![openvpn:auth-user-pass 或(和?)密码?](https://linux22.com/image/570396/openvpn%EF%BC%9Aauth-user-pass%20%E6%88%96%EF%BC%88%E5%92%8C%EF%BC%9F%EF%BC%89%E5%AF%86%E7%A0%81%EF%BC%9F.png)
我正在 PfSense 2.0 上设置 OpenVPN,现在我想知道是否应该使用“auth-user-pass”选项,在 openssl 密钥上设置密码,或者两者兼而有之。
两者都需要除了有效证书之外的额外密码,但我不知道一种方法是否比另一种更安全。
PfSense 网络界面似乎仅直接支持“auth-user-pass”方法,因此使用密码意味着每个证书都需要额外的步骤(使用 openssl 命令添加密码)。
答案1
这两个不同的密码,虽然在用户看到的内容上相似,但它们保护的内容却完全不同。
私钥密码是用户私钥的解密密钥,为静态数据提供安全性。用户可以随意更改和删除它,只要她熟悉 x.509 证书和私钥处理。应该注意的是,在最好的情况下,作为 VPN 网关操作员的您不会知道用户的私钥及其密码,因为这些将由用户自己生成和维护。
auth-user-pass 指令用于查询 OpenVPN 访问的用户名/密码组合。它与 XAuth 对 IPSec 的作用类似 - 使用它,OpenVPN 可以与 RADIUS、LDAP 或 PAM 等外部身份验证服务集成。这能可以用来缓解“私钥被盗”事件,但更有可能的是,它最终成为大多数安装中唯一的身份验证方法,因此 OpenVPN 可以完全在没有客户端证书的情况下运行(使用客户端证书不需要选项),并为 VPN 拨号上网的用户提供一些单点登录功能。
其中一个选项是否比另一个“更好”,在很大程度上取决于您实际在做什么以及想要实现什么。