OpenConnect'dagi --key-password sizning VPN hisobingiz parolimi?

Variant nomini so'zma-so'z o'qing. U kalitni nomlaydi va ochilayotgan fayl autentifikatsiya qilinayotgan hisob bilan aralashtirilganda chalkashlik boshlanadi. Hisob parolini shu variantga qo'ying va mijoz u bilan kalit faylini ochishga urinadi, bu VPN kirishiga hech qanday aloqasi bo'lmagan sabablarga ko'ra muvaffaqiyatsiz bo'ladi.

Chalkashtiradigan jihat — bitta ulanish ikkala sirni ham qonuniy ravishda talab qilishi mumkin. Mijoz sertifikati bilan autentifikatsiya shifrlangan kalitni talab qilishi mumkin va o'sha shlyuz sertifikat qabul qilingandan keyin ham foydalanuvchi autentifikatsiyasi almashinuvini o'tkazishi mumkin. Hech bir sir boshqa bosqichni qondirmaydi va biridagi nosozlik tashqaridan ikkinchisidagi nosozlikka juda o'xshaydi.

Ikki sir, ikki xil ish

Rollarni faylga kirish va tarmoqqa ruxsat sifatida o'qing. Kalit paroli --sslkey da ko'rsatilgan PEM shaxsiy kalitini shifrlaydi, shunda TLS mijoz sertifikati taqdim etilishi mumkin. Bu shifr ochish mahalliy ravishda, mijoz jarayoni ichida sodir bo'ladi va parol iborasining o'zi hech qachon shlyuzga bormaydi. Shlyuz sertifikat va kalit bilan qilingan imzoni ko'radi. OpenConnect qo'llanmasi --key-password ni --certificate va --sslkey yonida saqlaydi, TPM da saqlangan kalitdan foydalana oladigan buildlarda esa xuddi shu variant uning o'rniga omborning ildiz kaliti parolini olib yuradi.

Hisob paroli boshqa turdagi. U autentifikatsiya almashinuviga kiradi: foydalanuvchi nomi va parol shakli, token, SAML aylanishi yoki shlyuz e'lon qiladigan qandaydir kombinatsiya. Ba'zi joylashtirishlar sertifikat yagona omil bo'lganda uni umuman so'ramaydi, ba'zilari sertifikatdan keyin ham so'raydi, chunki sertifikat qurilmani, hisob esa shaxsni isbotlaydi.

Ikkalasini aralashtirish chalg'ituvchi xatolarga olib keladi. Kirishni rad etuvchi shlyuz odatda autentifikatsiya nosozligini xabar qiladi, noto'g'ri kalit paroli esa odatda ertaroq, TLS qatlami kalit faylini o'qiy olmaganda muvaffaqiyatsiz bo'ladi. Bular turli bosqichlar va turli yechimlar, nomlar esa shu qadar o'xshashki odamlar ularni almashtirib, keyin noto'g'ri jurnalni ta'qib qiladi. Har qanday sozlamani o'zgartirishdan oldin qaysi so'rov chiqqanini qayd eting, chunki so'rov matni sizdagi eng arzon diagnostika.

Kalit paroli qachon haqiqatan kerak

Variant faqat ochiladigan shifrlangan kalit bo'lganda ma'noga ega. Agar foydalanuvchi nomi va parol bilan va mijoz sertifikatisiz ulanadigan bo'lsangiz, --key-password ning ta'sir qiladigan narsasi yo'q va uni qo'shish hech narsani o'zgartirmaydi. Agar --certificate va --sslkey bilan ulanadigan bo'lsangiz, parol iborasi umuman so'raladimi-yo'qmi, buni kalit faylining o'z formati hal qiladi.

Bitta buyruqda ikkala sir boshqariladigan muhitlarda odatiy: shifrlangan kalitda qurilma sertifikati va har bir foydalanuvchi uchun kirish. To'g'ri tartib — mijozga kalit parolini mahalliy so'rashga ruxsat berish, sertifikat qo'l berishini yakunlash, so'ngra shlyuzning hisob so'rovini alohida ko'rib chiqish. Ikkalasini bitta qayta ishlatiladigan skript bilan oldindan to'ldirishga urinish — chalkashlik odatda boshlanadigan joy.

Foydali diagnostika — nosozlik qachon sodir bo'lishini ko'rish. Agar mijoz har qanday tarmoq autentifikatsiyasi boshlanishidan oldin to'xtasa, kalit fayli, uning formati yoki parol iborasidan shubhalaning. Agar TLS seansi o'rnatilib, so'ngra shlyuz foydalanuvchini rad etsa, kalit o'z ishini qildi va muammo hisob almashinuvida.

Ikkala sirni shell tarixidan uzoqda saqlang

Buyruq qatori argumentlarini boshqa mahalliy foydalanuvchilar jarayonlar jadvali orqali o'qiy oladi va ular ko'pincha shell tarixida, skriptlarda va qo'llab-quvvatlash yozuvlarida qoladi. OpenConnect hisob parolini standart kiritishdan --passwd-on-stdin bilan o'qiy oladi, kalit paroli esa argument o'rniga interaktiv so'rov yoki agentdan kelishi mumkin. Hech bir mexanizm sirni o'z-o'zidan xavfsiz qilmaydi, ammo ikkalasi ham uni eng ochiq joylardan uzoqda saqlaydi.

Fayllar ham xuddi shunday e'tiborga loyiq. Parol iborasini vaqtinchalik faylga yozuvchi skript uni cheklangan ruxsatlar bilan yaratishi, chiqishda o'chirishi va hamma o'qiy oladigan papkalardan qochishi kerak. Sessiyadan keyin vaqtinchalik papkada qolgan parol iborasi — yaratishni unutgan nusxangiz. Muhit o'zgaruvchilari bola jarayonlarga ko'rinadi va ko'pincha disk raskadrovka vositalari tomonidan chop etiladi, shuning uchun ular argumentlarga nisbatan bepul yaxshilanish emas.

Diagnostika chiqishi — jim sizib chiqish. Yuqori batafsil darajada mijoz jurnallari so'rov tanasi yoki variant qiymatlarini ko'rsatishi mumkin, nusxalangan terminal yozuvini chiptaga qo'yish esa oson, shuning uchun ulashishdan oldin chiqishni o'qing.

O'lik ish stoli tugmasi — boshqa nosozlik

Aylanma ko'rsatib, keyin hech narsa qilmaydigan ish stoli VPN yozuvi odatda umuman autentifikatsiya muammosi emas. Tugma sizning nomingizdan OpenConnect ishga tushiruvchi tarmoq menejeri, ishlab chiqaruvchi appleti yoki plaginga tegishli, yetishmayotgan komponent yoki o'qib bo'lmaydigan profil esa aynan shu belgini keltirib chiqarishi mumkin. Tugma qaysi jarayonni ishga tushirishini aniqlang va hisob ma'lumotlariga tegishdan oldin uning xatosini o'qing.

GUI ulanishdan bosh tortganda sertifikat tekshiruvini yumshatish yoki tekshiruvni o'chirish vasvasasi bor. Bu mijoz integratsiyasi nosozligini xavfsizlik pasayishiga aylantiradi va ishga tushirish muammosini kamdan-kam hal qiladi. Server tekshiruvini daxlsiz qoldiring, profil mo'ljallangan shlyuzga ishora qilishini tasdiqlang va GUI kutgan yordamchi haqiqatan o'rnatilganini tekshiring.

Qisqa tekshiruv ro'yxati holatlarni ajratadi. Har qanday paket chiqishidan oldingi mahalliy nosozlik kalit yoki mijoz o'rnatilishiga ishora qiladi. TLS seansidan keyingi shlyuz rad etishi hisob almashinuviga ishora qiladi. Mijozni hech qachon ishga tushirmaydigan tugma ish stoli integratsiyasiga ishora qiladi. Uch xil nosozlik, ulardan biri noto'g'ri katakka qo'yish arafasida bo'lgan parolingiz.