Pse OpenVPN vazhdon të kërkojë një skedar çelësi privat kur ka një token

Fut tokenin, mjeti i vetë ofruesit e sheh, dhe klienti VPN vazhdon të kërkojë një skedar çelësi privat. Kjo kërkesë nuk është provë se tokeni nuk mbështetet. Zakonisht do të thotë se profili nuk i tha kurrë klientit ta përdorte tokenin, kështu që u kthye te hyrjet e certifikatës dhe çelësit që pret si parazgjedhje.

Dy vlera të veçanta duhet të jenë të sakta përpara se ky kthim të ndalet: ofruesi që ekspozon tokenin dhe identiteti i certifikatës brenda tij. Ato jepen nga opsione të ndryshme dhe është e lehtë t'i ngatërrosh.

Klienti kërkon një skedar sepse profili e thotë

Një profil i parazgjedhur pret një skedar certifikate dhe një skedar çelësi privat, ose një paketë të vetme PKCS#12. Kur këto hyrje mungojnë, klienti nuk ka çfarë të ngarkojë dhe sillet pothuajse njësoj si me një skedar që mungon, prandaj simptoma lexohet si rrugë e thyer dhe jo si mekanizëm që mungon. Rruga PKCS#11 i zëvendëson këto hyrje në vend që t'i plotësojë, kështu që një profil që ende emërton një skedar çelësi do të vazhdojë të përdorë skedarin. Hiqni me qëllim hyrjet e skedarëve dhe lërini tokenin të sigurojë të dyja gjysmat.

Opsioni i ofruesit emërton një bibliotekë ndërmjetëse, jo një pajisje dhe jo një certifikatë. Nëse një klient i paketuar mund ta ngarkojë atë bibliotekë varet nga mënyra se si është ndërtuar, përfshirë mbështetjen opsionale për p11-kit që disa ndërtime e aktivizojnë dhe të tjerat e lënë jashtë. Një udhëzues i përgjithshëm nuk mund t'ju thotë çfarë rregullimi ka paketa juaj.

Identiteti i serializuar është një vlerë tjetër

Identiteti i certifikatës është një varg i gjatë i serializuar që prodhohet nga procesi i zbulimit, dhe nuk është rruga e bibliotekës, as PIN-i i tokenit, as emri i llogarisë VPN. Shpesh përmban karaktere që kërkojnë thonjëza, dhe një vlerë pa thonjëza mund të pritet ose të lexohet gabim pa një gabim të qartë. Përdorni opsionin zbulimi i identitetit të vetë klientit për të listuar çfarë ekspozon tokeni, më pas kopjoni saktësisht hyrjen e synuar. Zgjedhja e objektit të parë në listë është mënyra se si një pajisje përfundon duke paraqitur certifikatën e gabuar.

Rezultati i zbulimit përgjigjet edhe një pyetjeje të mëparshme: nëse tokeni është fare i dukshëm përmes atij ofruesi. Nëse nuk liston asgjë, problemi qëndron mbi klientin VPN dhe i përket ndërmjetësit.

Procesi që lidhet duhet të arrijë te tokeni

Një veprim me tokenin që funksionon në sesionin tuaj të desktopit nuk provon asgjë për një shërbim sistemi. Shërbimi mund të ekzekutohet si një përdorues tjetër, në një hapësirë emrash mount të ndryshme, me një rrugë modulësh që lë jashtë bibliotekën e ofruesit, ose pa leje për të hapur nyjen e pajisjes. Identifikoni cili proces e mban vërtet lidhjen dhe testoni nga ai kontekst.

Trajtimi i PIN meriton një vendim të vetin. Implementimi referues ofron një cache PIN dhe një rrugë të mbrojtur autentikimi, dhe të dyja ekzistojnë që një operator të zgjedhë një rrjedhë pune në vend që ta shpikë. Mos e ktheni një kërkesë pa mbikëqyrje në një PIN me tekst të thjeshtë brenda një profili të përbashkët, sepse kjo shkëmben mbrojtjen e tokenit me lehtësinë. Atje ku tokeni ndalon eksportimin e çelësit, nënshkrimi bëhet në pajisje dhe PIN-i është sekreti i vetëm lokal. Trajtojeni me kujdesin që kjo nënkupton.

Çfarë nuk zëvendëson tokeni

Tokeni vërteton klientin sipas politikës së vendosur dhe nuk zëvendëson kontrollet e klientit mbi serverin. Një certifikatë e zgjedhur me sukses nuk është leje për të pranuar një certifikatë të papritur të portës, dhe të dy verifikimet mbrojnë drejtime të kundërta.

Regjistrimi duhet të ndodhë ende te lëshuesi, dhe porta duhet të autorizojë ende identitetin.

Për pranim, ndani fazat: ofruesi ngarkohet, certifikata e synuar gjendet, çelësi privat përdoret me autorizim lokal, VPN vërtetohet dhe veprimi mbi burimin ka sukses. Ndaloni në fazën e parë që dështon në vend që të kaloni nëpër fjalëkalime dhe të riinstaloni stivën kriptografike.

Regjistroni versionet, pronësinë e moduleve, identifikuesin publik të zgjedhur dhe gabimet e pastruara, dhe lërini PIN-të dhe paketat e kredencialeve jashtë atij regjistri.