რატომ კვლავ ითხოვს OpenVPN პირადი გასაღების ფაილს ტოკენის არსებობისას

ჩასვამთ ტოკენს, მომწოდებლის საკუთარი ხელსაწყო ხედავს მას, და VPN კლიენტი კვლავ ითხოვს პირადი გასაღების ფაილს. ეს მოთხოვნა არ არის მტკიცებულება, რომ ტოკენი არ არის მხარდაჭერილი. ჩვეულებრივ ეს ნიშნავს, რომ პროფილმა კლიენტს არასდროს უთხრა ტოკენის გამოყენება, ამიტომ ის დაუბრუნდა სერტიფიკატისა და გასაღების იმ შეტანებს, რომლებსაც ნაგულისხმევად ელოდება.

ორი ცალკე მნიშვნელობა უნდა იყოს სწორი, სანამ ეს დაბრუნება შეჩერდება: მომწოდებელი, რომელიც ავლენს ტოკენს, და მის შიგნით არსებული სერტიფიკატის იდენტობა. ისინი სხვადასხვა პარამეტრით მოცემა და მათი არევა ადვილია.

კლიენტი ფაილს ითხოვს, რადგან პროფილი ასე ამბობს

ნაგულისხმევი პროფილი ელოდება სერტიფიკატის ფაილს და პირადი გასაღების ფაილს, ან ერთ PKCS#12 პაკეტს. როცა ეს შეტანები არ არის, კლიენტს არაფერი აქვს ჩასატვირთად და იქცევა თითქმის ისე, როგორც არარსებული ფაილის დროს, ამიტომ სიმპტომი იკითხება როგორც დაზიანებული გზა და არა როგორც დაკარგული მექანიზმი. PKCS#11 გზა ცვლის ამ შეტანებს და არა ავსებს მათ, ამიტომ პროფილი, რომელიც კვლავ ასახელებს გასაღების ფაილს, გააგრძელებს ფაილის გამოყენებას. განზრახ მოხსენით ფაილის შეტანები და მიეცით ტოკენს ორივე ნახევრის მიწოდება.

მომწოდებლის პარამეტრი ასახელებს შუალედური პროგრამული უზრუნველყოფის ბიბლიოთეკას, არა მოწყობილობას და არა სერტიფიკატს. შეძლებს თუ არა შეფუთული კლიენტი ამ ბიბლიოთეკის ჩატვირთვას, დამოკიდებულია იმაზე, თუ როგორ აშენდა ის, მათ შორის არასავალდებულო p11-kit მხარდაჭერაზე, რომელსაც ზოგიერთი აწყობა რთავს და სხვები გამოტოვებენ. ზოგადი გზამკვლევი ვერ გეტყვით, რა განლაგება აქვს თქვენს პაკეტს.

სერიალიზებული იდენტობა სხვა მნიშვნელობაა

სერტიფიკატის იდენტობა გრძელი სერიალიზებული სტრიქონია, რომელსაც აღმოჩენის პროცესი ქმნის, და ის არ არის ბიბლიოთეკის გზა, არც ტოკენის PIN და არც VPN ანგარიშის სახელი. ის ხშირად შეიცავს სიმბოლოებს, რომლებსაც ბრჭყალები სჭირდებათ, და ბრჭყალების გარეშე მნიშვნელობა შეიძლება შეიკვეთოს ან არასწორად წაიკითხოს მკაფიო შეცდომის გარეშე. გამოიყენეთ კლიენტის საკუთარი იდენტობის აღმოჩენა პარამეტრი, რომ ჩამოთვალოთ, რას ავლენს ტოკენი, შემდეგ ზუსტად დააკოპირეთ სასურველი ჩანაწერი. სიაში პირველი ობიექტის არჩევა არის გზა, რომლითაც მოწყობილობა საბოლოოდ არასწორ სერტიფიკატს წარადგენს.

აღმოჩენის შედეგი პასუხობს წინა კითხვასაც: ჩანს თუ არა ტოკენი საერთოდ ამ მომწოდებლის მეშვეობით. თუ ის არაფერს ჩამოთვლის, პრობლემა VPN კლიენტზე მაღლაა და შუალედურ პროგრამულ უზრუნველყოფას ეკუთვნის.

დაკავშირების პროცესმა ტოკენამდე უნდა მიაღწიოს

ტოკენის ოპერაცია, რომელიც თქვენს სამუშაო მაგიდის სესიაში მუშაობს, არაფერს ამტკიცებს სისტემური სერვისის შესახებ. სერვისი შეიძლება მუშაობდეს სხვა მომხმარებლის სახელით, სხვა mount სახელთა სივრცეში, მოდულების გზით, რომელიც გამოტოვებს მომწოდებლის ბიბლიოთეკას, ან მოწყობილობის კვანძის გახსნის ნებართვის გარეშე. დაადგინეთ, რომელი პროცესი რეალურად ფლობს კავშირს, და შეამოწმეთ იმ კონტექსტიდან.

PIN-თან მუშაობა ცალკე გადაწყვეტილებას იმსახურებს. საცნობარო იმპლემენტაცია გვთავაზობს PIN ქეშს და დაცულ აუტენტიფიკაციის გზას, და ორივე არსებობს იმისთვის, რომ ოპერატორმა სამუშაო პროცესი აირჩიოს და არა გამოიგონოს. არ გადააქციოთ ზედამხედველობის გარეშე მოთხოვნა ღია ტექსტის PIN-ად საერთო პროფილში, რადგან ეს ტოკენის დაცვას ცვლის კომფორტში. სადაც ტოკენი კრძალავს გასაღების ექსპორტს, ხელმოწერა ხდება მოწყობილობაზე და PIN ერთადერთი ლოკალური საიდუმლოა. მოექეცით მას იმ სიფრთხილით, რასაც ეს გულისხმობს.

რას არ ცვლის ტოკენი

ტოკენი აუტენტიფიცირებს კლიენტს განლაგებული პოლიტიკის ფარგლებში და არ ცვლის კლიენტის შემოწმებებს სერვერზე. წარმატებით არჩეული სერტიფიკატი არ არის მოულოდნელი კარიბჭის სერტიფიკატის მიღების ნებართვა, და ორი შემოწმება საპირისპირო მიმართულებებს იცავს.

რეგისტრაცია კვლავ გამომცემელთან უნდა მოხდეს, და კარიბჭემ კვლავ უნდა აუტორიზოს იდენტობა.

მისაღებად გამოყავით ეტაპები: მომწოდებელი იტვირთება, მოიძებნება სასურველი სერტიფიკატი, პირადი გასაღები გამოიყენება ლოკალური ავტორიზაციით, VPN აუტენტიფიცირდება, და რესურსზე ოპერაცია წარმატებით სრულდება. გაჩერდით პირველ წარუმატებელ ეტაპზე, ნაცვლად იმისა, რომ პაროლები სცადოთ და კრიპტოგრაფიული დასტა ხელახლა დააყენოთ.

ჩაწერეთ ვერსიები, მოდულების საკუთრება, არჩეული საჯარო იდენტიფიკატორი და გაწმენდილი შეცდომები, და PIN-ები და სერტიფიკატების პაკეტები ამ ჩანაწერის გარეთ დატოვეთ.