OpenVPN oturum açmada statik meydan okuma kodu nereye gider

İstemci parola alanından sonra ikinci bir kutu gösterir, donanım belirtecindeki kodu yazarsınız ve oturum açma yine bir kimlik doğrulama hatasıyla başarısız olur. O kutu var, yani profil onu istemiş. Sunucunun değeri anladığı bir biçimde alıp almadığı başka bir sorudur ve önce buna yanıt vermek gerekir.

İstemcinizin gerçekten gösterdiği istemle başlayın

Bir profil, bir istem dizesi ve yanıtın yazarken gösterilip gösterilmeyeceğini denetleyen bir bayrakla statik meydan okuma yönergesi taşıyabilir. İstem, iletişim kutusunda gördüğünüzdür; bayrak aynı giriş için bir görüntüleme tercihidir. İkisi de sunucuya herhangi bir şeyin nasıl doğrulanacağını söylemez.

Gerçekten size verilen alanları sayın. Kullanıcı adı için bir alan artı maskelenmiş bir alan, hiçbir meydan okuma olmayan normal bir parola oturumudur. Paroladan sonra kendi etiketiyle beliren ikinci alan, istemcinin meydan okuma etkileşimini uyguladığı anlamına gelir.

Kullandığınız istemcide ikinci kutu hiç görünmüyorsa, o istemci etkileşimi uygulamıyor olabilir ya da yalnızca bir yönetim arayüzü gibi farklı bir ön uç üzerinden uyguluyor olabilir. İstemciyi denetlemek profili yeniden yazmaktan daha ucuzdur ve uyumsuzluk genellikle gerçekten oradadır.

Sunucunun zaten desteklemesi gerekenler

Profil, istemcinin neyi toplaması gerektiğini açıklar. Sunucuda doğrulamayı etkinleştirmez ve karşılık gelen kimlik doğrulama entegrasyonu olmayan bir sunucu yalnızca tanımadığı bir parola alır. Bu yüzden bazı kurulumlar istemi gösterip her kodu reddeder ve bu yüzden operatörün denetimi hangi mekanizmanın yaptığına dair yanıtı önemli olan yanıttır.

Operatöre denetimi hangi mekanizmanın yaptığını sorun. Bu, PAM ile konuşan bir eklenti, yanıtı bir belirteç hizmetine karşı doğrulayan bir betik kancası ya da paketlenmiş değeri kendisi çözümleyen yönetim tabanlı bir entegrasyon olabilir. Her biri biraz farklı bir giriş bekler.

Burada beklentilerin de kalibre edilmesi gerekir. İkinci istem bir giriş mekanizmasıdır, ikinci faktörün uygulandığının kanıtı değildir, çünkü uygulama sunucu tarafında olur ve ancak yanlış bir kodu denediğinizde görünür.

Yönetim arayüzünün gönderdiği kodlanmış alan

Bir ön uç bağlantıyı yönetim arayüzü üzerinden sürdüğünde, parola ve meydan okuma yanıtı gönderilmeden önce tek bir değerde paketlenir. Yönetim arayüzü başvurusu biçimi belgeler: bir önek, ardından ayrı Base64 bileşenleri olarak parola ve yanıt.

Base64 bir kodlamadır, koruma değildir. Alanı okuyabilen herkesten hiçbir şey saklamaz ve tek kullanımlık bir kodu yeniden kullanılabilir bir şeye dönüştürmez. Paketlenmiş değer parolayla aynı muameleyi hak eder: paylaşılan profillerin dışında, komut satırlarının dışında ve tanılama günlüklerinin dışında.

Bu kodlama aynı zamanda en yaygın karışıklık kaynağıdır, çünkü artık benzer görünen ve birbiriyle değiştirilemeyen üç biçim var. Sade bir kimlik bilgileri dosyası bir parola tutar. Parola ile kodun birebir birleştirilmesi başka bir dize tutar. Bir yönetim istemcisinin paketlenmiş yanıtı üçüncüsünü tutar. Yalnızca bir hata kaybolduğu için bir alanı değiştirmeden önce doğrulama yolunuzun hangisini beklediğini doğrulayın.

Statik ve dinamik: farklı zamanlama

Statik meydan okuma ilk kimlik bilgisi gönderilmeden önce bilinir, bu yüzden istemci onu önceden isteyebilir. Dinamik meydan okuma daha sonra gelir, bir alışveriş başladıktan sonra kimlik doğrulama akışı tarafından gönderilir ve konuşmanın ortasındaki bir isteği işleyebilen bir istemci gerektirir.

Birinin desteği diğerini vermez. Statik istem yapılandıran bir profil yönergesi sunucu tarafından başlatılan bir meydan okumayı uygulamaz ve dinamik istekleri işleyen bir ön uç yine de statik olanı göstermeyebilir. İsteği hangi tarafın başlattığını okumak, onları ayırmanın en hızlı yoludur.

Gözetimsiz çalışma, bunun arayüz sorunu değil tasarım sorunu hâline geldiği yerdir. Kaydedilmiş bir kod, önyükleme zamanı için kalıcı bir kimlik bilgisi değildir ve saatler sonra yeniden bağlanmak taze giriş gerektirir; ancak kurulum operatörün bilerek etkinleştirdiği bir belirteç düzeni destekliyorsa bu değişir.

Yalnızca iletişim kutusunu değil, başarıyı ve başarısızlığı da test edin

Testin iki yarısını da çalıştırın. Geçerli yanıtlı doğru kimlik bilgileri başarılı olmalıdır; kasıtlı olarak yanlış yanıtlı doğru kimlik bilgileri reddedilmelidir. İkisi de başarılı olursa istemci hiçbir şeyin doğrulamadığı bir giriş topluyor demektir ve iletişim kutusu bir denetim sanılmıştır. O tek test, herhangi bir profil incelemesinden daha çok kurulumu yakalar.

Ardından bağlantıyı yeniden bağlanmadan sonra, kayıtlı olmayan bir hesapla ve kullanıcılarınızın gerçekten çalıştırdığı istemci üzerinden yineleyin. İstemin görünmesi istemci davranışıdır; yanlış bir kodun reddedilmesi sunucunun bir şeyi uygulamasıdır.