullnægir þjóninum aldrei. Bæði lýsa sama hlutnum sem vantar: biðlara-vottorði sem biðlarinn átti að leggja fram.

Lykilorð sannar þekkingu á leyndarmáli; vottorð sannar eign á lykli, og annað kemur ekki í stað hins.

Lykilorðið var aldrei vandamálið

Villa 798 er misheppnuð vottorðsleit. Biðlarinn var beðinn um vottorð sem passar við stilltu auðkenningaraðferðina, leitaði í geymslu sinni og fann ekkert nothæft. Það getur þýtt að vottorðið vanti, sé til án einkalykils, sé útrunnið eða geymt þar sem leitin nær ekki til. Að reyna lykilorðið aftur getur ekki breytt neinu af þessum skilyrðum, þess vegna kemur villan aftur jafnvel með réttum auðkennum.

Lestu skilaboðin áður en þú bregst við þeim. Höfnun auðkenna, misheppnuð vottorðsleit og misheppið TLS-handaband eru þrjár mismunandi niðurstöður, og aðeins ein þeirra varðar lykilorðið.

Hvað biðlarageymsla þarf að innihalda

Tveir hlutir eiga hlut að máli. Biðlara-vottorðið verður að vera uppsett fyrir notandann sem keyrir VPN-biðlarann, ásamt einkalykli sínum, og útgefandi rótin verður að vera treyst. .cer skrá inniheldur aðeins opinbera vottorðið, svo hún getur ekki auðkennt neitt eitt sér. Í vottorðastjóra Windows tilheyrir auðkenni biðlarans persónulegri geymslu núverandi notanda og rótin geymslu treystra róta.

Að setja auðkennið í geymslu tölvunnar, eða aðeins í rótar-geymsluna, fullnægir ekki leit sem beinist að persónulegri geymslu notandans. Athugaðu geymsluna, einkalykilsmerkið og gildisdagsetningarnar saman og endurræstu biðlarann svo hann lesi geymsluna aftur.

Tvær vörur, sama auðkennið sem vantar

OpenVPN-þjónar krefjast biðlara-vottorðs sjálfgefið. Að bæta auth-user-pass við biðlara sendir notandanafn og lykilorð, og TLS-handabandið biður enn um vottorð, svo lykilorð eitt getur ekki lokið tengingunni undir verify-client-cert require. Hægt er að stilla þjóninn þannig að hann krefjist einskis, sem gerir lykilorðið eina auðkenni biðlarans og er raunveruleg minnkun á styrk. Shell-skript á bak við auth-user-pass-verify getur staðfest auðkenni, og það krefst þess að skriftuútfærsla sé virkjuð, sem gerir það áhættusamari hönnun en almennilegt auðkenningarbakendi.

Snið sem byggir eingöngu á lykilorði er einnig háð ýttum valkostum, sem aftur eru háðir því að togvélbúnaðurinn sé virkjaður.

Lagaðu ekki vottorð sem vantar með því að slökkva á athugunum

Freistingin er að slaka á sannprófuninni svo skilaboðin hverfi. Það fjarlægir stjórnina sem var að sinna sínu hlutverki og skilur eftir tengingu sem sannar ekki lengur það sem hún segist gera. Ef gáttin hefur nýlega skipt um rót, hladdu biðlarapakkanum niður aftur í stað þess að breyta sniðinu, því gamli pakkinn getur enn borið fyrri rótina. Ef valkosturinn um vottorðsauðkenningu vantar í sniðritilinn gæti uppsetta Windows-útgáfan ekki sýnt þá aðferð; uppfærðu kerfið í stað þess að breyta XML fyrir hönd.

Skráðu hvaða geymsla hýsti vottorðið, hvaða notandi keyrði biðlarann og hvort einkalykillinn var til staðar. Þessi þrjú útskýra næstum hvert tilvik þessarar bilunar.

Lykilorðið var í lagi. Auðkennið sem aðferðin þurfti í raun var annars staðar.