Zakaj OpenVPN ob žetonu še vedno zahteva datoteko z zasebnim ključem

Vstavite žeton, orodje samega ponudnika ga vidi, odjemalec VPN pa še vedno zahteva datoteko z zasebnim ključem. Ta zahteva ni dokaz, da žeton ni podprt. Običajno pomeni, da profil odjemalcu nikoli ni rekel, naj uporabi žeton, zato se je vrnil na vnose potrdila in ključa, ki jih pričakuje privzeto.

Dve ločeni vrednosti morata biti pravilni, preden se ta vrnitev ustavi: ponudnik, ki razkrije žeton, in identiteta potrdila v njem. Podani sta z različnimi možnostmi in ju je lahko zamenjati.

Odjemalec zahteva datoteko, ker tako določa profil

Privzeti profil pričakuje datoteko s potrdilom in datoteko z zasebnim ključem ali en paket PKCS#12. Ko teh vnosov ni, odjemalec nima česa naložiti in se obnaša skoraj kot pri manjkajoči datoteki, zato se simptom bere kot pokvarjena pot in ne kot manjkajoč mehanizem. Pot PKCS#11 te vnose nadomesti, namesto da bi jih dopolnila, zato bo profil, ki še vedno navaja datoteko s ključem, datoteko uporabljal naprej. Namerno odstranite datotečne vnose in pustite žetonu, da zagotovi obe polovici.

Možnost ponudnika navaja knjižnico vmesne programske opreme, ne naprave in ne potrdila. Ali lahko zapakiran odjemalec naloži to knjižnico, je odvisno od tega, kako je bil zgrajen, vključno z neobvezno podporo za p11-kit, ki jo nekatere gradnje vklopijo, druge pa izpustijo. Splošni priročnik vam ne more povedati, kakšna je razporeditev vašega paketa.

Serializirana identiteta je druga vrednost

Identiteta potrdila je dolg serializiran niz, ki ga ustvari postopek odkrivanja, in ni pot do knjižnice, ni PIN žetona in ni ime računa VPN. Pogosto vsebuje znake, ki jih je treba dati v narekovaje, vrednost brez narekovajev pa je lahko odrezana ali napačno prebrana brez jasne napake. Uporabite odjemalčevo lastno možnost odkrivanje identitete, da naštejete, kaj žeton razkrije, nato natančno kopirajte želeni vnos. Izbira prvega predmeta na seznamu je pot, po kateri naprava na koncu predstavi napačno potrdilo.

Izhod odkrivanja odgovori tudi na prejšnje vprašanje: ali je žeton skozi tega ponudnika sploh viden. Če ne našteje ničesar, je težava nad odjemalcem VPN in pripada vmesni programski opremi.

Proces, ki se poveže, mora doseči žeton

Operacija z žetonom, ki deluje v vaši namizni seji, ne dokazuje ničesar o sistemski storitvi. Storitev lahko teče kot drug uporabnik, v drugem imenskem prostoru priklopa, s potjo modulov, ki izpusti knjižnico ponudnika, ali brez dovoljenja za odpiranje vozlišča naprave. Ugotovite, kateri proces dejansko drži povezavo, in preizkusite iz tega konteksta.

Ravnanje s PIN si zasluži lastno odločitev. Referenčna izvedba ponuja predpomnilnik PIN in zaščiteno pot preverjanja pristnosti, oboje pa obstaja zato, da lahko operater izbere delovni tok, namesto da bi si ga izmislil. Ne spreminjajte zahteve brez nadzora v PIN v čistem besedilu znotraj skupnega profila, ker to zamenja zaščito žetona za udobje. Kjer žeton prepoveduje izvoz ključa, se podpisovanje zgodi v napravi in PIN je edina lokalna skrivnost. Z njim ravnajte s skrbnostjo, ki jo to pomeni.

Česa žeton ne nadomesti

Žeton overi odjemalca v skladu z nameščeno politiko in ne nadomesti odjemalčevih preverjanj na strežniku. Uspešno izbrano potrdilo ni dovoljenje za sprejem nepričakovanega potrdila prehoda, in obe preverjanji ščitita nasprotni smeri.

Vpis se mora še vedno zgoditi pri izdajatelju, prehod pa mora še vedno odobriti identiteto.

Za sprejem ločite faze: ponudnik se naloži, predvideno potrdilo se najde, zasebni ključ se uporabi z lokalno odobritvijo, VPN se overi in operacija z virom uspe. Ustavite se pri prvi fazi, ki spodleti, namesto da bi krožili skozi gesla in znova namestili kriptografski sklad.

Zabeležite različice, lastništvo modulov, izbrani javni identifikator in očiščene napake, PIN-e in pakete poverilnic pa pustite zunaj tega zapisa.