OpenConnect-ийн --key-password таны VPN бүртгэлийн нууц үг мөн үү?

Сонголтын нэрийг шууд утгаар нь уншаарай. Энэ нь түлхүүрийг нэрлэдэг бөгөөд онгойлгож буй файлыг баталгаажиж буй бүртгэлтэй андуурсан үед төөрөгдөл эхэлдэг. Бүртгэлийн нууц үгийг тэр сонголтод тавихад клиент түүгээр түлхүүрийн файл онгойлгохыг оролдох бөгөөд энэ нь VPN-д нэвтрэхтэй огт хамаагүй шалтгаанаар бүтэлгүйтнэ.

Төөрөгдүүлж буй зүйл нь нэг холболт хоёр нууцыг зэрэг хууль ёсоор шаардаж болно. Клиент гэрчилгээгээр баталгаажуулалт шифрлэсэн түлхүүр шаардаж болох бөгөөд мөн адил гарц гэрчилгээг хүлээн авсны дараа ч хэрэглэгчийн баталгаажуулалтын солилцоо хийж болно. Аль ч нууц нөгөө шатыг хангахгүй бөгөөд нэгэн дэх алдаа гаднаас харахад нөгөө дэх алдаатай маш төстэй.

Хоёр нууц, хоёр өөр ажил

Үүргүүдийг файлд хандах ба сүлжээнд орох зөвшөөрөл гэж уншаарай. Түлхүүрийн нууц үг нь --sslkey-д заасан PEM хувийн түлхүүрийг тайлж, TLS клиент гэрчилгээг үзүүлэх боломж олгоно. Энэ тайлалт нь локал, клиент процессын дотор явагдах бөгөөд нууц үг өөрөө хэзээ ч гарц руу явдаггүй. Гарц нь гэрчилгээ болон түлхүүрээр хийсэн гарын үсгийг хардаг. OpenConnect-ийн гарын авлага --key-password-г --certificate болон --sslkey-ийн хажууд байлгадаг бөгөөд TPM-д хадгалсан түлхүүр ашиглаж болох хувилбаруудад мөн адил сонголт оронд нь агуулахын үндсэн түлхүүрийн нууц үгийг агуулна.

Бүртгэлийн нууц үг төрлөөрөө өөр. Энэ нь баталгаажуулалтын солилцоонд ордог: хэрэглэгчийн нэр, нууц үгийн маягт, токен, SAML тойрог эсвэл гарцын зарладаг зарим хослол. Зарим байршуулалт гэрчилгээ цорын ганц хүчин зүйл болсон үед огт асуудаггүй, зарим нь гэрчилгээний дараа ч асуудаг, учир нь гэрчилгээ төхөөрөмжийг, бүртгэл хүнийг баталдаг.

Хоёрыг хольсон нь төөрөгдүүлсэн алдаа үүсгэдэг. Нэвтрэлтийг татгалзсан гарц ихэвчлэн баталгаажуулалтын алдаа мэдээлдэг бол буруу түлхүүрийн нууц үг ихэвчлэн эрт, TLS давхарга түлхүүрийн файлыг уншиж чадахгүй үед бүтэлгүйтдэг. Эдгээр нь өөр өөр шийдэлтэй өөр өөр шатууд бөгөөд нэрс нь хангалттай төстэй тул хүмүүс тэдгээрийг сольж, дараа нь буруу лог мөшгидөг. Ямар ч тохиргоог өөрчлөхөөс өмнө ямар асуулт гарч ирснийг тэмдэглээрэй, учир нь асуултын үг хэллэг нь таны мэдэлд байгаа хамгийн хямд оношилгоо.

Түлхүүрийн нууц үг хэзээ үнэхээр хэрэгтэй вэ

Сонголт нь онгойлгох шифрлэсэн түлхүүр байгаа үед л утга учиртай. Хэрэв хэрэглэгчийн нэр, нууц үгээр болон клиент гэрчилгээгүйгээр холбогдвол --key-password-д үйлчлэх зүйл байхгүй бөгөөд оруулсан нь юу ч өөрчлөхгүй. Хэрэв --certificate болон --sslkey-ээр холбогдвол нууц үг огт асуух эсэхийг түлхүүрийн файлын өөрийн формат шийднэ.

Нэг командад хоёр нууц байх нь удирдлагатай орчинд түгээмэл: шифрлэсэн түлхүүр дэх төхөөрөмжийн гэрчилгээ, дээр нь хэрэглэгч бүрийн нэвтрэлт. Зөв дараалал нь клиентэд түлхүүрийн нууц үгийг локал асуух боломж өгч, гэрчилгээний гар барилтыг дуусгаад, дараа нь гарцын бүртгэлийн асуултыг тусдаа шийдвэрлэх явдал юм. Хоёуланг нь нэг дахин ашигласан скриптээр урьдчилан дүүргэх оролдлого нь төөрөгдөл ихэвчлэн эхэлдэг газар.

Ашигтай оношилгоо нь алдаа хэзээ болохыг харах явдал юм. Хэрэв клиент ямар ч сүлжээний баталгаажуулалт эхлэхээс өмнө зогсвол түлхүүрийн файл, түүний формат эсвэл нууц үгийг сэжиглээрэй. Хэрэв TLS сесс тогтож, дараа нь гарц хэрэглэгчийг татгалзвал түлхүүр ажлаа хийсэн бөгөөд асуудал бүртгэлийн солилцоонд байна.

Хоёр нууцыг бүрхүүлийн түүхээс хол байлгаарай

Командын мөрийн аргументуудыг бусад локал хэрэглэгчид процессын хүснэгтээр уншиж болох бөгөөд тэдгээр нь бүрхүүлийн түүх, скрипт, дэмжлэгийн бичлэгт байнга үлддэг. OpenConnect бүртгэлийн нууц үгийг стандарт оролтоос --passwd-on-stdin-ээр уншиж чадна, түлхүүрийн нууц үг аргументын оронд интерактив асуулт эсвэл агентаас ирж болно. Аль ч механизм нууцыг өөрөө аюулгүй болгодоггүй ч хоёулаа түүнийг хамгийн ил газар байхаас хол байлгадаг.

Файлууд ч мөн адил анхаарал хэрэгтэй. Нууц үгийг түр файлд бичдэг скрипт түүнийг хязгаарлагдмал эрхээр үүсгэж, гарах үед устгаж, бүгд уншиж болох хавтаснаас зайлсхийх ёстой. Сессийн дараа түр хавтаст үлдсэн нууц үг бол та хийхээ мартсан хуулбар юм. Орчны хувьсагчид хүүхэд процесст харагдах бөгөөд дибаг хийх хэрэгслүүд тэдгээрийг байнга хэвлэдэг тул аргументуудаас илүү үнэгүй сайжруулалт биш.

Оношилгооны гаралт бол чимээгүй алдагдал. Илүү дэлгэрэнгүй түвшинд клиентийн логид хүсэлтийн бие эсвэл сонголтын утгыг харуулж болох бөгөөд хуулсан терминалын бичлэгийг тасалбарт наахад хялбар тул хуваалцахаас өмнө гаралтыг уншаарай.

Үхсэн ширээний товчлуур нь өөр гэмтэл

Эргэлт харуулаад дараа нь юу ч хийдэггүй ширээний VPN бичлэг нь ихэвчлэн баталгаажуулалтын асуудал огт биш. Товчлуур нь таны өмнөөс OpenConnect ажиллуулдаг сүлжээний менежер, үйлдвэрлэгчийн апплет эсвэл залгааст хамаарна, дутуу бүрэлдэхүүн эсвэл уншигдахгүй профайл яг энэ шинж тэмдгийг үүсгэж болно. Товчлуур аль процессыг эхлүүлж байгааг олж, бүртгэлийн мэдээлэлд хүрэхээс өмнө алдааг нь уншаарай.

GUI холбогдохоос татгалзсан үед гэрчилгээний шалгалтыг сулруулах эсвэл шалгалтыг унтраах нь уруу татдаг. Энэ нь клиентийн интеграцийн гэмтлийг аюулгүй байдлын уналт болгож, эхлүүлэх асуудлыг ховор засдаг. Серверийн шалгалтыг хөндөхгүй үлдээж, профайл зориулалтын гарц руу чиглэж байгаа эсэхийг баталж, GUI-ийн хүлээж буй туслах үнэхээр суулгагдсан эсэхийг шалгаарай.

Богино хяналтын жагсаалт тохиолдлуудыг ялгадаг. Ямар ч пакет гарахаас өмнөх локал алдаа нь түлхүүр эсвэл клиентийн суулгалтыг заана. TLS сессийн дараах гарцын татгалзал нь бүртгэлийн солилцоог заана. Клиентийг хэзээ ч эхлүүлдэггүй товчлуур нь ширээний интеграцийг заана. Гурван өөр гэмтэл, тэдгээрийн нэг нь та буруу хайрцагт наах гэж байсан нууц үг.