Je --key-password v OpenConnecte heslom vášho VPN účtu?

Prečítajte názov voľby doslovne. Pomenúva kľúč a zmätok sa začína, keď sa súbor, ktorý sa odomyká, zamení za účet, ktorý sa overuje. Vložte heslo účtu do tejto voľby a klient sa ním pokúsi otvoriť súbor s kľúčom, čo zlyhá z dôvodov, ktoré nemajú nič spoločné s prihlásením do VPN.

Mätúce je, že jedno spojenie môže legitímne potrebovať obe tajomstvá. Overovanie klientskym certifikátom môže vyžadovať šifrovaný kľúč a tá istá brána môže po prijatí certifikátu stále vykonať výmenu overenia používateľa. Ani jedno tajomstvo nespĺňa druhú etapu a zlyhanie v jednom zvonku vyzerá veľmi podobne ako zlyhanie v druhom.

Dve tajomstvá, dve rôzne úlohy

Čítajte úlohy ako prístup k súboru proti povoleniu vstupu do siete. Heslo kľúča dešifruje súkromný kľúč PEM uvedený v --sslkey, aby bolo možné predložiť klientsky certifikát TLS. Toto dešifrovanie prebieha lokálne, vnútri procesu klienta, a samotná prístupová fráza nikdy necestuje k bráne. Brána vidí certifikát a podpis vytvorený kľúčom. Príručka OpenConnectu drží --key-password vedľa --certificate a --sslkey, a v zostaveniach, ktoré môžu použiť kľúč v TPM, nesie tá istá voľba namiesto toho heslo koreňového kľúča úložiska.

Heslo účtu je iného druhu. Vstupuje do výmeny overenia: formulár s používateľským menom a heslom, token, kolo SAML alebo nejaká kombinácia, ktorú brána oznamuje. Niektoré nasadenia ho vôbec nevyžadujú, keď je certifikát jediným faktorom, a niektoré ho žiadajú aj po certifikáte, pretože certifikát preukazuje zariadenie, zatiaľ čo účet preukazuje osobu.

Miešanie oboch vytvára zavádzajúce chyby. Brána odmietajúca prihlásenie zvyčajne hlási zlyhanie overenia, kým nesprávna prístupová fráza kľúča zlyhá zvyčajne skôr, keď vrstva TLS nedokáže prečítať súbor s kľúčom. Sú to rôzne etapy s rôznymi opravami a názvy sú dosť podobné na to, aby si ich ľudia vymenili a potom honili nesprávny záznam. Všimnite si, ktorá výzva sa objavila, skôr než zmeníte akékoľvek nastavenie, pretože znenie výzvy je najlacnejšia diagnostika, ktorú máte.

Kedy je heslo kľúča skutočne potrebné

Voľba má zmysel len vtedy, keď existuje šifrovaný kľúč na odomknutie. Ak sa pripájate používateľským menom a heslom a bez klientskeho certifikátu, --key-password nemá na čo pôsobiť a jeho zahrnutie nič nemení. Ak sa pripájate s --certificate a --sslkey, rozhoduje vlastný formát súboru s kľúčom, či bude prístupová fráza vôbec vyžiadaná.

Obe tajomstvá v jednom príkaze sú v spravovaných prostrediach bežné: certifikát zariadenia v šifrovanom kľúči plus prihlásenie pre každého používateľa. Správny postup je nechať klienta lokálne vyžiadať prístupovú frázu kľúča, dokončiť podanie rúk certifikátu a potom samostatne vybaviť výzvu brány k účtu. Pokus predvyplniť obe jedným znovupoužitým skriptom je miesto, kde sa zmätok zvyčajne začína.

Užitočná diagnostika je pozrieť sa, kedy k zlyhaniu dôjde. Ak sa klient zastaví pred začiatkom akéhokoľvek sieťového overovania, podozrievajte súbor s kľúčom, jeho formát alebo prístupovú frázu. Ak je relácia TLS nadviazaná a brána potom používateľa odmietne, kľúč urobil svoju prácu a problém je vo výmene účtu.

Držte obe tajomstvá mimo histórie shellu

Argumenty príkazového riadka môžu iní miestni používatelia čítať cez tabuľku procesov a často sa zachytávajú v histórii shellu, skriptoch a prepisoch podpory. OpenConnect dokáže čítať heslo účtu zo štandardného vstupu pomocou --passwd-on-stdin a prístupová fráza kľúča môže prísť z interaktívnej výzvy alebo agenta namiesto argumentu. Ani jeden mechanizmus sám o sebe tajomstvo nezabezpečí, ale oba ho držia mimo najviac vystavených miest.

Súbory si zaslúžia rovnakú starostlivosť. Skript, ktorý zapisuje prístupovú frázu do dočasného súboru, by ho mal vytvoriť s obmedzujúcimi právami, pri ukončení ho zmazať a vyhýbať sa adresárom čitateľným pre všetkých. Prístupová fráza, ktorá prežije reláciu v dočasnom adresári, je kópia, ktorú ste zabudli vytvoriť. Premenné prostredia sú viditeľné pre podriadené procesy a často ich vypisujú ladiace nástroje, takže nie sú bezplatným vylepšením oproti argumentom.

Diagnostický výstup je tichý únik. Klientske záznamy pri vyššej podrobnosti môžu ukázať telá požiadaviek alebo hodnoty volieb a skopírovaný prepis terminálu sa ľahko vloží do tiketu, preto si výstup prečítajte, než ho zdieľate.

Mŕtve tlačidlo na ploche je iná porucha

Záznam VPN na ploche, ktorý ukáže točiaci sa indikátor a potom nič, zvyčajne vôbec nie je problém overovania. Tlačidlo patrí správcovi siete, apletu výrobcu alebo pluginu, ktorý za vás spúšťa OpenConnect, a chýbajúca komponenta alebo nečitateľný profil môžu vyvolať presne ten príznak. Zistite, ktorý proces tlačidlo spúšťa, a prečítajte jeho chybu, skôr než sa dotknete prihlasovacích údajov.

Je lákavé zmierniť overovanie certifikátu alebo vypnúť kontrolu, keď sa GUI odmieta pripojiť. To mení poruchu integrácie klienta na zníženie bezpečnosti a problém so spustením to málokedy vyrieši. Nechajte overovanie servera nedotknuté, overte, že profil mieri na zamýšľanú bránu, a skontrolujte, či pomocník, ktorého GUI očakáva, je skutočne nainštalovaný.

Krátky kontrolný zoznam oddeľuje prípady. Miestne zlyhanie skôr, než vyjde akýkoľvek paket, ukazuje na kľúč alebo inštaláciu klienta. Odmietnutie bránou po relácii TLS ukazuje na výmenu účtu. Tlačidlo, ktoré klienta nikdy nespustí, ukazuje na integráciu s plochou. Tri rôzne poruchy, z ktorých jedna je heslo, ktoré ste sa práve chystali vložiť do nesprávneho poľa.