Password VPN korrett ma jistax jieħu post ċertifikat nieqes

Il-kredenzjali huma korretti, il-profil jiġi importat b'mod nadif, u l-konnessjoni xorta tfalli qabel ma titlesta l-awtentikazzjoni. Fuq Windows il-messaġġ jista' jkun żball 798, dwar ċertifikat li ma nstabx għall-metodu EAP. Fuq OpenVPN il-log tal-klijent juri handshake TLS li qatt ma jissodisfa s-server. It-tnejn jiddeskrivu l-istess oġġett nieqes: ċertifikat tal-klijent li l-klijent kellu jippreżenta.

Password juri l-għarfien ta' sigriet; ċertifikat juri l-pussess ta' muftieħ, u wieħed ma jieħux post l-ieħor.

Il-password qatt ma kienet il-problema

L-iżball 798 huwa falliment fit-tfittxija taċ-ċertifikat. Il-klijent intalab ċertifikat li jaqbel mal-metodu tal-awtentikazzjoni konfigurat, fittex fil-maħżen tiegħu u ma sab xejn użabbli. Dan jista' jfisser li ċ-ċertifikat huwa nieqes, preżenti mingħajr il-muftieħ privat tiegħu, skada, jew maħżun fejn it-tfittxija ma tilħaqx. L-għoti mill-ġdid tal-password ma jistax ibiddel ebda waħda minn dawn il-kundizzjonijiet, għalhekk l-iżball jerġa' lura anki b'kredenzjali korretti.

Aqra l-messaġġ qabel ma taġixxi fuqu. Ċaħda tal-kredenzjali, falliment fit-tfittxija taċ-ċertifikat u falliment tal-handshake TLS huma tliet sejbiet differenti, u wieħed biss jinvolvi l-password.

X'irid ikun fih il-maħżen tal-klijent

Żewġ oġġetti huma involuti. Iċ-ċertifikat tal-klijent irid jiġi installat għall-utent li jħaddem il-klijent VPN, flimkien mal-muftieħ privat tiegħu, u l-għerq li joħroġ irid ikun fdati. Fajl .cer fih biss iċ-ċertifikat pubbliku, għalhekk waħdu ma jista' jawtentika xejn. Fil-maniġer taċ-ċertifikati ta' Windows, l-identità tal-klijent tappartjeni lill-maħżen personali tal-utent attwali, u l-għerq lill-maħżen tal-għeruq fdati.

L-installazzjoni tal-identità fil-maħżen tal-magna, jew biss fil-maħżen tal-għeruq, ma tissodisfax tfittxija mmirata lejn il-maħżen personali tal-utent. Iċċekkja l-maħżen, il-bandiera tal-muftieħ privat u d-dati tal-validità flimkien, imbagħad erġa' ibda l-klijent biex jerġa' jaqra l-maħżen.

Żewġ prodotti, l-istess kredenzjali nieqsa

Is-servers OpenVPN jeħtieġu ċertifikat tal-klijent b'mod awtomatiku. Iż-żieda ta' auth-user-pass ma' klijent tibgħat isem tal-utent u password, u l-handshake TLS xorta jitlob ċertifikat, għalhekk password waħdu ma jista' jlesti l-konnessjoni taħt verify-client-cert require. Is-server jista' jiġi konfigurat biex ma jitlob xejn, li jagħmel il-password l-unika kredenzjali tal-klijent u huwa tnaqqis reali fis-saħħa. Skript shell wara auth-user-pass-verify jista' jivvalida l-kredenzjali, u jeħtieġ li l-eżekuzzjoni tal-iskripts tkun attivata, li jagħmilha disinn aktar riskjuż minn backend tal-awtentikazzjoni xieraq.

Profil ibbażat biss fuq password jiddependi wkoll fuq għażliet imbuttati, li min-naħa tagħhom jiddependu milli jkun attivat il-mekkaniżmu tal-ġbid.

Tissewwiex ċertifikat nieqes billi tiddiżattiva l-kontrolli

It-tentazzjoni hija li ttaffi l-verifika biex il-messaġġ jisparixxi. Dan ineħħi l-kontroll li kien qed jagħmel xogħlu u jħalli konnessjoni li m'għadhiex tipprova dak li tiddikjara. Jekk il-gateway bidel l-għerq tiegħu dan l-aħħar, erġa' niżżel il-pakkett tal-klijent minflok ma teditja l-profil, għax il-pakkett antik jista' għadu jġorr l-għerq preċedenti. Jekk l-għażla tal-awtentikazzjoni bċ-ċertifikat hija nieqsa mill-editur tal-profili, il-verżjoni ta' Windows installata forsi ma turix dak il-metodu; aġġorna s-sistema minflok ma teditja l-XML bl-idejn.

Iġġib nota ta' liema maħżen kellu ċ-ċertifikat, liema utent ħaddem il-klijent u jekk il-muftieħ privat kienx preżenti. Dawn it-tlieta jispjegaw kważi kull każ ta' dan il-falliment.

Il-password kienet tajba. Il-kredenzjali li l-metodu fil-fatt kien jeħtieġ kienet x'imkien ieħor.