OpenConnect ичиндеги --key-password сиздин VPN аккаунтуңуздун сырсөзүбү?

Параметрдин атын сөзмө-сөз окуңуз. Ал ачкычты атайт, жана ачылып жаткан файл аутентификацияланып жаткан аккаунт менен чаташтырылганда башаламандык башталат. Аккаунттун сырсөзүн ошол параметрге койсоңуз, кардар аны менен ачкыч файлын ачууга аракет кылат, бул VPN кирүүгө эч кандай тиешеси жок себептерден улам ишке ашпайт.

Башаламандык — бир байланыш эки сырды тең мыйзамдуу түрдө талап кылышы мүмкүн. Кардар сертификаты менен аутентификациялоо шифрленген ачкычты талап кылышы мүмкүн, ал эми ошол эле шлюз сертификат кабыл алынгандан кийин да колдонуучуну аутентификациялоо алмашуусун жүргүзүшү мүмкүн. Эч бир сыр экинчи этапты канааттандырбайт, жана бириндеги ийгиликсиздик сырттан караганда экинчисиндеги ийгиликсиздикке абдан окшош.

Эки сыр, эки башка иш

Ролдорду файлга кирүү жана тармакка уруксат катары окуңуз. Ачкычтын сырсөзү --sslkey ичинде көрсөтүлгөн PEM жеке ачкычын чечмелейт, ошондо TLS кардар сертификатын көрсөтүүгө болот. Бул чечмелөө жергиликтүү түрдө, кардар процессинин ичинде болот, ал эми сырсөз өзү эч качан шлюзга барбайт. Шлюз сертификатты жана ачкыч менен жасалган кол тамганы көрөт. OpenConnect колдонмосу --key-password параметрин --certificate жана --sslkey жанында кармайт, ал эми TPMде сакталган ачкычты колдоно алган курулуштарда ошол эле параметр анын ордуна кампанын тамыр ачкычынын сырсөзүн алып жүрөт.

Аккаунттун сырсөзү түрү боюнча башка. Ал аутентификациялоо алмашуусуна кирет: колдонуучу аты жана сырсөз формасы, токен, SAML айлануусу же шлюз жарыялаган кандайдыр бир айкалыш. Айрым жайгаштыруулар сертификат жалгыз фактор болгондо аны такыр сурабайт, айрымдары сертификаттан кийин да сурашат, анткени сертификат түзмөктү, ал эми аккаунт адамды далилдейт.

Экөөнү аралаштыруу адаштырмак каталарды пайда кылат. Кирүүнү четке каккан шлюз адатта аутентификациялоо ийгиликсиздигин билдирет, ал эми туура эмес ачкыч сырсөзү адатта эртерек, TLS катмары ачкыч файлын окуй албаганда ишке ашпайт. Булар ар кандай чечимдери бар ар кандай этаптар, ал эми аттары ушунчалык окшош болгондуктан адамдар аларды алмаштырып, кийин туура эмес журналды кубалайт. Кандайдыр бир жөндөөнү өзгөртүүдөн мурун кайсы сурам чыкканын белгилеп алыңыз, анткени сурамдын тексти сиздеги эң арзан диагностика.

Ачкычтын сырсөзү качан чындап керек

Параметрдин мааниси ачууга тийиштуу шифрленген ачкыч бар учурда гана бар. Колдонуучу аты жана сырсөз менен жана кардар сертификатысыз туташсаңыз, --key-password таасир этери эч нерсеге ээ эмес, аны кошуу эч нерсени өзгөртпөйт. --certificate жана --sslkey менен туташсаңыз, сырсөздүн таптакыр сураларын ачкыч файлынын өз форматы чечет.

Бир буйрукта эки сыр башкарылуучу чөйрөлөрдө кеңири таралган: шифрленген ачкычтагы түзмөк сертификаты жана ар бир колдонуучу үчүн кирүү. Туура тартип — кардарга ачкыч сырсөзүн жергиликтүү суроого жол берүү, сертификаттын кол алышуусун бүтүрүү, андан кийин шлюздун аккаунт сурамын өзүнчө иштетүү. Экөөнү бир кайра колдонулган скрипт аркылуу алдын ала толтурууга аракет кылуу — башаламандык адатта башталган жер.

Пайдалуу диагностика — ийгиликсиздиктин качан болорун кароо. Эгер кардар кандайдыр бир тармактык аутентификация башталганга чейин токтоп калса, ачкыч файлынан, анын форматынан же сырсөздөн шек салыңыз. Эгер TLS сессиясы орноп, андан кийин шлюз колдонуучуну четке какса, ачкыч өз ишин аткарды, ал эми маселе аккаунт алмашуусунда.

Эки сырды shell тарыхынан тышкары кармаңыз

Буйрук сабынын аргументтерин башка жергиликтүү колдонуучулар процесс таблицасы аркылуу окуй алышат жана алар shell тарыхында, скрипттерде жана колдоо жазууларында көп калат. OpenConnect аккаунттун сырсөзүн стандарттык кирүүдөн --passwd-on-stdin аркылуу окуй алат, ал эми ачкычтын сырсөзү аргументтин ордуна интерактивдүү сурамдан же агенттен келиши мүмкүн. Эч бир механизм сырды өзүнөн өзү коопсуз кылбайт, бирок экөө тең аны эң ачык жерлерден алыс кармайт.

Файлдар да ушундай камкордукка татыктуу. Сырсөздү убактылуу файлга жазган скрипт аны чектелген укуктар менен түзүшү, чыгууда өчүрүшү жана баары окуй алган папкалардан оолак болушу керек. Убактылуу папкада сессиядан кийин калган сырсөз — жасоону унутуп калган көчүрмөңүз. Айлана-чөйрө өзгөрмөлөрү бала процесстерге көрүнөт жана аларды көп учурда мүчүлүштүктү оңдоо куралдары чыгарат, ошондуктан алар аргументтерге салыштырмалуу акысыз жакшыртуу эмес.

Диагностикалык чыгыш — унчукпаган агым. Клиент журналдары жогорку деталдуулукта сурам денелерин же параметр маанилерин көрсөтүшү мүмкүн, ал эми көчүрүлгөн терминал жазуусун билетке койсо болот, ошондуктан бөлүшүүдөн мурун чыгышты окуңуз.

Өлгөн иш такта баскычы — башка бузулуу

Айланманы көрсөтүп, анан эч нерсе кылбаган иш тактадагы VPN жазуусу адатта аутентификациялоо маселеси такыр эмес. Баскыч тармак менеджерине, өндүрүүчүнүн апплетине же сиздин атыңыздан OpenConnect иштеткен плагинге таандык, ал эми жок компонент же окулбаган профиль дал ушул симптомду пайда кылышы мүмкүн. Баскыч кайсы процессти иштетерин таап, аккаунт маалыматтарына тийүүдөн мурун анын катасын окуңуз.

GUI туташуудан баш тартканда сертификатты текшерүүнү алсыратуу же текшерүүнү өчүрүү азгырат. Бул кардар интеграциясынын бузулушун коопсуздуктун төмөндөшүнө айландырат жана иштетүү маселесин сейрек чечет. Сервердин текшерүүсүн бузулбаган бойдон калтырыңыз, профилдин көздөлгөн шлюзга багытталганын ырастаңыз жана GUI күткөн жардамчы чын эле орнотулганын текшериңиз.

Кыска текшерүү тизмеси учурларды ажыратат. Кандайдыр бир пакет чыкпай туруп болгон жергиликтүү ийгиликсиздик ачкычка же кардардын орнотулушуна багыттайт. TLS сессиясынан кийинки шлюздун баш тартуусу аккаунт алмашуусуна багыттайт. Кардарды эч качан иштетпеген баскыч иш такта интеграциясына багыттайт. Үч башка бузулуу, алардын бири туура эмес кутучага койгонго жаздап жаткан сырсөзүңүз.