OpenConnect токен үчүн кайсы PKCS#11 URI керек?

OpenConnect токендин сертификаты менен ачкычын атаган PKCS#11 URI керек, экспорттолгон PEM эмес. Каттоого туура келген объектини таап, тырмакчага алыңыз.

Туура ачкычы бар смарт-карта да анын кайсы объектисин колдонууну билүүгө тийиш. OpenConnect мындай учурда көчүрүлгөн .key файлын каалабайт; ал сертификатты атаган PKCS#11 URI керек, ал эми автоматтык издөө ишти бүтүрө албаганда, жанындагы жеке ачкычты да атайт. Кыйын жери — синтаксистик жактан туура URI эч нерсени далилдебейт. Ал шлюз мурун эле ишенген каттоону аташы керек, карта ачууга даяр объектини гана эмес.

Кардар экспорттолгон ачкычтын ордуна эмнени каалайт

-c параметри адатта файл жолун алат, бирок маани PKCS#11 URI катары талданганда, OpenConnect аны дисктеги файлга эмес, токендин ичиндеги объектиге шилтеме деп эсептейт. -k параметри жеке ачкыч үчүн ушундай эле иштейт. Эч нерсе экспорттолбойт жана ачкыч карта берген коргоону эч качан таштабайт. Кардар сизден токен модулу, сертификат кампасы жана шлюз каттоосу макулдашкан атты каалайт.

Көпчүлүк аракет ушул акыркы чектөөдө токтоп калат. URI толук туура түзүлсө да шлюз четке кага турган сертификатты тандашы мүмкүн, анткени жарактуулук менен тиешелүүлүк өзүнчө суроолор. Жасоого татыктуу текшерүү — каттоо жазуусу менен салыштыруу, кокустан ачылган биринчи объектини издөө эмес.

Эки URI, эки башка иш

Сертификаттын URI кайсы инсандыкты талап кылып жатканыңызга жооп берет. Ал ачык ачкычы жана субъект сабы VPN администратору берген аккаунт же түзмөк профилине туура келген сертификат объектисин көрсөтөт. Ошол эле сертификат адатта жанында сакталган жеке ачкыч объектиси менен келет жана TLS кол алышуусуна так ушул жуп керек.

Ачкычтын URI OpenConnect аны божомолдой албаганда тиешелүү жеке материалдын кайда экенине жооп берет. Бир гана -c коюлганда кардар сертификаттын касиеттеринен ачкыч издөөсүн курат; -k берүү божомолду так объекти шилтемеси менен алмаштырат. Токендин PIN — үчүнчү, байланышы жок киргизүү: ал аракет үчүн картаны ачат жана эч качан объектини аныктабайт.

openconnect --protocol=anyconnect \
  -c 'pkcs11:model=PKCS%2315%20emulated;manufacturer=piv_II;serial=1a2b3c4d;id=%01' \
  vpn.example.net

Ошол тырмакчага алынган саптагынын баары дерек. Чекиттүү үтүрлөр URI атрибуттарын бөлөт, пайыздык экрандаштыруу талдоону буза турган белгилерди коддойт, ошондуктан бүт аргумент кабыктан бүтүн өтүшү керек.

Каттооңузга туура келген URI табуу

GnuTLS менен p11tool келет, ал учурдагы колдонуучу p11-kit аркылуу эмнеге чындап жете аларын тизмелейт. p11tool --list-tokens менен баштап, анан сизге керек токендеги сертификат объектилерин тизмелеңиз. Объектилер PINден кийин гана көрүнсө --login кошуңуз жана биринчи көрүнгөндү тандабастан, субъект менен чыгаруучуну каттоо жазуусу менен салыштырыңыз.

Эгер токен такыр көрүнбөсө, көйгөй OpenConnectтен төмөн: p11-kitте ал ортолук программа үчүн катталган модуль жок, же модуль башка аккаунт үчүн катталган. Системалык деңгээлдеги каттоо /etc/pkcs11/modules астында, ал эми колдонуучуга тиешелүү папка системалык көчүрмөгө тийбестен эле ошону сактай алат. Модуль файлындагы провайдердин жолу окуучунун программасы чындап орноткон китепканага шилтеме кыларын текшериңиз.

URIди тизмеден көчүргөндө анын айланасындагы тырмакчаларды сактаңыз. Тырмакчасыз чекиттүү үтүрлөр аргументти биринчи атрибутта кесип салат да, кардар таба албаган объекти жөнүндө кабарлайт.

Автоматтык ачкыч издөө баш тартканда

OpenConnect сертификаттын URIнен ачкыч издөөсүн чыгара алат, бирок анын жасаган так дал келтирүүсү версияга көз каранды, ал эми объект түрү менен белгисин иштетүү убакыт өткөн сайын өзгөргөн. Иштегенге чейин URIди кыскартыңыз деген кеңеш эски айланып өтүүнү сүрөттөйт, талапты эмес. Чыгарылган издөө ийгиликсиз болсо, сертификаттын URIн бүдөмүгүрөөк нерсеге айландыруунун ордуна ачкычты -k менен ачык атаңыз.

Кардарды күнөөлөөдөн мурун ачкычтын бар экенин жана p11tool --list-keys менен көрүнөрүн тастыктаңыз. Анан объектинин кол коюуга же чечмелөөгө жарактуу деп белгиленгенин текшериңиз, анткени туура эмес атрибуттар менен жаралган ачкыч URI канчалык туура болсо да кол алышууну бүтүрө албайт. OpenVPN профилиндеги сериялаштырылган pkcs11-id маанисин OpenConnect параметрине өткөрбөңүз; эки кардар бир эле карта менен сүйлөшсө да ар башка идентификатор форматтарын колдонот.

Эгер URI чечилип, PIN кабыл алынса да аутентификация дагы эле ийгиликсиз болсо, URIди жөндөөнү токтотуңуз. Шлюздун өз катасын окуңуз, анткени кийинки ийгиликсиздик токенден жогору.

Жалгыз URI көйгөйлөрүнө окшош ийгиликсиздиктер

Башка протоколдо сүйлөгөн шлюз URIңыз туурабы же катабы — баары бир окшош ийгиликсиз болот. OpenConnect эски vpnc кардарын белгилүү себептен алмаштырган, ал эми карта колдоосу шайкеш эмес шлюз протоколун шайкеш кылбайт. Объектинин атрибуттарына дагы бир саат коротпостон мурун сервердин күтүлгөн протоколун жана аутентификациянын түзүлүшүн тастыктаңыз.

Сервердин инсандыгын текшерүү да өзүнчө катмар. Кардар шлюздун сертификатын өз ишеним кампасына каршы текшерет жана бул текшерүү карта өз бөлүгүн аткаргандан кийин жүрөт. Окуучунун укуктары жана токтогон pcscd кызматы бирдей тышкы белгини пайда кылат, окулбаган токен, бирок оңдоо алда канча жөнөкөй.

Объектиден тышкары карай иштеңиз: p11tool токенди көрөбү, сертификат менен ачкычты көрөбү, OpenConnect URIди кабыл алабы, анан гана шлюз инсандыкты кабыл алабы деп сураңыз. Ар бир кадамдын өз ката билдирүүсү бар жана ар бирин текшерүү кийинкисинен арзан.

Тектеш макалалар