Ar OpenConnect --key-password yra jūsų VPN paskyros slaptažodis?

Skaitykite parinkties pavadinimą pažodžiui. Jis įvardija raktą, o sumaištis prasideda, kai atidaromas failas supainiojamas su autentifikuojama paskyra. Įklijuokite paskyros slaptažodį į tą parinktį ir klientas bandys juo atidaryti rakto failą, o tai nepavyksta dėl priežasčių, neturinčių nieko bendra su VPN prisijungimu.

Painiava kyla dėl to, kad vienam ryšiui teisėtai gali prireikti abiejų paslapčių. Kliento sertifikato autentifikacijai gali prireikti užšifruoto rakto, o tie patys vartai po sertifikato priėmimo vis tiek gali atlikti naudotojo autentifikacijos mainus. Nė viena paslaptis netenkina kito etapo, o vienos nesėkmė iš išorės labai primena kitos nesėkmę.

Dvi paslaptys, du skirtingi darbai

Skaitykite vaidmenis kaip failo prieigą prieš patekimą į tinklą. Rakto slaptažodis iššifruoja PEM privatų raktą, nurodytą --sslkey, kad būtų galima pateikti TLS kliento sertifikatą. Tas iššifravimas vyksta vietoje, kliento procese, o pati slaptafrazė niekada nekeliauja į vartus. Vartai mato sertifikatą ir raktu padarytą parašą. OpenConnect vadove --key-password laikoma šalia --certificate ir --sslkey, o versijose, kurios gali naudoti TPM saugomą raktą, ta pati parinktis vietoj to neša saugyklos šakninio rakto slaptažodį.

Paskyros slaptažodis yra kitokios rūšies. Jis patenka į autentifikacijos mainus: naudotojo vardo ir slaptažodžio forma, žetonas, SAML ratas ar kokia nors kombinacija, kurią skelbia vartai. Kai kurie diegimai jo visai neprašo, kai sertifikatas yra vienintelis veiksnys, o kiti prašo net po sertifikato, nes sertifikatas įrodo įrenginį, o paskyra – žmogų.

Abiejų maišymas sukuria klaidinančias klaidas. Prisijungimą atmetantys vartai paprastai praneša apie autentifikacijos nesėkmę, o neteisinga rakto slaptafrazė paprastai nepavyksta anksčiau, kai TLS sluoksnis negali perskaityti rakto failo. Tai skirtingi etapai su skirtingais sprendimais, o pavadinimai pakankamai panašūs, kad žmonės juos sumaišo ir paskui vejasi ne tą žurnalą. Atkreipkite dėmesį, koks raginimas pasirodė prieš keičiant bet kokį nustatymą, nes raginimo tekstas yra pigiausia turima diagnostika.

Kada rakto slaptažodžio tikrai reikia

Parinktis turi prasmę tik tada, kai yra užšifruotas raktas, kurį reikia atrakinti. Jei jungiatės naudotojo vardu ir slaptažodžiu ir be kliento sertifikato, --key-password neturi ko veikti, o jo įtraukimas nieko nekeičia. Jei jungiatės su --certificate ir --sslkey, ar slaptafrazės bus prašoma, sprendžia paties rakto failo formatas.

Abi paslaptys vienoje komandoje yra įprastos valdomose aplinkose: įrenginio sertifikatas užšifruotame rakte ir prisijungimas kiekvienam naudotojui. Teisinga seka yra leisti klientui vietoje paprašyti rakto slaptafrazės, užbaigti sertifikato rankos paspaudimą ir tada atskirai tvarkyti vartų paskyros raginimą. Bandymas iš anksto užpildyti abu vienu pakartotinai naudojamu scenarijumi yra vieta, kur sumaištis paprastai prasideda.

Naudinga diagnostika yra pažiūrėti, kada įvyksta nesėkmė. Jei klientas sustoja prieš prasidedant bet kokiai tinklo autentifikacijai, įtarkite rakto failą, jo formatą ar slaptafrazę. Jei TLS sesija nustatoma ir tada vartai atmeta naudotoją, raktas atliko savo darbą, o problema yra paskyros mainuose.

Laikykite abi paslaptis už shell istorijos ribų

Komandinės eilutės argumentus gali skaityti kiti vietiniai naudotojai per procesų lentelę, ir jie dažnai patenka į shell istoriją, scenarijus ir palaikymo įrašus. OpenConnect gali skaityti paskyros slaptažodį iš standartinės įvesties su --passwd-on-stdin, o rakto slaptafrazė gali ateiti iš interaktyvaus raginimo ar agento, o ne iš argumento. Nė vienas mechanizmas savo ruožtu nepadaro paslapties saugios, bet abu laiko ją toliau nuo labiausiai atvirų vietų.

Failai nusipelno tokio pat rūpesčio. Scenarijus, rašantis slaptafrazę į laikiną failą, turėtų sukurti jį su ribotomis teisėmis, ištrinti jį išėjus ir vengti katalogų, kuriuos gali skaityti visi. Slaptafrazė, kuri po sesijos lieka laikiname kataloge, yra kopija, kurios pamiršote padaryti. Aplinkos kintamieji matomi vaikiniams procesams ir dažnai atspausdinami derinimo priemonių, todėl jie nėra nemokamas patobulinimas lyginant su argumentais.

Diagnostikos išvestis yra tylusis nutekėjimas. Didelio išsamumo kliento žurnalai gali rodyti užklausų turinį ar parinkčių reikšmes, o nukopijuotas terminalo įrašas lengvai įklijuojamas į bilietą, todėl perskaitykite išvestį prieš ja dalindamiesi.

Mirusi darbalaukio mygtukas yra kitas gedimas

Darbalaukio VPN įrašas, kuris parodo sukimo indikatorių ir tada nieko, paprastai visai nėra autentifikacijos problema. Mygtukas priklauso tinklo tvarkyklei, gamintojo programėlei ar įskiepiui, kuris jūsų vardu paleidžia OpenConnect, o trūkstamas komponentas ar neperskaitomas profilis gali sukelti būtent tokį simptomą. Išsiaiškinkite, kokį procesą mygtukas paleidžia, ir perskaitykite jo klaidą prieš liesdami prisijungimo duomenis.

Vilioja sušvelninti sertifikato patikrą arba išjungti patikrą, kai grafinė sąsaja atsisako jungtis. Tai paverčia kliento integracijos gedimą saugumo sumažėjimu ir retai ištaiso paleidimo problemą. Palikite serverio patikrą nepaliestą, patvirtinkite, kad profilis nukreiptas į numatytus vartus, ir patikrinkite, ar sąsajos laukiamas pagalbininkas tikrai įdiegtas.

Trumpas kontrolinis sąrašas atskiria atvejus. Vietinė nesėkmė prieš išeinant kuriam nors paketui rodo į raktą ar kliento diegimą. Vartų atmetimas po TLS sesijos rodo į paskyros mainus. Mygtukas, kuris niekada nepaleidžia kliento, rodo į darbalaukio integraciją. Trys skirtingi gedimai, iš kurių vienas yra slaptažodis, kurį ketinote įklijuoti į netinkamą laukelį.