OpenVPN liest d'Passwuert vum Terminal, net vum stdin

OpenVPN freet um kontrolléierenden Terminal no engem Benotzernumm an engem Passwuert, an eng Datei, déi op d'Standardinput ëmgeleet gëtt, ass net deen Terminal. Genau dës eenzeg Detail erkläert d'Skript, dat hängt, obwuel d'Passwuert direkt an der Pipe läit. D'Prompt zeechent de Client a gelies gëtt vum Terminalapparat, also ännert d'Ëmleede vum stdin näischt. Gëff dem Client iwwer eng vu senge dokumentéierte Inputweeër, an déiselwecht Skript verbënnt sech um éischten Versuch.

Dräi Weeër decken bal all Fall of, an all eenzel feelt op seng Manéier. Wielt no der Prompt, déi de Client tatsächlech weist, net no der Optioun, déi am einfachsten ze skripten ass.

D'Prompt kënnt net vum stdin

Wann OpenVPN Umeldungsdaten brauch, mécht et de kontrolléierenden Terminal op a liest do. Dofir gesäit en interaktiven Test gutt aus, wärend déiselwecht Commande ënner cron oder enger Unit-Datei stoe bleift an d'Prompt an e Log geschriwwen ass, deen keen ukuckt. E puer Builds falen op d'Standardinput zréck, wann et kee Terminal gëtt, an déi Onkonsequenz ass schlëmmer wéi e haarde Feeler, well se de Problem bis zum Deployment verstoppt.

Iwwerpréift d'Ëmwelt, ier dir ee Code schreift: start de Client ënner demselwe Benotzer, mam selwechten stdin, wéi et de Scheduler oder de Servicemanager wäert maachen. Wann d'Prompt ni am Log erschéngt an de Prozess net virukënnt, waart eppes op en Terminal, deen net existéiert.

Éischte Wee: eng Umeldungsdatei mat zwou Zeilen

D'Authentifikatiounsoptioun hëlt e Pad, an d'Datei hält genee zwou Zeilen, Benotzernumm duerno Passwuert, an näischt anescht. Gëff de Pad explizit un, amplaz op en Standarddateinumm ze vertrauen, well eng verluere Umeldungsdatei am Aarbechtsverzeechnes ass de Wee, wéi de falsche Kont a Gebrauch kënnt. Setz de Modus op 0600 a gëff d'Eegentum dem Kont, deen de Client lafe léisst.

De Client liest dës Datei eemol beim Start, also heescht d'Passwuert ze rotéieren de Prozess nei ze starten. Dat ass meeschtens dat gewënschte Verhalen, an et gehéiert an de Runbook nieft der Rotatiounsprozedur.

Zweeten Wee: askpass fir d'Schlësselpassphrase

En ëffentleche Schlëssel, dee mat enger Passphrase geschützt ass, bréngt eng zweet, aner Prompt, an déi huet hir eege dateibaséiert Äntwert: d'Optioun askpass liest d'Passphrase vun der éischter Zeil vun enger Datei. Fir SSH-baséiert Tunnelen ass d'Äquivalent en askpass-Programm, deen de Client ausféiert, a seng Standardausgab gëtt de Geheimnis.

Keng vun den zwou Formen setzt de Geheimnis an d'Argumentlëscht, an déi zwou loossen en als Datei oder als ausféierbare Programm bestoen, deen en ausdréckt. De Schutz sinn Dateirechter a Prozesseegentum, net Däischtert. En Hëllefsprogramm, deen eng am Code fixéiert Zeechenkette widdergëtt, ass e Geheimnis mat zousätzleche Schrëtt.

Drëtten Wee: d'CLI vum Portalclient selwer

Enterprise-Clients liwweren normalerweis en Ingang op der Kommandozeil, dee sech mat engem genannten Portal verbënnt, ouni enger Fënster, an dat ass dee ënnerstëtzte Wee. Ënner Linux bitt de GlobalProtect-Client Verbindungs- a Certificatimportoperatiounen iwwer seng CLI un, a Portalen, déi Certificatsauthentifikatioun benotzen, brauchen den Importschrëtt, ier eng automatiséiert Verbindung ka funktionéieren. Preféréier en op syntheteschen Tastendrock: du kréis e richtege Austrëttsstatus, keng Ofhängegkeet vum Fënsterfokus, an en iwwersteet en ageschlossenen Ecran.

Wann déi éischt Verbindung nach ëmmer e Mënsch brauch, fir en Certificat ze akzeptéieren, ass d'Automatiséierung net fäerdeg. Maach den Import beim Setup a notéier en als Viraussetzung.

Wann de Floss en Pseudo-Terminal brauch

Eng Sequenz, déi no engem Passwuert an duerno no engem eenmolëgen Code freet, huet keng eenzeg Datei ze liesen. En Terminaldriver wéi Expect ass dat richtegt Instrument, well en der Rei no op all Muster waart, an en brauch de gestarte Prozess, ier en iwwerhaapt eppes kann ofgläichen.

Zwee Feeler dominéieren. Eng Skript, déi op eng Prompt waart, ouni de Client ze starten, waart fir ëmmer, an Tcl ass keng Shell, also gëtt Shell-Arithmetik, déi an engem expect-Block geschriwwe steet, net esou ausgewäert, wéi se gelies gëtt. Looss de Debug-Fändel un, wärend du d'Muster baust, an da schalt en aus.

Geheimnisser, déi leken, a wou se sech verstoppen

Alles, wat als Argument iwwergi gëtt, ass an der Prozesslëscht ze gesinn, also gehéieren Umeldungsdaten an eng Datei oder hannert en Hëllefsprogramm, ni op d'Kommandozeil. Eemoleg Code ginn duerch Design verbraucht a mussen fir all Versuch produzéiert ginn. Feelerlogs droen dacks de Benotzernumm an heiansdo méi, also redigéier se, ier s de se iergendwou hinschicks, a hale de Geheimnis aus dem Profil selwer eraus, well eng Konfiguratiounsdatei mat engem agebaute Passwuert an Ticketen a Repositories geklappt gëtt. De Kont ze rotéiere heescht dann all Kopie ze jagen, an dat ass genee dee Käschten, deen dës Anuerdnung vermeit.

Auditéier d'Weeër, déi s de gewielt hues, a verbann se dann an d'Unit-Datei oder de Scheduler, deen de Client tatsächlech wäert lafe loossen. Den Tunnel lieft genee esou laang wéi dee Prozess.