A është --key-password i OpenConnect fjalëkalimi i llogarisë tuaj VPN?

Lexoje emrin e opsionit fjalë për fjalë. Ai emërton një çelës, dhe konfuzioni fillon kur skedari që zhbllokohet ngatërrohet me llogarinë që autentikohet. Ngjit fjalëkalimin e llogarisë në atë opsion dhe klienti do të përpiqet të hapë një skedar çelësi me të, gjë që dështon për arsye që nuk kanë asnjë lidhje me hyrjen në VPN.

Pjesa konfuze është se një lidhje e vetme mund të ketë nevojë legjitimisht për të dy sekretet. Autentikimi me certifikatë klienti mund të kërkojë një çelës të kriptuar, dhe e njëjta portë mund të kryejë ende një shkëmbim autentikimi përdoruesi pasi certifikata pranohet. Asnjëri sekret nuk plotëson fazën tjetër, dhe një dështim në njërin duket nga jashtë shumë i ngjashëm me një dështim në tjetrin.

Dy sekrete, dy punë të ndryshme

Lexoji rolet si akses në skedar kundrejt lejes për të hyrë në rrjet. Fjalëkalimi i çelësit dekripton çelësin privat PEM të përmendur në --sslkey në mënyrë që certifikata e klientit TLS të mund të paraqitet. Ai dekriptim ndodh lokalisht, brenda procesit të klientit, dhe fraza sekrete nuk shkon kurrë te porta. Ajo që sheh porta është certifikata dhe një nënshkrim i bërë me çelësin. Manualja e OpenConnect mban --key-password pranë --certificate dhe --sslkey, dhe në ndërtimet që mund të përdorin një çelës të ruajtur në një TPM i njëjti opsion mbart në vend të tij fjalëkalimin e çelësit rrënjë të ruajtjes.

Fjalëkalimi i llogarisë është i një natyre tjetër. Ai hyn në shkëmbimin e autentikimit: një formular me emër përdoruesi dhe fjalëkalim, një token, një raund SAML ose një kombinim që shpall porta. Disa instalime nuk e kërkojnë fare kur certifikata është faktori i vetëm, dhe të tjerat e kërkojnë edhe pas një certifikate, sepse certifikata provon pajisjen ndërsa llogaria provon personin.

Përzierja e të dyjave prodhon gabime mashtruese. Një portë që refuzon një hyrje raporton zakonisht një dështim autentikimi, ndërsa një frazë sekrete e gabuar e çelësit dështon zakonisht më herët, kur shtresa TLS nuk mund të lexojë skedarin e çelësit. Këto janë faza të ndryshme me rregullime të ndryshme, dhe emrat janë mjaft të ngjashëm sa njerëzit i ndërrojnë dhe më pas ndjekin regjistrin e gabuar. Vër re cila kërkesë u shfaq përpara se të ndryshosh ndonjë cilësim, sepse teksti i kërkesës është diagnoza më e lirë që ke.

Kur fjalëkalimi i çelësit nevojitet vërtet

Opsioni ka kuptim vetëm kur ka një çelës të kriptuar për të zhbllokuar. Nëse lidhesh me emër përdoruesi dhe fjalëkalim dhe pa certifikatë klienti, --key-password nuk ka mbi çfarë të veprojë, dhe përfshirja e tij nuk ndryshon asgjë. Nëse lidhesh me --certificate dhe --sslkey, vetë formati i skedarit të çelësit vendos nëse do të kërkohet frazë sekrete.

Të dy sekretet në një komandë janë të zakonshme në mjedise të menaxhuara: një certifikatë pajisjeje në një çelës të kriptuar, plus një hyrje për çdo përdorues. Sekuenca e saktë është të lërë klientin të kërkojë lokalisht frazën sekrete të çelësit, të përfundojë shtrëngimin e duarve të certifikatës dhe më pas të trajtojë veçmas kërkesën e llogarisë të portës. Përpjekja për të parambushur të dyja përmes një skripti të ripërdorur është vendi ku konfuzioni zakonisht fillon.

Një diagnozë e dobishme është të shohësh kur ndodh dështimi. Nëse klienti ndalon përpara se të fillojë ndonjë autentikim rrjeti, dysho për skedarin e çelësit, formatin e tij ose frazën sekrete. Nëse sesioni TLS është vendosur dhe porta pastaj refuzon përdoruesin, çelësi bëri punën e tij dhe problemi është shkëmbimi i llogarisë.

Mbaji të dy sekretet jashtë historikut të shell-it

Argumentet e rreshtit të komandës mund të lexohen nga përdorues të tjerë lokalë përmes tabelës së proceseve dhe shpesh kapen në historikun e shell-it, në skripte dhe në transkripte mbështetjeje. OpenConnect mund të lexojë fjalëkalimin e llogarisë nga hyrja standarde me --passwd-on-stdin, dhe fraza sekrete e çelësit mund të vijë nga një kërkesë interaktive ose një agjent në vend të një argumenti. Asnjë mekanizëm nuk e bën sekretin të sigurt më vete, por të dyja e mbajnë larg vendeve më të ekspozuara.

Skedarët meritojnë të njëjtin kujdes. Një skript që shkruan një frazë sekrete në një skedar të përkohshëm duhet ta krijojë me leje të kufizuara, ta fshijë në dalje dhe të shmangë drejtoritë që lexohen nga të gjithë. Një frazë sekrete që i mbijeton sesionit në një drejtori të përkohshme është një kopje që harrove ta bësh. Variablat e mjedisit janë të dukshme për proceset fëmijë dhe shpesh përfundojnë të përsëritura nga mjetet e korrigjimit, prandaj nuk janë një përmirësim falas ndaj argumenteve.

Rezultati i diagnozës është rrjedhja e qetë. Regjistrat e klientit me detaje më të larta mund të shfaqin trupat e kërkesave ose vlerat e opsioneve, dhe një transkript terminali i kopjuar është i lehtë për t'u ngjitur në një tiketë, prandaj lexoje rezultatin përpara se ta ndash.

Një buton i vdekur i desktopit është një defekt tjetër

Një zë VPN në desktop që tregon një rrotullues dhe pastaj asgjë zakonisht nuk është fare problem autentikimi. Butoni i përket një menaxheri rrjeti, një applet-i të furnizuesit ose një plugin-i që nis OpenConnect në emrin tënd, dhe një komponent që mungon ose një profil i palexueshëm mund të prodhojnë pikërisht atë simptomë. Zbulo cilin proces nis butoni dhe lexo gabimin e tij përpara se të prekësh kredencialet.

Është joshëse të zbutësh verifikimin e certifikatës ose të çaktivizosh një kontroll kur GUI refuzon të lidhet. Kjo e kthen një defekt integrimi të klientit në një ulje sigurie dhe rrallë e rregullon problemin e nisjes. Mbaje verifikimin e serverit të paprekur, konfirmo që profili tregon portën e synuar dhe kontrollo nëse ndihmësi që pret GUI është vërtet i instaluar.

Një listë e shkurtër kontrolli i ndan rastet. Një dështim lokal përpara se të dalë ndonjë paketë tregon çelësin ose instalimin e klientit. Një refuzim i portës pas sesionit TLS tregon shkëmbimin e llogarisë. Një buton që nuk nis kurrë klientin tregon integrimin me desktopin. Tre defekte të ndryshme, njëri prej të cilëve është një fjalëkalim që ishe gati ta ngjisje në kutinë e gabuar.