Adakah --key-password OpenConnect ialah kata laluan akaun VPN anda?

Baca nama pilihan itu secara literal. Ia menamakan kunci, dan kekeliruan bermula apabila fail yang dibuka disangka akaun yang disahkan. Tampal kata laluan akaun ke dalam pilihan itu dan klien akan cuba membuka fail kunci dengannya, yang gagal atas sebab yang tidak ada kaitan langsung dengan log masuk VPN.

Bahagian yang mengelirukan ialah satu sambungan boleh memerlukan kedua-dua rahsia secara sah. Pengesahan sijil klien mungkin memerlukan kunci yang disulitkan, dan gateway yang sama mungkin masih menjalankan pertukaran pengesahan pengguna selepas sijil diterima. Tiada satu pun rahsia memenuhi peringkat yang lain, dan kegagalan pada satu kelihatan sangat serupa dengan kegagalan pada yang lain dari luar.

Dua rahsia, dua tugas berbeza

Baca peranan sebagai akses fail berbanding kebenaran masuk rangkaian. Kata laluan kunci menyahsulit kunci peribadi PEM yang dinamakan dalam --sslkey supaya sijil klien TLS boleh dikemukakan. Penyahsulitan itu berlaku secara setempat, di dalam proses klien, dan frasa laluan itu sendiri tidak pernah pergi ke gateway. Apa yang gateway lihat ialah sijil dan tandatangan yang dibuat dengan kunci itu. Manual OpenConnect meletakkan --key-password di sebelah --certificate dan --sslkey, dan pada binaan yang boleh menggunakan kunci dalam TPM pilihan yang sama membawa kata laluan kunci akar storan sebagai gantinya.

Kata laluan akaun berbeza jenisnya. Ia masuk ke dalam pertukaran pengesahan: borang nama pengguna dan kata laluan, token, pusingan SAML, atau gabungan tertentu yang diumumkan gateway. Sesetengah penggunaan tidak memintanya langsung apabila sijil ialah satu-satunya faktor, dan sesetengah memintanya walaupun selepas sijil, kerana sijil membuktikan peranti manakala akaun membuktikan orang.

Mencampurkan kedua-duanya menghasilkan ralat yang mengelirukan. Gateway yang menolak log masuk biasanya melaporkan kegagalan pengesahan, manakala frasa laluan kunci yang salah biasanya gagal lebih awal, apabila lapisan TLS tidak dapat membaca fail kunci. Itu peringkat berbeza dengan pembetulan berbeza, dan namanya cukup serupa sehingga orang menukarnya dan kemudian mengejar log yang salah. Perhatikan gesaan mana yang muncul sebelum menukar apa-apa tetapan, kerana perkataan pada gesaan itu ialah diagnostik paling murah yang anda ada.

Bila kata laluan kunci benar-benar diperlukan

Pilihan ini hanya bermakna apabila ada kunci yang disulitkan untuk dibuka. Jika anda menyambung dengan nama pengguna dan kata laluan serta tanpa sijil klien, --key-password tidak ada sasaran untuk bertindak, dan menyertakannya tidak mengubah apa-apa. Jika anda menyambung dengan --certificate dan --sslkey, format fail kunci itu sendiri yang menentukan sama ada frasa laluan akan diminta.

Kedua-dua rahsia dalam satu arahan adalah biasa dalam persekitaran terurus: sijil peranti dalam kunci yang disulitkan, tambah log masuk bagi setiap pengguna. Urutan yang betul ialah membiarkan klien meminta frasa laluan kunci secara setempat, melengkapkan jabat tangan sijil, dan kemudian mengendalikan gesaan akaun gateway secara berasingan. Cubaan mengisi kedua-duanya terlebih dahulu melalui satu skrip yang digunakan semula ialah tempat kekeliruan biasanya bermula.

Diagnostik yang berguna ialah melihat bila kegagalan berlaku. Jika klien berhenti sebelum sebarang pengesahan rangkaian bermula, syak fail kunci, formatnya atau frasa laluannya. Jika sesi TLS terbentuk dan gateway kemudian menolak pengguna, kunci telah menjalankan tugasnya dan masalahnya ialah pertukaran akaun.

Jauhkan kedua-dua rahsia daripada sejarah shell

Argumen baris arahan boleh dibaca oleh pengguna setempat lain melalui jadual proses dan sering terperangkap dalam sejarah shell, skrip dan transkrip sokongan. OpenConnect boleh membaca kata laluan akaun daripada input standard dengan --passwd-on-stdin, dan frasa laluan kunci boleh datang daripada gesaan interaktif atau ejen dan bukannya argumen. Tiada mekanisme menjadikan rahsia itu selamat dengan sendirinya, tetapi kedua-duanya menjauhkannya daripada tempat yang paling terdedah.

Fail juga memerlukan penjagaan yang sama. Skrip yang menulis frasa laluan ke fail sementara patut menciptanya dengan kebenaran yang terhad, memadamnya semasa keluar dan mengelakkan direktori yang boleh dibaca oleh semua. Frasa laluan yang kekal selepas sesi dalam direktori sementara ialah salinan yang anda terlupa buat. Pemboleh ubah persekitaran kelihatan kepada proses anak dan sering dicetak oleh alat nyahpepijat, jadi ia bukan peningkatan percuma berbanding argumen.

Output diagnostik ialah kebocoran yang senyap. Log klien pada tahap perincian lebih tinggi boleh menunjukkan badan permintaan atau nilai pilihan, dan transkrip terminal yang disalin mudah ditampal ke dalam tiket, jadi baca output sebelum berkongsinya.

Butang desktop mati ialah kerosakan yang berbeza

Entri VPN desktop yang menunjukkan pemutar dan kemudian tiada apa-apa biasanya bukan masalah pengesahan sama sekali. Butang itu milik pengurus rangkaian, aplet vendor atau pemalam yang melancarkan OpenConnect bagi pihak anda, dan komponen yang hilang atau profil yang tidak boleh dibaca boleh menghasilkan gejala itu dengan tepat. Cari proses mana yang dimulakan oleh butang itu dan baca ralatnya sebelum menyentuh kelayakan.

Menggoda untuk melonggarkan pengesahan sijil atau mematikan pemeriksaan apabila GUI enggan menyambung. Itu menukar kerosakan integrasi klien menjadi penurunan keselamatan dan jarang membaiki masalah pelancaran. Biarkan pengesahan pelayan utuh, sahkan profil menunjuk ke gateway yang dimaksudkan, dan periksa sama ada pembantu yang dijangka GUI benar-benar dipasang.

Senarai semak pendek memisahkan kes-kes. Kegagalan setempat sebelum mana-mana paket keluar menunjuk kepada kunci atau pemasangan klien. Penolakan gateway selepas sesi TLS menunjuk kepada pertukaran akaun. Butang yang tidak pernah melancarkan klien menunjuk kepada integrasi desktop. Tiga kerosakan berbeza, salah satunya ialah kata laluan yang hampir anda tampal di kotak yang salah.