Token varken OpenVPN neden hâlâ özel anahtar dosyası istiyor

Token'ı takıyorsunuz, sağlayıcının kendi aracı onu görüyor, ama VPN istemcisi hâlâ özel anahtar dosyası istiyor. Bu istem, token'ın desteklenmediğinin kanıtı değildir. Genellikle profil, istemciye token'ı kullanmasını hiç söylemediği için varsayılan olarak beklediği sertifika ve anahtar girdilerine geri döndüğü anlamına gelir.

Bu geri dönüş durmadan önce iki ayrı değerin doğru olması gerekir: token'ı sunan sağlayıcı ve içindeki sertifikanın kimliği. Bunlar farklı seçeneklerle verilir ve karıştırılmaları kolaydır.

İstemci dosya istiyor çünkü profil öyle diyor

Varsayılan profil bir sertifika dosyası ile bir özel anahtar dosyası ya da tek bir PKCS#12 paketi bekler. Bu girdiler yoksa istemcinin yükleyecek bir şeyi yoktur ve eksik dosya durumundakine çok benzer davranır, bu yüzden belirti eksik bir mekanizma değil bozuk bir yol olarak okunur. PKCS#11 yolu bu girdileri tamamlamak yerine değiştirir, dolayısıyla hâlâ bir anahtar dosyası adlandıran profil dosyayı kullanmaya devam eder. Dosya girdilerini bilerek kaldırın ve token'ın iki yarıyı da sağlamasına izin verin.

Sağlayıcı seçeneği bir ara katman yazılımı kitaplığını adlandırır, bir aygıtı ve bir sertifikayı değil. Paketlenmiş bir istemcinin o kitaplığı yükleyip yükleyemeyeceği nasıl derlendiğine bağlıdır; bazı derlemelerin açtığı, bazılarının dışarıda bıraktığı isteğe bağlı p11-kit desteği de buna dahildir. Genel bir eğitim, paketinizin hangi düzene sahip olduğunu söyleyemez.

Seri hale getirilmiş kimlik farklı bir değerdir

Sertifika kimliği, keşif sürecinin ürettiği uzun bir seri hale getirilmiş dizedir ve kitaplık yolu, token PIN'i ya da VPN hesap adı değildir. Sıklıkla tırnak gerektiren karakterler içerir ve tırnaksız bir değer, açık bir hata olmadan kesilebilir veya yanlış okunabilir. Token'ın ne sunduğunu listelemek için istemcinin kendi kimlik keşfi seçeneğini kullanın, sonra amaçlanan girdiyi tam olarak kopyalayın. Listedeki ilk nesneyi seçmek, bir aygıtın sonunda yanlış sertifikayı sunmasının yoludur.

Keşif çıktısı önceki bir soruyu da yanıtlar: token o sağlayıcı üzerinden hiç görünüyor mu. Hiçbir şey listelemiyorsa sorun VPN istemcisinin üstündedir ve ara katman yazılımına aittir.

Bağlanan süreç token'a ulaşabilmelidir

Masaüstü oturumunuzda çalışan bir token işlemi, bir sistem hizmeti hakkında hiçbir şey kanıtlamaz. Hizmet başka bir kullanıcı olarak, farklı bir bağlama ad alanında, sağlayıcı kitaplığını dışarıda bırakan bir modül yoluyla ya da aygıt düğümünü açma izni olmadan çalışıyor olabilir. Bağlantıyı gerçekte hangi sürecin tuttuğunu belirleyin ve o bağlamdan test edin.

PIN işleyişi kendi kararını hak eder. Referans uygulama bir PIN önbelleği ve korumalı bir kimlik doğrulama yolu sunar; ikisi de operatörün yeni bir iş akışı icat etmek yerine birini seçebilmesi için vardır. Gözetimsiz bir gereksinimi paylaşılan bir profil içinde düz metin PIN'e dönüştürmeyin, çünkü bu token'ın korumasını kolaylıkla değişir. Token'ın anahtar dışa aktarımını yasakladığı yerde imzalama aygıtta gerçekleşir ve PIN tek yerel sırdır. Ona bunun gerektirdiği özenle davranın.

Token'ın yerini almadığı şey

Token, istemcinin kimliğini dağıtılan politika altında doğrular ve istemcinin sunucu üzerindeki denetimlerinin yerini almaz. Başarıyla seçilen bir sertifika, beklenmedik bir geçit sertifikasını kabul etme izni değildir ve iki doğrulama zıt yönleri korur.

Kayıt hâlâ veren tarafta gerçekleşmelidir ve geçit hâlâ kimliği yetkilendirmelidir.

Kabul için aşamaları ayırın: sağlayıcı yüklenir, amaçlanan sertifika bulunur, özel anahtar yerel yetkilendirmeyle kullanılır, VPN kimlik doğrular ve kaynak işlemi başarılı olur. Parolalar arasında dönüp kripto yığınını yeniden kurmak yerine başarısız olan ilk aşamada durun.

Sürümleri, modül sahipliğini, seçilen ortak tanımlayıcıyı ve temizlenmiş hataları kaydedin; PIN'leri ve kimlik bilgisi paketlerini bu kaydın dışında tutun.