OpenVPN சேவை தனிப்பட்ட விசையின் கடவுச்சொல்லைக் கேட்கும்போது நிற்கிறது: எப்படி சரிசெய்வது
சேவைக்கு முனையம் இல்லை, எனவே மறையாக்கப்பட்ட விசைக்கு askpass மற்றும் படிக்கக்கூடிய கோப்பு தேவை. விசையின் கடவுச்சொற்றொடரை சேவையக உள்நுழைவிலிருந்து பிரித்து unit சரிபார்க்கவும்.
OpenVPN உள்ளூர் இயந்திரத்தில் தனிப்பட்ட விசையின் கடவுச்சொற்றொடரைக் கேட்கிறது, எனவே வேலை செய்யும் உள்நுழைவு கோப்பு அதற்கு ஒருபோதும் பதிலளிக்காது. சேவையில் தட்டச்சு செய்ய முனையம் இல்லை, மேலும் தொடக்கம் ஒன்று தொங்கும் அல்லது காரணத்தை அல்ல, உள்ளீட்டைப் பெயரிடும் journal பதிவுடன் தோல்வியடையும். இங்கே இரண்டு ரகசியங்கள் உள்ளன, மேலும் ஒவ்வொன்றுக்கும் unit மீண்டும் தொடங்குவதற்கு முன் அதன் சொந்த படிக்கக்கூடிய மூலம் தேவை. கீழே உள்ள படிகள் அவற்றைப் பிரித்து, பின்னர் ஒவ்வொரு கோப்பையும் உண்மையில் திறக்கும் அடையாளத்தைச் சரிபார்க்கின்றன.
இரண்டு கோரிக்கைகளை வேறுபடுத்துங்கள்
விசையின் கடவுச்சொற்றொடர் உள்ளூர் தனிப்பட்ட விசையை மறைகுறியாக்குகிறது; கணக்குச் சான்றுகள் சேவையகத்துடன் அமர்வை அங்கீகரிக்கின்றன. அவை வெவ்வேறு இடங்களிலிருந்து வருகின்றன, வெவ்வேறு தருணங்களில் தோல்வியடைகின்றன, வெவ்வேறு செய்திகளைத் தருகின்றன. அவற்றைக் குழப்புவது மக்களை கடவுச்சொல் மீட்டமைப்பைத் தேடச் செய்கிறது, ஆனால் கணக்கு அதில் இல்லை. எந்த ரகசியம் காணவில்லை என்பதற்கான ஒரே நம்பகமான துப்பு சொற்களே, எனவே எந்த விருப்பத்தையும் மாற்றுவதற்கு முன் கோரிக்கையின் உரையைப் படியுங்கள்.
Community OpenVPN 2.x இல் askpass முதல் வரியில் விசையின் கடவுச்சொற்றொடரை வைத்திருக்கும் கோப்பைக் குறிக்கிறது, auth-user-pass ஒரு வரியில் பயனர் பெயரையும் அடுத்த வரியில் கடவுச்சொல்லையும் கொண்ட கோப்பைக் குறிக்கிறது. எந்தக் கோப்பும் மற்ற விருப்பத்தைப் பூர்த்தி செய்ய முடியாது. டெஸ்க்டாப் பயன்பாடு அல்லது NetworkManager சுயவிவரம் இரண்டையும் தனது சொந்த ரகசியக் கிடங்கில் வைத்திருக்கலாம், அதை கட்டளை வரி வாடிக்கையாளர் ஒருபோதும் படிக்காது, எனவே எந்தப் பாதையையும் எழுதுவதற்கு முன் நீங்கள் எந்த வாடிக்கையாளரை உள்ளமைக்கிறீர்கள் என்பதைக் குறிக்கவும்.
இரண்டு விருப்பங்களையும் படிக்கக்கூடிய கோப்புகளை நோக்கித் திருப்புங்கள்
இரண்டு உள்ளீடுகளும் தேவைப்படும் சுயவிவரம் இறுதியில் மூன்று கோப்பு மேற்கோள்களுடன் முடிகிறது: மறையாக்கப்பட்ட விசை, அதைத் திறக்கும் கடவுச்சொற்றொடர் மற்றும் உள்நுழைவு இணை. CA மற்றும் அடையாளச் சரிபார்ப்புகளைத் தொடாமல் அவற்றைச் சேர்க்கவும், ஏனெனில் அவை சேவையகம் யார் என்பதைத் தீர்மானிக்கின்றன, இந்தப் பிரச்சினையின் பகுதி அல்ல. வரிசைப்படுத்தல் கணக்குச் சான்றுகளைப் பயன்படுத்தவே இல்லை என்றால், auth-user-pass சேர்ப்பது யாரும் வழங்க முடியாத உள்ளீட்டை உருவாக்குகிறது.
key /etc/openvpn/client/office.key
askpass /etc/openvpn/client/office-key.pass
auth-user-pass /etc/openvpn/client/office-login.authவாதமில்லாத விருப்பங்கள் பாதையுள்ள விருப்பங்களிலிருந்து வேறுவிதமாக நடந்துகொள்கின்றன, சேவையில் இந்த வேறுபாடு முக்கியம். வாதமில்லாத askpass இன்னும் console-ஐப் படிக்கிறது, பயனர் பெயர் மட்டும் உள்ள auth-user-pass கோப்பு இன்னும் கடவுச்சொல் கோரிக்கையைக் காத்திருக்க விடுகிறது. வாடிக்கையாளர் டீமனாக மாறியபின் முனையத்திலிருந்து உள்ளீட்டைக் கேட்கவே முடியாது, எனவே இப்படி உள்ளமைக்கப்பட்ட சேவை எழாது.
முழுமையான பாதைகள் வேலை அடைவின் கேள்வியை நீக்குகின்றன, ஆனால் அணுகலைத் தருவதில்லை. பின்னர் உரிமை, பயன்முறை மற்றும் கடந்து செல்லுதல் வருகின்றன, மூன்றும் செயல்முறை இயங்கும் கணக்கிற்கு எதிராகச் சரிபார்க்கப்படுகின்றன.
சுயவிவரத்திற்கு முன் unit இன் உள்ளமைவைப் படியுங்கள்
எந்த உள்ளமைவை நிகழ்வு ஏற்றுகிறது என்பதை unit தீர்மானிக்கிறது, நீங்கள் திருத்திய கோப்பு அல்ல. அதன் கட்டளை வரியையும் அனைத்து drop-in களையும் படித்து, பின்னர் வேலை அடைவைப் பின்தொடர்ந்து உண்மையில் பயன்படுத்தப்படும் சுயவிவரத்தை அடையுங்கள். வேறொரு .ovpn கோப்பில் சேர்க்கப்பட்ட கடவுச்சொற்றொடர் மேற்கோள் இந்த நிகழ்வுக்கு எதையும் மாற்றாது.
மூன்று படிக்க-மட்டும் கட்டளைகள் அதன் பெரும்பகுதிக்குப் பதிலளிக்கின்றன. முதலாவது unit மற்றும் அனைத்து drop-in களையும் அச்சிடுகிறது, இரண்டாவது செயல்முறையைப் பிணைக்கும் அடையாளத்தையும் sandbox அமைப்புகளையும், மூன்றாவது கடைசித் தொடக்கம் உண்மையில் எதைப் பற்றிக் குறைபட்டது என்பதையும் அச்சிடுகிறது. ஹோஸ்ட்டில் உள்ள நிகழ்வுப் பெயரைப் பயன்படுத்துங்கள்:
systemctl cat [email protected]
systemctl show [email protected] -p User -p Group -p WorkingDirectory -p ProtectHome
journalctl -u [email protected] -bProtectHome மற்றும் சுயவிவரத்தின் சொந்த user, group மற்றும் chroot விருப்பங்களுக்குக் கவனம் செலுத்துங்கள். வீட்டு அடைவின் கீழ் உள்ள கோப்பு உங்கள் shell-இல் படிக்கக்கூடியதாகவும், வீட்டு அடைவுகள் மறைக்கப்பட்டபின் சேவைக்குள் கண்ணுக்குத் தெரியாததாகவும் இருக்கலாம். systemd தொடங்கும் கணக்கு எப்போதும் விசையை இறுதியில் திறக்கும் கணக்காக இருக்காது.
இயக்கநேர அடையாளம் இரண்டு கோப்புகளையும் திறக்க முடியும் என்பதை நிரூபியுங்கள்
பயன்முறையைப் படிப்பது போதாது, ஏனெனில் பாதையில் உள்ள ஒவ்வொரு அடைவும் அதே அடையாளத்தால் கடக்கக்கூடியதாக இருக்க வேண்டும். பாதையைக் கூறு கூறாகக் கடந்து, பின்னர் செயல்முறை பயன்படுத்தும் கணக்காகத் திறப்பதைச் சோதியுங்கள். root உரிமையிலும் 600 பயன்முறையிலும் உள்ள கோப்பு செயல்முறை இன்னும் root ஆக இருக்கும் வரை மட்டுமே வேலை செய்கிறது, பல சுயவிவரங்கள் செய்யும் சிறப்புரிமைக் குறைப்புக்குப் பின் அது உண்மையல்ல. இரண்டு கட்டளைகள் கடத்தலையும் திறப்பையும் உள்ளடக்குகின்றன:
namei -l /etc/openvpn/client/office-key.pass
sudo -u openvpn test -r /etc/openvpn/client/office-key.pass && echo readableமுதல் கட்டளை ஒவ்வொரு கூறின் பயன்முறையையும் அச்சிட்டு கணக்கு கடக்க முடியாத இடத்தில் தோல்வியடையும்; இரண்டாவது ஒரே முக்கியமான கேள்விக்குப் பதிலளிக்கிறது, அதாவது இயக்கநேர அடையாளம் கோப்பைப் படிக்கத் திறக்க முடியுமா என்பது. இரண்டும் கோப்பின் உள்ளடக்கத்தை அச்சிடுவதில்லை, கோப்பில் கடவுச்சொற்றொடர் இருக்கும்போது அதுவே முக்கிய விஷயம். உள்நுழைவு கோப்பிற்கும் சோதனையை மீண்டும் செய்யுங்கள், ஏனெனில் இரண்டும் பெரும்பாலும் வெவ்வேறு உரிமையுடன் சேமிக்கப்படுகின்றன.
செயல்முறை chroot அல்லது கட்டுப்படுத்தப்பட்ட namespace பயன்படுத்தினால், அதே சோதனையை அந்தப் பார்வைக்குள் இருந்து இயக்குங்கள், இல்லையெனில் பதில் தவறான கோப்புமுறையை விவரிக்கிறது. மறைக்கப்பட்ட வீட்டு அடைவின் கீழ் சேமிக்கப்பட்ட கடவுச்சொற்றொடர், unit-க்கு வெளியே வெற்றிபெற்று உள்ளே தோல்வியடையும் சோதனையின் வழக்கமான எடுத்துக்காட்டு.
முதல் தொடக்கத்தைச் சரிபார்த்து, பின்னர் மறு இணைப்பு
நிகழ்வை ஒருமுறை தொடங்கி கடைசி அல்ல, முதல் தோல்வியைப் படியுங்கள். காணாமல் போன உள்ளீட்டுக் கோப்பு, தோல்வியடைந்த விசை மறைகுறியாக்கம் மற்றும் சேவையகத்திலிருந்து AUTH_FAILED ஆகியவை வெவ்வேறு மூன்று நிகழ்வுகள், வெவ்வேறு மூன்று சரிசெய்தல்களுடன். அனுமதி எச்சரிக்கையைச் சரிசெய்வது விசை திறக்கப்பட்டதா என்பதைப் பற்றி எதையும் நிரூபிக்காது.
journal வரி மூன்றில் எது என்று சொல்கிறது. எந்த உள்ளீடு தோல்வியடைந்தது என்பதிலிருந்து சரிசெய்தல் வருகிறது:
| What the journal shows | Which input failed | Where to look |
|---|---|---|
| A path that cannot be opened | The file the profile names | Askpass or login path, and the unit's working directory |
| A key decryption error | The key passphrase | First line of the askpass file, and read access for the runtime identity |
AUTH_FAILED from the server | The account credentials | Login file contents, and whether the account is still valid |
பின்னர் உண்மையில் உங்களுக்குத் தேவையான வாழ்க்கைச் சுழற்சியை சோதியுங்கள்: boot-இல் தொடக்கம் மற்றும் ஆதரிக்கப்படும் எந்த மறு இணைப்பும், உங்கள் shell-இலிருந்து கைமுறையாகத் தொடங்குவது மட்டுமல்ல. auth-nocache உடன் உள்ளீடுகள் முதல் பயன்பாட்டிற்குப் பின் நீக்கப்படுகின்றன, எனவே பின்னர் வரும் மறு இணைப்பிற்கு இன்னும் படிக்கக்கூடிய மூலம் தேவை. டெஸ்க்டாப் உள்நுழைவில் திறக்கப்படும் சாவிக்கொத்து, யாரும் உள்நுழைவதற்கு முன் தொடங்கிய சேவைக்குக் கிடைக்காது, கைமுறைச் சோதனை வெற்றிபெற்று மறுதொடக்கம் தோல்வியடைவதற்கு அதுவே வழக்கமான காரணம். முதல் தொடக்கம் வெற்றிபெற்று பின்னர் வரும் மறு இணைப்பு தோல்வியடைந்தால், அனுமதிகளை மீண்டும் மாற்றுவதற்கு முன் மறு இணைப்பு நிகழ்வுக்கான journal-ஐப் படியுங்கள்.
விசைக்கு அருகில் கடவுச்சொற்றொடரை வைப்பது மறையாக்கம் தருவதைக் குறைக்கிறது, எனவே அந்தக் கோப்பையும் அதன் காப்புப்பிரதிகளையும் கட்டுப்படுத்துங்கள். விசையின் கடவுச்சொற்றொடரை நீக்குவதை காணாமல் போன உள்ளீட்டிற்கான சரிசெய்தலாக அல்ல, தனி சான்று முடிவாகக் கருதுங்கள். மனித ஒப்புதல் அல்லது ஊடாடும் MFA-ஐச் சார்ந்த வரிசைப்படுத்தலுக்கு அதன் ஆதரிக்கப்பட்ட முகவர் அல்லது நிர்வாக ஒருங்கிணைப்பு தேவை; நிரந்தரமாகச் சேமிக்கப்பட்ட ஒரு முறை குறியீடு சமமான மாற்று அல்ல.