Por que o OpenVPN ainda pede um arquivo de chave privada quando há um token

Você conecta o token, a ferramenta do próprio fornecedor o vê, e o cliente VPN ainda pede um arquivo de chave privada. Esse pedido não é prova de que o token não seja suportado. Normalmente significa que o perfil nunca disse ao cliente para usar o token, então ele voltou às entradas de certificado e chave que espera por padrão.

Dois valores distintos precisam estar corretos antes que esse recuo pare: o fornecedor que expõe o token e a identidade do certificado dentro dele. Eles são fornecidos por opções diferentes e é fácil confundi-los.

O cliente pede um arquivo porque o perfil manda

Um perfil padrão espera um arquivo de certificado e um arquivo de chave privada, ou um único pacote PKCS#12. Quando essas entradas faltam, o cliente não tem o que carregar e se comporta quase como faria com um arquivo ausente, e é por isso que o sintoma é lido como caminho quebrado e não como mecanismo ausente. O caminho PKCS#11 substitui essas entradas em vez de complementá-las, então um perfil que ainda nomeia um arquivo de chave continuará usando o arquivo. Remova as entradas de arquivo de propósito e deixe o token fornecer as duas metades.

A opção do fornecedor nomeia uma biblioteca de middleware, não um dispositivo e não um certificado. Se um cliente empacotado pode carregar essa biblioteca depende de como foi compilado, incluindo o suporte opcional a p11-kit que algumas compilações ativam e outras omitem. Um tutorial genérico não pode dizer qual arranjo o seu pacote tem.

A identidade serializada é um valor diferente

A identidade do certificado é uma longa cadeia serializada produzida pelo processo de descoberta, e não é o caminho da biblioteca, nem o PIN do token, nem o nome da conta VPN. Ela costuma conter caracteres que precisam de aspas, e um valor sem aspas pode ser truncado ou lido errado sem um erro claro. Use a própria opção descoberta de identidade do cliente para listar o que o token expõe e depois copie exatamente a entrada desejada. Escolher o primeiro objeto da lista é a forma como um dispositivo acaba apresentando o certificado errado.

A saída da descoberta também responde a uma pergunta anterior: se o token é visível por meio desse fornecedor. Se não listar nada, o problema está acima do cliente VPN e pertence ao middleware.

O processo que conecta precisa alcançar o token

Uma operação com o token que funciona na sua sessão de desktop não prova nada sobre um serviço do sistema. O serviço pode executar como outro usuário, em um namespace de montagem diferente, com um caminho de módulos que omite a biblioteca do fornecedor, ou sem permissão para abrir o nó do dispositivo. Identifique qual processo realmente mantém a conexão e teste a partir desse contexto.

O tratamento do PIN merece uma decisão própria. A implementação de referência oferece um cache de PIN e um caminho de autenticação protegido, e ambos existem para que um operador escolha um fluxo de trabalho em vez de inventá-lo. Não transforme um requisito sem supervisão em PIN em texto simples dentro de um perfil compartilhado, porque isso troca a proteção do token por conveniência. Onde o token proíbe a exportação de chaves, a assinatura acontece no dispositivo e o PIN é o único segredo local. Trate-o com o cuidado que isso implica.

O que o token não substitui

O token autentica o cliente sob a política implantada e não substitui as verificações do cliente sobre o servidor. Um certificado selecionado com sucesso não é permissão para aceitar um certificado de gateway inesperado, e as duas verificações protegem direções opostas.

O registro ainda precisa acontecer no emissor, e o gateway ainda precisa autorizar a identidade.

Para a aceitação, separe as etapas: o fornecedor carrega, o certificado pretendido é encontrado, a chave privada é usada com autorização local, o VPN se autentica e a operação sobre o recurso tem sucesso. Pare na primeira etapa que falhar em vez de percorrer senhas e reinstalar a pilha criptográfica.

Registre versões, propriedade dos módulos, o identificador público escolhido e os erros saneados, e deixe PINs e pacotes de credenciais fora desse registro.