Ass --key-password vun OpenConnect d'Passwuert vun Ärem VPN-Kont?

Liest den Numm vun der Optioun wuertwiertlech. Et nennt e Schlëssel, an d'Verwirrung fänkt un, wann d'Datei déi entspärrt gëtt mat dem Kont verwiesselt gëtt, dee authentifizéiert gëtt. Pecht d'Kontpasswuert an déi Optioun a de Client probéiert domat eng Schlësseldatei opzemaachen, wat aus Grënn feelt déi näischt mam VPN-Login ze dinn hunn.

Dat Verwirrend ass, datt eng eenzeg Verbindung berechtegt béid Geheimnisser brauch. D'Clientzertifikat-Authentifikatioun kann e verschlësselte Schlëssel erfuerderen, an dee selwechte Gateway kann nach en Benotzer-Authentifikatiouns-Austausch maachen nodeems d'Zertifikat akzeptéiert gouf. Keng vun de béiden Geheimnisser erfëllt déi aner Etapp, an e Feeler an engem gesäit vun dobaussen ganz ähnlech aus wéi e Feeler am aneren.

Zwou Geheimnisser, zwou verschidde Aufgaben

Liest d'Rollen als Dateizougrëff géint Netzwierkzougang. D'Schlësselpasswuert entschlësselt de PEM-private Schlëssel deen an --sslkey genannt gëtt, sou datt den TLS-Clientzertifikat presentéiert ka ginn. Déi Entschlësselung geschitt lokal, am Clientprozess, an d'Passphras selwer reest ni op de Gateway. Wat de Gateway gesäit ass den Zertifikat an eng Ënnerschrëft déi mam Schlëssel gemaach gouf. D'Handbuch vun OpenConnect hält --key-password nieft --certificate an --sslkey, an a Builds déi e Schlëssel an engem TPM kënne benotzen dréit déi selwecht Optioun amplaz d'Passwuert vum Späicherwuerzelschlëssel.

D'Kontpasswuert ass aner Aart. Et geet an den Authentifikatiouns-Austausch: en Formulaire mat Benotzernumm a Passwuert, en Token, eng SAML-Ronn oder eng Kombinatioun déi de Gateway annoncéiert. E puer Deployementer froen et guer net wann den Zertifikat deen eenzegen Faktor ass, an anerer froen et och no engem Zertifikat, well den Zertifikat den Apparat beweist während de Kont d'Persoun beweist.

D'Vermësche vun de béiden erzeugt irreführend Feeler. E Gateway deen eng Umeldung refuséiert mëllt normalerweis en Authentifikatiounsfeeler, wärend eng falsch Schlësselpassphras normalerweis méi fréi feelt, wann d'TLS-Schicht d'Schlësseldatei net liese kann. Dat si verschidden Etappen mat verschiddene Korrekturen, an d'Nimm gläichen sech genuch datt d'Leit se verwiesselen an duerno dem falsche Log nogoen. Notéiert wéi eng Ufro erschien ass ier Dir eng Astellung ännert, well den Text vun der Ufro déi bëllegst Diagnos ass déi Dir hutt.

Wéini d'Schlësselpasswuert wierklech gebraucht gëtt

D'Optioun huet nëmmen Sënn wann et e verschlësselte Schlëssel gëtt deen entspärrt muss ginn. Wann Dir Iech mat Benotzernumm a Passwuert a mat kengem Clientzertifikat verbënnt, huet --key-password näischt op deem et wierke kann, an et derbäi ze setzen ännert näischt. Wann Dir Iech mat --certificate an --sslkey verbënnt, entscheet d'Format vun der Schlësseldatei selwer ob iwwerhaapt eng Passphras gefrot gëtt.

Béid Geheimnisser an enger Befehlszeil sinn heefeg a geréierten Ëmfeld: en Apparatzertifikat an engem verschlësselte Schlëssel, plus eng Umeldung pro Benotzer. Déi richteg Reiefolleg ass de Client lokal no der Schlësselpassphras ze froen, den Zertifikatshandshake ofzeschléissen an duerno d'Kontufro vum Gateway getrennt ze behandelen. De Versuch béid iwwer een erëmbenotzt Skript virzegoen ass do wou d'Verwirrung normalerweis ufänkt.

Eng nëtzlech Diagnos ass ze kucken wéini de Feeler geschitt. Wann de Client stoppt ier eng Netzwierkaauthentifikatioun ufänkt, verdächtegt d'Schlësseldatei, hire Format oder d'Passphras. Wann d'TLS-Sitzung opgebaut ass an de Gateway den Benotzer duerno refuséiert, huet de Schlëssel seng Aarbecht gemaach an de Problem ass den Kontaustausch.

Halt béid Geheimnisser aus der Shell-Historie

Befehlszeilen-Argumenter si vun anere lokale Benotzer iwwer den Prozesstabell liesbar a ginn dacks an der Shell-Historie, a Skripten an an Support-Transkriptiounen festgehalen. OpenConnect kann d'Kontpasswuert aus der Standardagab mam --passwd-on-stdin liesen, an d'Schlësselpassphras kann aus enger interaktiver Ufro oder engem Agent kommen amplaz aus engem Argument. Kee Mechanismus mécht d'Geheimnis fir sech sécher, awer béid halen et aus de meescht exponéierte Plazen eraus.

Dateie verdéngen déi selwecht Suergfalt. E Skript deen eng Passphras an eng temporär Datei schreift soll se mat restriktiven Rechter uleeën, se beim Ofschloss läschen a weltlesbar Verzeechnisser vermeiden. Eng Passphras déi d'Sitzung an engem temporäre Verzeechnis iwwerlieft ass eng Kopie déi Dir vergiess hutt ze maachen. Ëmfeldvariabelen si fir Kannerprozesser sichtbar a ginn dacks vun Debug-Toolen ausginn, also sinn se keng gratis Verbesserung géintiwwer Argumenter.

Den diagnosteschen Ausgab ass dee stille Leck. Client-Logs bei méi Detail kënnen Ufro-Kierper oder Optiounswäerter weisen, an eng kopéiert Terminaltranskriptioun ass einfach an en Ticket ze pechen, also liest den Ausgab ier Dir en deelt.

En doudegen Desktop-Knäppchen ass en anere Feeler

En Desktop-VPN-Andrag deen e Spinner weist an duerno näischt ass normalerweis guer kee Authentifikatiounsproblem. De Knäppchen gehéiert engem Netzwierkmanager, engem Verkeefer-Applet oder engem Plugin deen OpenConnect a Ärem Numm startet, an eng fehlend Komponent oder en onliesbare Profil kënnen genau dee Symptom erzeugen. Fannt eraus wéi ee Prozess de Knäppchen startet a liest säi Feeler ier Dir d'Zougangsdaten beréiert.

Et ass verlockend d'Zertifikatsverifikatioun ze läschen oder eng Kontroll auszeschalten wann d'GUI refuséiert sech ze verbannen. Dat verwandelt e Clientintegratiounsfeeler an eng Sécherheetssenkung an reparéiert de Startproblem seelen. Halt d'Serververifikatioun intakt, bestätegt datt de Profil op de gewollte Gateway weist, a kontrolléiert ob den Helfer deen d'GUI erwaart tatsächlech installéiert ass.

Eng kuerz Checkliste trennt d'Fäll. E lokale Feeler ier e Paket erausgeet weist op de Schlëssel oder d'Clientinstallatioun. Eng Refusatioun vum Gateway no der TLS-Sitzung weist op den Kontaustausch. E Knäppchen deen de Client ni startet weist op d'Desktopintegratioun. Dräi verschidde Feeler, vun deenen een e Passwuert ass dat Dir just an déi falsch Këscht wëllt pechen.