Mengapa OpenVPN masih meminta fail kunci peribadi walaupun ada token

Anda memasang token, alat pembekal sendiri melihatnya, tetapi klien VPN masih meminta fail kunci peribadi. Permintaan itu bukan bukti bahawa token tidak disokong. Biasanya ia bermaksud profil tidak pernah memberitahu klien supaya menggunakan token, jadi ia kembali kepada input sijil dan kunci yang dijangka secara lalai.

Dua nilai berasingan mesti betul sebelum kemunduran itu berhenti: pembekal yang mendedahkan token, dan identiti sijil di dalamnya. Kedua-duanya diberikan oleh pilihan berbeza dan mudah dikelirukan.

Klien meminta fail kerana profil mengatakannya

Profil lalai menjangka fail sijil dan fail kunci peribadi, atau satu bundel PKCS#12. Apabila input itu tiada, klien tidak mempunyai apa-apa untuk dimuatkan dan berkelakuan hampir seperti fail tiada, sebab itulah gejala dibaca sebagai laluan rosak dan bukan mekanisme yang hilang. Laluan PKCS#11 menggantikan input itu dan bukan menambahnya, jadi profil yang masih menamakan fail kunci akan terus menggunakan fail itu. Buang input fail dengan sengaja dan biarkan token membekalkan kedua-dua bahagian.

Pilihan pembekal menamakan pustaka perisian tengah, bukan peranti dan bukan sijil. Sama ada klien berbungkus boleh memuatkan pustaka itu bergantung pada cara ia dibina, termasuk sokongan p11-kit pilihan yang diaktifkan oleh sesetengah binaan dan ditinggalkan oleh yang lain. Tutorial umum tidak dapat memberitahu anda susunan mana yang ada pada pakej anda.

Identiti bersiri ialah nilai yang berbeza

Identiti sijil ialah rentetan bersiri panjang yang dihasilkan oleh proses penemuan, dan ia bukan laluan pustaka, bukan PIN token dan bukan nama akaun VPN. Ia sering mengandungi aksara yang perlu diletakkan dalam petikan, dan nilai tanpa petikan boleh terpotong atau tersalah baca tanpa ralat yang jelas. Gunakan pilihan penemuan identiti klien itu sendiri untuk menyenaraikan apa yang didedahkan token, kemudian salin entri yang dimaksudkan dengan tepat. Memilih objek pertama dalam senarai ialah cara peranti akhirnya mempersembahkan sijil yang salah.

Output penemuan juga menjawab soalan terdahulu: sama ada token kelihatan langsung melalui pembekal itu. Jika ia tidak menyenaraikan apa-apa, masalahnya terletak di atas klien VPN dan menjadi milik perisian tengah.

Proses yang membuat sambungan mesti mencapai token

Operasi token yang berfungsi dalam sesi desktop anda tidak membuktikan apa-apa tentang perkhidmatan sistem. Perkhidmatan itu mungkin berjalan sebagai pengguna lain, dalam ruang nama gunung yang berbeza, dengan laluan modul yang meninggalkan pustaka pembekal, atau tanpa kebenaran membuka nod peranti. Kenal pasti proses yang benar-benar memegang sambungan dan uji daripada konteks itu.

Pengendalian PIN wajar mendapat keputusan tersendiri. Pelaksanaan rujukan menawarkan cache PIN dan laluan pengesahan yang dilindungi, dan kedua-duanya wujud supaya pengendali boleh memilih aliran kerja dan bukannya menciptanya. Jangan jadikan keperluan tanpa pengawasan sebagai PIN teks biasa di dalam profil kongsi, kerana itu menukar perlindungan token dengan keselesaan. Di tempat token melarang eksport kunci, penandatanganan berlaku pada peranti dan PIN ialah satu-satunya rahsia tempatan. Tangani dengan kehati-hatian yang dibayangkan olehnya.

Apa yang token tidak gantikan

Token mengesahkan klien di bawah dasar yang digunakan, dan ia tidak menggantikan pemeriksaan klien terhadap pelayan. Sijil yang berjaya dipilih bukan kebenaran untuk menerima sijil get laluan yang tidak dijangka, dan kedua-dua pengesahan melindungi arah yang bertentangan.

Pendaftaran masih perlu berlaku di pengeluar, dan get laluan masih perlu memberi kuasa kepada identiti itu.

Untuk penerimaan, asingkan peringkatnya: pembekal dimuatkan, sijil yang dimaksudkan ditemui, kunci peribadi digunakan dengan kebenaran tempatan, VPN mengesahkan, dan operasi sumber berjaya. Berhenti pada peringkat pertama yang gagal dan bukannya berpusing melalui kata laluan dan memasang semula tindanan kripto.

Rekodkan versi, pemilikan modul, pengecam awam yang dipilih dan ralat yang telah dibersihkan, dan biarkan PIN serta bundel kelayakan di luar rekod itu.