Je --key-password v OpenConnectu geslo vašega računa VPN?

Ime možnosti preberite dobesedno. Poimenuje ključ in zmeda se začne, ko datoteko, ki se odklepa, zamenjamo z računom, ki se preverja. Prilepite geslo računa v to možnost in odjemalec bo z njim poskusil odpreti datoteko s ključem, kar spodleti iz razlogov, ki nimajo nič skupnega s prijavo v VPN.

Zmeda je v tem, da lahko ena povezava upravičeno potrebuje obe skrivnosti. Preverjanje s potrdilom odjemalca lahko zahteva šifriran ključ, ista prehod pa lahko po sprejetju potrdila še vedno izvede izmenjavo preverjanja uporabnika. Nobena skrivnost ne izpolni druge stopnje in neuspeh pri eni je od zunaj videti zelo podoben neuspehu pri drugi.

Dve skrivnosti, dve različni nalogi

Vloge berite kot dostop do datoteke proti dovoljenju za vstop v omrežje. Geslo ključa dešifrira zasebni ključ PEM, naveden v --sslkey, da je mogoče predstaviti potrdilo odjemalca TLS. To dešifriranje poteka lokalno, znotraj procesa odjemalca, in sama geselska fraza nikoli ne potuje do prehoda. Prehod vidi potrdilo in podpis, narejen s ključem. Priročnik OpenConnecta hrani --key-password ob --certificate in --sslkey, v gradnjah, ki lahko uporabijo ključ v TPM, pa ista možnost namesto tega nosi geslo korenskega ključa shrambe.

Geslo računa je drugačne vrste. Vstopi v izmenjavo preverjanja: obrazec z uporabniškim imenom in geslom, žeton, krog SAML ali neka kombinacija, ki jo prehod oglašuje. Nekatere namestitve ga sploh ne zahtevajo, ko je potrdilo edini dejavnik, nekatere pa ga zahtevajo tudi po potrdilu, ker potrdilo dokazuje napravo, račun pa osebo.

Mešanje obeh ustvarja zavajajoče napake. Prehod, ki zavrne prijavo, običajno sporoči neuspeh preverjanja, medtem ko napačna geselska fraza ključa običajno spodleti prej, ko plast TLS ne more prebrati datoteke s ključem. To so različne stopnje z različnimi popravki in imena so dovolj podobna, da jih ljudje zamenjajo in nato lovijo napačen dnevnik. Zabeležite, kateri poziv se je pojavil, preden spremenite katero koli nastavitev, ker je besedilo poziva najcenejša diagnostika, ki jo imate.

Kdaj je geslo ključa res potrebno

Možnost ima smisel le, kadar obstaja šifriran ključ za odklepanje. Če se povežete z uporabniškim imenom in geslom ter brez potrdila odjemalca, --key-password nima na kaj delovati in njegova vključitev ničesar ne spremeni. Če se povežete s --certificate in --sslkey, o tem, ali bo geselska fraza sploh zahtevana, odloči lastni format datoteke s ključem.

Obe skrivnosti v enem ukazu sta v upravljanih okoljih običajni: potrdilo naprave v šifriranem ključu in prijava za vsakega uporabnika. Pravi vrstni red je, da odjemalec lokalno vpraša za geselsko frazo ključa, dokonča rokovanje s potrdilom in nato ločeno obdela poziv prehoda za račun. Poskus, da bi oboje vnaprej izpolnili z enim ponovno uporabljenim skriptom, je mesto, kjer se zmeda običajno začne.

Koristna diagnostika je pogledati, kdaj do neuspeha pride. Če se odjemalec ustavi, preden se začne kakršno koli omrežno preverjanje, sumite na datoteko s ključem, njen format ali geselsko frazo. Če je seja TLS vzpostavljena in prehod nato uporabnika zavrne, je ključ opravil svoje delo in težava je v izmenjavi računa.

Obe skrivnosti hranite zunaj zgodovine lupine

Argumente ukazne vrstice lahko berejo drugi lokalni uporabniki prek tabele procesov in pogosto pristanejo v zgodovini lupine, skriptih in zapisih podpore. OpenConnect lahko prebere geslo računa s standardnega vhoda z --passwd-on-stdin, geselska fraza ključa pa lahko pride iz interaktivnega poziva ali agenta namesto iz argumenta. Noben mehanizem sam po sebi ne naredi skrivnosti varne, a oba jo držita stran od najbolj izpostavljenih mest.

Datoteke si zaslužijo enako skrb. Skript, ki geselsko frazo zapiše v začasno datoteko, naj jo ustvari z omejenimi dovoljenji, jo ob izhodu izbriše in se izogiba mapam, berljivim vsem. Geselska fraza, ki preživi sejo v začasni mapi, je kopija, ki ste jo pozabili narediti. Okoljske spremenljivke so vidne podrejenim procesom in jih pogosto izpišejo orodja za odpravljanje napak, zato niso brezplačna izboljšava v primerjavi z argumenti.

Diagnostični izpis je tiho uhajanje. Dnevniki odjemalca pri večji podrobnosti lahko pokažejo telesa zahtev ali vrednosti možnosti, kopiran prepis terminala pa je enostavno prilepiti v zahtevek, zato izpis preberite, preden ga delite.

Mrtev gumb na namizju je druga okvara

Vnos VPN na namizju, ki pokaže vrteči indikator in nato nič, običajno sploh ni težava s preverjanjem. Gumb pripada upravitelju omrežja, prodajalčevemu apletu ali vtičniku, ki v vašem imenu zažene OpenConnect, in manjkajoča komponenta ali neberljiv profil lahko povzročita natanko ta simptom. Ugotovite, kateri proces gumb zažene, in preberite njegovo napako, preden se dotaknete poverilnic.

Mikavno je popustiti pri preverjanju potrdila ali izklopiti preverjanje, ko se GUI noče povezati. To okvaro integracije odjemalca spremeni v znižanje varnosti in le redko odpravi težavo z zagonom. Pustite preverjanje strežnika nedotaknjeno, potrdite, da profil kaže na predvideni prehod, in preverite, ali je pomočnik, ki ga GUI pričakuje, res nameščen.

Kratek kontrolni seznam loči primere. Lokalna okvara, preden odide kateri koli paket, kaže na ključ ali namestitev odjemalca. Zavrnitev prehoda po seji TLS kaže na izmenjavo računa. Gumb, ki nikoli ne zažene odjemalca, kaže na integracijo z namizjem. Tri različne okvare, od katerih je ena geslo, ki ste ga ravno nameravali prilepiti v napačno polje.