OpenConnect-тегі --key-password сіздің VPN тіркелгіңіздің құпиясөзі ме?

Параметр атауын сөзбе-сөз оқыңыз. Ол кілтті атайды, және шатасу ашылатын файлды аутентификацияланатын тіркелгімен шатастырғанда басталады. Тіркелгі құпиясөзін сол параметрге қойсаңыз, клиент онымен кілт файлын ашуға тырысады, бұл VPN кіруге қатысы жоқ себептермен сәтсіз болады.

Шатастыратын жайт — бір қосылым екі құпияны да заңды түрде қажет етуі мүмкін. Клиент сертификатымен аутентификациялау шифрланған кілтті талап етуі мүмкін, ал сол шлюз сертификат қабылданғаннан кейін де пайдаланушыны аутентификациялау алмасуын жүргізуі мүмкін. Ешбір құпия екінші кезеңді қанағаттандырмайды, ал біреуіндегі сәтсіздік сырттан қарағанда екіншісіндегі сәтсіздікке өте ұқсайды.

Екі құпия, екі түрлі жұмыс

Рөлдерді файлға қатынау мен желіге рұқсат ретінде оқыңыз. Кілт құпиясөзі --sslkey ішінде көрсетілген PEM жеке кілтін шифрдан шығарады, осылайша TLS клиент сертификатын ұсынуға болады. Бұл шифрдан шығару жергілікті түрде, клиент процесінің ішінде жүреді, ал құпиясөздің өзі ешқашан шлюзге бармайды. Шлюз сертификатты және кілтпен жасалған қолтаңбаны көреді. OpenConnect нұсқаулығы --key-password параметрін --certificate және --sslkey жанында ұстайды, ал TPM-де сақталған кілтті пайдалана алатын құрастыруларда сол параметр оның орнына қойманың түбірлік кілтінің құпиясөзін алып жүреді.

Тіркелгі құпиясөзі түрі жағынан өзгеше. Ол аутентификациялау алмасуына кіреді: пайдаланушы аты мен құпиясөз пішіні, токен, SAML айналымы немесе шлюз жариялайтын қандай да бір үйлесім. Кейбір орналастырулар сертификат жалғыз фактор болғанда оны мүлдем сұрамайды, ал кейбіреулері сертификаттан кейін де сұрайды, өйткені сертификат құрылғыны дәлелдейді, ал тіркелгі адамды дәлелдейді.

Екеуін араластыру адасушы қателер туғызады. Кіруді қабылдамайтын шлюз әдетте аутентификациялау сәтсіздігін хабарлайды, ал дұрыс емес кілт құпиясөзі әдетте ертерек, TLS қабаты кілт файлын оқи алмаған кезде сәтсіз болады. Бұлар — әртүрлі шешімдері бар әртүрлі кезеңдер, ал атаулары сондай ұқсас болғандықтан адамдар оларды шатастырып, кейін қате журналды қуалайды. Кез келген параметрді өзгертуден бұрын қандай сұраныс шыққанын белгілеп алыңыз, өйткені сұраныстың мәтіні — қолыңыздағы ең арзан диагностика.

Кілт құпиясөзі қашан шынымен қажет

Параметрдің мәні тек ашуға тиісті шифрланған кілт болғанда ғана бар. Егер пайдаланушы аты мен құпиясөзбен және клиент сертификатынсыз қосылсаңыз, --key-password әсер ететін ештеңеге ие емес, оны қосу ештеңені өзгертпейді. Егер --certificate және --sslkey арқылы қосылсаңыз, құпиясөздің тіпті сұралатынын кілт файлының өз пішімі шешеді.

Бір пәрменде екі құпия басқарылатын орталарда жиі кездеседі: шифрланған кілттегі құрылғы сертификаты және әр пайдаланушыға жеке кіру. Дұрыс реті — клиентке кілт құпиясөзін жергілікті түрде сұратуға мүмкіндік беру, сертификаттың қол алысуын аяқтау, содан кейін шлюздің тіркелгі сұранысын бөлек өңдеу. Екеуін бір қайта пайдаланылатын сценарий арқылы алдын ала толтыруға тырысу — шатасу әдетте басталатын жер.

Пайдалы диагностика — сәтсіздіктің қашан болатынын қарау. Егер клиент кез келген желілік аутентификациялау басталмай тұрып тоқтаса, кілт файлынан, оның пішімінен немесе құпиясөзден күдіктеніңіз. Егер TLS сессиясы орнап, содан кейін шлюз пайдаланушыны қабылдамаса, кілт өз жұмысын істеді, ал мәселе тіркелгі алмасуында.

Екі құпияны shell тарихынан тыс ұстаңыз

Пәрмен жолының аргументтерін басқа жергілікті пайдаланушылар процестер кестесі арқылы оқи алады және олар shell тарихында, сценарийлерде және қолдау жазбаларында жиі қалады. OpenConnect тіркелгі құпиясөзін стандартты кірістен --passwd-on-stdin арқылы оқи алады, ал кілт құпиясөзі аргументтің орнына интерактивті сұраныстан немесе агенттен келуі мүмкін. Ешбір механизм құпияны өздігінен қауіпсіз етпейді, бірақ екеуі де оны ең ашық жерлерден алыс ұстайды.

Файлдар да сол күтімге лайық. Құпиясөзді уақытша файлға жазатын сценарий оны шектеулі рұқсаттармен құруы, шыққанда жоюы және бәріне оқылатын қалталардан аулақ болуы керек. Уақытша қалтада сессиядан кейін қалған құпиясөз — жасауды ұмытып кеткен көшірмеңіз. Орта айнымалылары балама процестерге көрінеді және жиі жөндеу құралдары шығарады, сондықтан олар аргументтермен салыстырғанда тегін жақсарту емес.

Диагностикалық шығыс — үнсіз ағу. Клиент журналдары жоғары егжей-тегжейде сұраныс денелерін немесе параметр мәндерін көрсетуі мүмкін, ал көшірілген терминал жазбасын билетке қою оңай, сондықтан бөліспес бұрын шығысты оқыңыз.

Өлі жұмыс үстелі түймесі — басқа ақау

Айналманы көрсетіп, содан кейін ештеңе жасамайтын жұмыс үстелінің VPN жазбасы әдетте мүлдем аутентификациялау мәселесі емес. Түйме желі менеджеріне, өндірушінің апплетіне немесе сіздің атыңыздан OpenConnect іске қосатын плагинге тиесілі, ал жоқ құрамдас немесе оқылмайтын профиль дәл сол симптомды туғызуы мүмкін. Түйменің қай процесті іске қосатынын тауып, тіркелгі деректеріне тиіспес бұрын оның қатесін оқыңыз.

GUI қосылудан бас тартқанда сертификатты тексеруді әлсірету немесе тексеруді өшіру азғырады. Бұл клиент интеграциясының ақауын қауіпсіздіктің төмендеуіне айналдырады және іске қосу мәселесін сирек түзейді. Сервер тексеруін бұзылмаған күйде қалдырыңыз, профильдің көзделген шлюзге нұсқайтынын растаңыз және GUI күтетін көмекші шынымен орнатылғанын тексеріңіз.

Қысқа тексеру тізімі жағдайларды ажыратады. Кез келген пакет шықпай тұрып болған жергілікті сәтсіздік кілтке немесе клиент орнатуына нұсқайды. TLS сессиясынан кейінгі шлюздің бас тартуы тіркелгі алмасуына нұсқайды. Клиентті ешқашан іске қоспайтын түйме жұмыс үстелі интеграциясына нұсқайды. Үш түрлі ақау, олардың біреуі қате ұяшыққа қоюға дайындалып отырған құпиясөзіңіз.