Токен байгаа ч OpenVPN яагаад хувийн түлхүүрийн файл шаардсаар байна

Та токеныг оруулахад үйлчилгээ үзүүлэгчийн өөрийн хэрэгсэл түүнийг хардаг ч VPN клиент хувийн түлхүүрийн файл шаардсаар байна. Энэ шаардлага нь токен дэмжигдэхгүй гэдгийн нотолгоо биш. Ихэвчлэн энэ нь профайл клиентэд токеныг ашиглахыг хэзээ ч хэлээгүй гэсэн үг бөгөөд иймээс анхдагчаар хүлээдэг сертификат, түлхүүрийн оруулга руу буцсан.

Энэ буцалт зогсохын өмнө хоёр тусдаа утга зөв байх ёстой: токеныг ил болгож буй үйлчилгээ үзүүлэгч, түүний доторх сертификатын таних тэмдэг. Тэдгээрийг өөр өөр сонголтоор өгдөг бөгөөд андуурахад хялбар.

Профайл ингэж зааварласан тул клиент файл шаарддаг

Анхдагч профайл сертификатын файл ба хувийн түлхүүрийн файл, эсвэл нэг PKCS#12 багцыг хүлээдэг. Эдгээр оруулга байхгүй бол клиент ачаалах зүйлгүй болж, файл байхгүй үеийн адил аашилдаг, иймээс шинж тэмдэг нь дутагдаж буй механизм бус, эвдэрсэн зам гэж уншигддаг. PKCS#11 зам эдгээр оруулгыг нөхөх бус, орлуулдаг тул түлхүүрийн файлыг хэвээр нэрлэсэн профайл файлыг үргэлжлүүлэн ашиглана. Файлын оруулгыг санаатайгаар хасч, токеныг хоёр хагасыг нь өгөх боломж олго.

Үйлчилгээ үзүүлэгчийн сонголт нь завсрын програм хангамжийн сангийг нэрлэдэг, төхөөрөмж ч биш, сертификат ч биш. Багцлагдсан клиент тухайн санг ачаалж чадах эсэх нь түүнийг хэрхэн бүтээснээс хамаарна, үүнд зарим бүтээц идэвхжүүлж, зарим нь орхидог нэмэлт p11-kit дэмжлэг багтана. Ерөнхий заавар таны багцад ямар зохицуулалт байгааг хэлж чадахгүй.

Цуваалагдсан таних тэмдэг нь өөр утга

Сертификатын таних тэмдэг нь илрүүлэх процессын үүсгэдэг урт цуваалагдсан мөр бөгөөд энэ нь сангийн зам ч биш, токены PIN ч биш, VPN бүртгэлийн нэр ч биш. Энэ нь ихэвчлэн хашилт шаарддаг тэмдэгтүүдийг агуулдаг бөгөөд хашилтгүй утга нь тодорхой алдаагүйгээр таслагдах эсвэл буруу уншигдаж болно. Токен юу ил болгож буйг жагсаахын тулд клиентийн өөрийн таних тэмдэг илрүүлэх сонголтыг ашиглаад, дараа нь хүссэн бичлэгийг яг таг хуулна уу. Жагсаалтын эхний объектыг сонгох нь төхөөрөмж эцэстээ буруу сертификатыг үзүүлэх зам юм.

Илрүүлэлтийн гаралт нь өмнөх асуултад ч хариулдаг: тухайн үйлчилгээ үзүүлэгчээр дамжуулан токен ерөөсөө харагдаж байна уу. Хэрэв юу ч жагсаахгүй бол асуудал VPN клиентээс дээгүүр байрлаж, завсрын програм хангамжид хамаарна.

Холбогддог процесс токенд хүрэх ёстой

Таны ширээний сессэд ажилладаг токены үйлдэл системийн үйлчилгээний тухай юу ч батлахгүй. Үйлчилгээ нь өөр хэрэглэгчээр, өөр mount нэрийн орон зайд, үйлчилгээ үзүүлэгчийн санг орхидог модулийн замтай, эсвэл төхөөрөмжийн зангилаа нээх зөвшөөрөлгүйгээр ажиллаж болно. Холболтыг үнэхээр аль процесс эзэмшиж буйг тодорхойлж, тэр орчноос шалгана уу.

PIN-тэй ажиллах нь тусдаа шийдвэр хүртэх ёстой. Лавлагаа хэрэгжүүлэлт нь PIN кэш болон хамгаалагдсан баталгаажуулалтын зам санал болгодог бөгөөд хоёулаа оператор шинэ ажлын урсгал зохиохын оронд сонгох боломжтой байхын тулд бий. Хяналтгүй шаардлагыг хуваалцсан профайл дахь энгийн текст PIN болгон хувиргаж болохгүй, учир нь энэ нь токены хамгаалалтыг тав тухтай солилцдог. Токен түлхүүр экспортлохыг хориглодог газарт гарын үсэг төхөөрөмж дээр хийгддэг бөгөөд PIN нь цорын ганц орон нутгийн нууц юм. Үүнийг зохих болгоомжтой хандаарай.

Токен юуг орлуулахгүй

Токен нь байршуулсан бодлогын дагуу клиентийг баталгаажуулдаг бөгөөд клиентийн сервер дээрх шалгалтыг орлуулахгүй. Амжилттай сонгогдсон сертификат нь гэнэтийн гарцын сертификатыг хүлээн авах зөвшөөрөл биш бөгөөд хоёр шалгалт эсрэг чиглэлийг хамгаалдаг.

Бүртгэл нь одоо ч хэвлэгчид хийгдэх ёстой бөгөөд гарц нь одоо ч таних тэмдгийг зөвшөөрөх ёстой.

Хүлээн авахын тулд үе шатуудыг тусгаарла: үйлчилгээ үзүүлэгч ачаалагдана, хүссэн сертификат олдоно, хувийн түлхүүрийг орон нутгийн зөвшөөрөлтэйгөөр ашиглана, VPN баталгаажуулна, нөөцийн үйлдэл амжилттай болно. Нууц үгсийг эргэлдүүлж, крипто стекийг дахин суулгахын оронд бүтэлгүйтсэн эхний үе шатанд зогсоорой.

Хувилбар, модулийн эзэмшил, сонгосон нийтийн идентификатор, цэвэрлэсэн алдааг тэмдэглэж, PIN болон итгэмжлэлийн багцыг тэр бүртгэлээс гадна байлга.