أي ملف CA يدخل في ملف تعريف OpenVPN يعتمد على كلمة المرور فقط؟

اعمل على الأسئلة الأربعة بالترتيب، فيكفّ مربّع حوار CA عن كونه غامضاً. أي مواد أصدرها المشغّل فعلاً، وما الذي يحتويه ملف التعريف بالفعل، وأي حقل يسأل، وما الذي يحدث بعد تحميل الملف؟ توقف عند أول سؤال لا تستطيع الإجابة عنه من تعليمات المشغّل نفسها، لأن التخمين عند تلك النقطة هو ما يجعل شهادة CA عامة تُقرن بمفتاح خاص لم يكن ينبغي أن يغادر الخادم أبداً.

الترتيب مهم: لا معنى للسؤالين الأخيرين إلا بعد أن تعرف أي المواد يُفترض وجودها.

ابدأ بما يحمله ملف التعريف أصلاً

افتح ملف التعريف في محرّر نصوص وابحث عن كتلة ca قبل أن تبحث عن ملف. كتلة ca المضمّنة التي تحمل شهادة CA العامة للمشغّل تعني أن ملف التعريف مكتفٍ بذاته، وأن العميل الذي ما زال يطلب ملف CA قد يقرأ ملف تعريف آخر أو استيراداً ناقصاً. وإذا كان في ملف التعريف سطر ca يشير إلى مسار، فإن ذلك المسار نسبي إلى دليل عمل العميل في بعض التكاملات ومطلق في غيرها. سجّل أي صيغة لديك قبل أن تغيّر أي شيء.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

تحقّق من الحزمة المسلّمة بحثاً عن الملفات التي يشير إليها ملف التعريف: شهادة CA، وأحياناً شهادة عميل ومفتاح منفصلان، وربما ملف tls-auth أو tls-crypt. ملف تعريف يشير إلى أربعة ملفات ويصل بملفين فقط يكون ناقصاً، ولا يصلح ذلك أي توجيه للحقول. اطلب من المشغّل القطعة المفقودة بدلاً من استبدالها بشهادة تصادف أنك تملكها.

افصل بين أربعة أنواع من المواد

شهادة CA مادة عامة تُستخدم للتحقق من هوية الخادم. شهادة العميل تعرّف المستخدم أو الجهاز للخادم. المفتاح الخاص هو النصف السري من شهادة العميل تلك، ويجب ألا يكون أبداً مفتاح توقيع CA أو مفتاح خادم. مادة tls-auth أو tls-crypt سرّ مشترك منفصل يحمي قناة التحكم. هذه الأربعة ليست قابلة للتبادل، وتوجيه حقل CA إلى شهادة عميل ينتج فشل تحقّق يبدو كمشكلة ثقة.

المصادقة بكلمة مرور فقط تغيّر أيّاً من الأربعة تحتاج، لا معناها. مع auth-user-pass و remote-cert-tls server ما زال العميل يتحقق من الخادم مقابل CA، ولهذا يظهر حقل CA حتى عندما لا توجد شهادة عميل. سياسة المشغّل هي التي تحدد ما إذا كانت شهادة العميل مطلوبة أيضاً، ولا يستطيع أي مربّع حوار أن يخبرك بذلك.

وجّه العميل إلى ملف الثقة

اختر ملف شهادة CA نفسه، لا المجلد الذي يحتويه ولا حزمة .p12 التي تحمل هوية عميل. على Windows تختلف صيغة المسار واختيار الملف عن أمثلة Linux في معظم الأدلة، فاستخدم ما يقبله العميل المثبّت وتأكّد أن الحساب الذي يشغّله يستطيع قراءة الملف. مشكلة الأذونات والملف المفقود تبدوان متطابقتين في مربّع الحوار لكنهما تنتجان سطور سجل مختلفة. بعد الاختيار، أعد فتح إعدادات ملف التعريف لتتأكد من أن العميل احتفظ بالاختيار.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

إذا كان العميل يدعم الكتل المضمّنة، ففضّل ملف التعريف المضمّن الخاص بالمشغّل على ملف مجمّع يدوياً. المواد المضمّنة تسافر مع ملف التعريف وتنجو من إعادة الاستيراد، بينما ينكسر المسار المطلق لحظة انتقال ملف التعريف إلى جهاز آخر.

اقرأ الخطأ التالي، لا الخطأ نفسه

الغرض من توفير CA الصحيح هو تغيير الخطأ، لا جعله يختفي. فشل هوية الخادم بعد تحميل CA يعني أن الشهادة لم تطابق الاسم المتوقع أو توقّع remote-cert-tls، وهذا إصلاح مختلف عن رفض كلمة المرور. رفض كلمة المرور يعني أن طبقة TLS نجحت وأن بيانات الاعتماد خاطئة. احتفظ بأول رسالة جديدة؛ فهي المفيدة.

العميل الذي يتصل لكنه لا يصل إلى أي شيء تجاوز الثقة تماماً ويواجه الآن سؤال توجيه أو DNS.

لا تعطّل التحقّق أبداً لتجاوز مربّع الحوار ذلك. العميل الذي يقبل أي شهادة ليس لديه سبب لطلب CA، والنفق الذي يبنيه ليس النفق الذي قصده المشغّل.