OpenConnect'te --key-password, VPN hesabınızın parolası mı?

Seçeneğin adını harfi harfine okuyun. Bir anahtarı adlandırır ve karışıklık, açılan dosyanın kimliği doğrulanan hesapla karıştırılmasıyla başlar. Hesap parolasını o seçeneğe yapıştırın, istemci onunla bir anahtar dosyası açmaya çalışır ve bu, VPN oturum açmasıyla hiçbir ilgisi olmayan nedenlerle başarısız olur.

Kafa karıştıran nokta, tek bir bağlantının meşru olarak her iki sırrı da gerektirebilmesidir. İstemci sertifikasıyla kimlik doğrulama şifrelenmiş bir anahtar gerektirebilir ve aynı ağ geçidi sertifika kabul edildikten sonra bile bir kullanıcı kimlik doğrulama alışverişi yürütebilir. İki sırdan hiçbiri diğer aşamayı karşılamaz ve birindeki başarısızlık dışarıdan diğerindeki başarısızlığa çok benzer görünür.

İki sır, iki farklı iş

Rolleri dosya erişimi ile ağa kabul olarak okuyun. Anahtar parolası, --sslkey içinde belirtilen PEM özel anahtarını çözer, böylece TLS istemci sertifikası sunulabilir. Bu çözme yerel olarak, istemci sürecinin içinde gerçekleşir ve parola ifadesi asla ağ geçidine gitmez. Ağ geçidinin gördüğü şey sertifika ve anahtarla oluşturulmuş bir imzadır. OpenConnect kılavuzu --key-password seçeneğini --certificate ve --sslkey yanında tutar ve TPM içinde saklanan bir anahtarı kullanabilen derlemelerde aynı seçenek bunun yerine depolamanın kök anahtar parolasını taşır.

Hesap parolası farklı türdendir. Kimlik doğrulama alışverişine girer: kullanıcı adı ve parola formu, bir belirteç, bir SAML turu ya da ağ geçidinin duyurduğu bir bileşim. Bazı kurulumlar sertifika tek etken olduğunda onu hiç istemez, bazıları sertifikadan sonra bile ister, çünkü sertifika cihazı, hesap ise kişiyi kanıtlar.

İkisini karıştırmak yanıltıcı hatalar üretir. Oturum açmayı reddeden ağ geçidi genellikle kimlik doğrulama hatası bildirir, yanlış anahtar parolası ise genellikle daha erken, TLS katmanı anahtar dosyasını okuyamadığında başarısız olur. Bunlar farklı aşamalar ve farklı düzeltmelerdir; adlar yeterince benzer olduğu için insanlar onları değiştirir ve sonra yanlış günlüğün peşine düşer. Herhangi bir ayarı değiştirmeden önce hangi istemin çıktığını not edin, çünkü istemin sözleri sahip olduğunuz en ucuz tanıdır.

Anahtar parolası gerçekten ne zaman gerekir

Seçenek yalnızca açılacak şifrelenmiş bir anahtar varsa anlamlıdır. Kullanıcı adı ve parolayla ve istemci sertifikası olmadan bağlanıyorsanız, --key-password seçeneğinin üzerinde işleyeceği bir şey yoktur ve eklemek hiçbir şeyi değiştirmez. --certificate ve --sslkey ile bağlanıyorsanız, parola ifadesinin istenip istenmeyeceğine anahtar dosyasının kendi biçimi karar verir.

İki sırrın tek komutta olması yönetilen ortamlarda yaygındır: şifrelenmiş bir anahtarda cihaz sertifikası ve kullanıcı başına oturum açma. Doğru sıra, istemcinin anahtar parolasını yerel olarak sormasına izin vermek, sertifika el sıkışmasını tamamlamak ve ardından ağ geçidinin hesap istemini ayrı ele almaktır. İkisini tek bir yeniden kullanılan betikle önceden doldurmaya çalışmak, karışıklığın genellikle başladığı yerdir.

Yararlı bir tanı, hatanın ne zaman oluştuğuna bakmaktır. İstemci herhangi bir ağ kimlik doğrulaması başlamadan durursa anahtar dosyasından, biçiminden veya parola ifadesinden şüphelenin. TLS oturumu kurulur ve ağ geçidi ardından kullanıcıyı reddederse anahtar işini yapmıştır ve sorun hesap alışverişindedir.

İki sırrı kabuk geçmişinden uzak tutun

Komut satırı bağımsız değişkenleri diğer yerel kullanıcılar tarafından süreç tablosu üzerinden okunabilir ve sıklıkla kabuk geçmişinde, betiklerde ve destek dökümlerinde yakalanır. OpenConnect hesap parolasını standart girdiden --passwd-on-stdin ile okuyabilir ve anahtar parolası bir bağımsız değişken yerine etkileşimli istemden veya bir aracıdan gelebilir. Hiçbir mekanizma sırrı tek başına güvenli kılmaz, ancak ikisi de onu en açık yerlerden uzak tutar.

Dosyalar da aynı özeni hak eder. Parola ifadesini geçici bir dosyaya yazan betik, dosyayı kısıtlı izinlerle oluşturmalı, çıkışta silmeli ve herkesin okuyabildiği dizinlerden kaçınmalıdır. Oturumdan sonra geçici bir dizinde kalan parola ifadesi, oluşturmayı unuttuğunuz bir kopyadır. Ortam değişkenleri alt süreçler tarafından görülebilir ve genellikle hata ayıklama araçları tarafından yazdırılır, bu yüzden bağımsız değişkenlere göre ücretsiz bir iyileştirme değildir.

Tanılama çıktısı sessiz sızıntıdır. Daha yüksek ayrıntı düzeyinde istemci günlükleri istek gövdelerini veya seçenek değerlerini gösterebilir ve kopyalanan terminal dökümünü bir bilete yapıştırmak kolaydır, bu yüzden paylaşmadan önce çıktıyı okuyun.

Ölü bir masaüstü düğmesi başka bir arızadır

Dönen bir simge gösterip sonra hiçbir şey yapmayan masaüstü VPN girdisi genellikle hiç de kimlik doğrulama sorunu değildir. Düğme sizin adınıza OpenConnect başlatan bir ağ yöneticisine, üretici uygulamasına veya eklentiye aittir ve eksik bir bileşen ya da okunamayan bir profil tam olarak o belirtiyi üretebilir. Düğmenin hangi süreci başlattığını bulun ve kimlik bilgilerine dokunmadan önce hatasını okuyun.

GUI bağlanmayı reddettiğinde sertifika doğrulamasını gevşetmek veya bir denetimi kapatmak cezbedicidir. Bu, istemci tümleştirme arızasını güvenlik düşüşüne çevirir ve başlatma sorununu nadiren düzeltir. Sunucu doğrulamasını bozulmadan bırakın, profilin amaçlanan ağ geçidine işaret ettiğini doğrulayın ve GUI'nin beklediği yardımcı programın gerçekten kurulu olup olmadığını kontrol edin.

Kısa bir denetim listesi durumları ayırır. Herhangi bir paket çıkmadan önceki yerel arıza anahtara veya istemci kurulumuna işaret eder. TLS oturumundan sonra ağ geçidinin reddi hesap alışverişine işaret eder. İstemciyi hiç başlatmayan bir düğme masaüstü tümleştirmesine işaret eder. Üç farklı arıza, biri yanlış kutuya yapıştırmak üzere olduğunuz bir parola.