Зошто OpenVPN сѐ уште бара датотека со приватен клуч кога има токен

Го вметнувате токенот, алатката на самиот добавувач го гледа, а VPN клиентот сѐ уште бара датотека со приватен клуч. Тоа барање не е доказ дека токенот не е поддржан. Обично значи дека профилот никогаш не му кажал на клиентот да го користи токенот, па се вратил на внесовите за сертификат и клуч што ги очекува стандардно.

Две одделни вредности мора да бидат точни пред тоа враќање да престане: добавувачот што го изложува токенот и идентитетот на сертификатот внатре во него. Тие се даваат со различни опции и лесно се мешаат.

Клиентот бара датотека затоа што профилот така наредува

Стандардниот профил очекува датотека со сертификат и датотека со приватен клуч, или еден пакет PKCS#12. Кога тие внесови недостасуваат, клиентот нема што да вчита и се однесува речиси како при отсутна датотека, поради што симптомот се чита како скршена патека, а не како механизам што недостасува. Патеката PKCS#11 ги заменува тие внесови наместо да ги дополнува, така што профилот што сѐ уште наведува датотека со клуч ќе продолжи да ја користи датотеката. Намерно отстранете ги внесовите од датотеки и дозволете токенот да ги обезбеди двете половини.

Опцијата за добавувач именува библиотека за посреднички софтвер, не уред и не сертификат. Дали спакуван клиент може да ја вчита таа библиотека зависи од тоа како е изграден, вклучително и опционалната поддршка за p11-kit што некои изградби ја вклучуваат, а други ја испуштаат. Општ водич не може да ви каже каква поставеност има вашиот пакет.

Сериализираниот идентитет е друга вредност

Идентитетот на сертификатот е долга сериализирана низа што ја создава процесот на откривање, и тој не е патеката до библиотеката, ниту PIN-от на токенот, ниту името на сметката на VPN. Често содржи знаци што бараат наводници, а вредноста без наводници може да се скрати или погрешно да се прочита без јасна грешка. Користете ја сопствената опција откривање на идентитет на клиентот за да наведете што изложува токенот, потоа точно копирајте го саканиот запис. Избирањето на првиот објект во списокот е начинот на кој уредот на крајот го прикажува погрешниот сертификат.

Излезот од откривањето одговара и на претходно прашање: дали токенот воопшто е видлив преку тој добавувач. Ако не наведува ништо, проблемот е над VPN клиентот и му припаѓа на посредничкиот софтвер.

Процесот што се поврзува мора да стигне до токенот

Операција со токенот што работи во вашата сесија на работната површина не докажува ништо за системска служба. Службата може да работи како друг корисник, во друг монтажен именски простор, со патека на модули што ја испушта библиотеката на добавувачот или без дозвола да го отвори јазолот на уредот. Утврдете кој процес навистина ја држи врската и тестирајте од тој контекст.

Ракувањето со PIN заслужува посебна одлука. Референтната имплементација нуди кеш за PIN и заштитена патека за автентикација, и двете постојат за да може операторот да избере работен тек наместо да го измисли. Не претворајте барање без надзор во PIN во чист текст во споделен профил, бидејќи тоа ја менува заштитата на токенот за удобност. Каде токенот забранува извоз на клуч, потпишувањето се случува на уредот и PIN-от е единствената локална тајна. Однесувајте се со грижата што тоа ја подразбира.

Што токенот не заменува

Токенот го автентикува клиентот според распоредената политика и не ги заменува проверките на клиентот кон серверот. Успешно избран сертификат не е дозвола за прифаќање неочекуван сертификат на портата, и двете проверки штитат спротивни насоки.

Запишувањето сѐ уште мора да се случи кај издавачот, а портата сѐ уште мора да го овласти идентитетот.

За прифаќање, одвојте ги фазите: добавувачот се вчитува, саканиот сертификат се наоѓа, приватниот клуч се користи со локално овластување, VPN-от се автентикува и операцијата со ресурсот успева. Запрете на првата фаза што не успева наместо да вртите низ лозинки и да го реинсталирате крипто-стекот.

Забележете верзии, сопственост на модули, избраниот јавен идентификатор и исчистени грешки, а PIN-овите и пакетите со акредитиви оставете ги надвор од тој запис.