OpenVPN klient sertifikatı olmadan: profil yox, server siyasəti

Sertifikat və açar sətirlərini silir, profili verirsiniz və bağlantı yenə də sertifikat xətası ilə uğursuz olur. Profil heç vaxt bu tələbi tətbiq edən şey deyildi. Server klient sertifikatının məcburi olub-olmadığını həll edir və heç bir klient tərəfi düzəliş bunu danışıqla ləğv etmir. Beləliklə, düzəliş server siyasətinin qəsdən dəyişdirilməsidir və ondan asılı olan hər şey eyni keçiddə yenilənməlidir.

Profil siyasət deyil

Community OpenVPN 2.6 klient sertifikatları məcburi şəkildə gəlir, çünki verify-client-cert defolt olaraq require-dir. Onu none-ə qoymaq sertifikat tələbini dayandıran və klient autentifikasiyasını serverin artıq işlətdiyi istənilən istifadəçi adı və parol quruluşuna həvalə edən şeydir. Köhnə təlimatlar client-cert-not-required-ə əl atır, eyni fikrin köhnə yazılışıdır, ona görə quraşdırılmış versiyanızın sənədləşdirdiyi direktivdən istifadə edin. Hər halda dəyişiklik serverdə baş verir və heç bir klient profili onu həyata keçirə bilməz.

Aşağıdakı fraqment server tərəfindəki bütün dəyişiklikdir və tək başına işlək autentifikasiya konfiqurasiyası deyil. verify-client-cert none sertifikat tələbini aradan qaldırır, username-as-common-name isə hesab adını sonrakı geri çağırışların və hər klient üçün faylların gördüyü kimliyə çevirir. Heç bir sətir parolu yoxlamır, ona görə hələ də bir yoxlayıcı mövcud olmalıdır.

verify-client-cert none
username-as-common-name

Bu yoxlayıcı bir plagin və ya auth-user-pass-verify ilə idarə olunan skriptdir və yuxarıdakı sətirlərdən hər hansı birinin məna kəsb etməsindən əvvəl yerində olmalıdır. Sıranı tərsinə çevirmək sizə serverin nə sertifikat istədiyi, nə də hesab yoxladığı bir pəncərə verir.

Serveri hələ də nə yoxlayır

Klient sertifikatından imtina etmək TLS-dən imtina etmək deyil. Server öz sertifikatını və açarını saxlayır, klient isə onu saxtakar ilə danışmaqdan saxlayan CA etimadını və host adı yoxlamalarını saxlayır. Klientin artıq sertifikatı yoxdur deyə remote-cert-tls server-i və ya CA paketini silmək geniş yayılmış və ciddi səhv oxunuşdur və 2.6 istinadı iki istiqamətin müstəqil olduğunu açıq şəkildə bildirir. Biri serveri klientə sübut edir; digəri klienti serverə sübut edir.

Profil həmçinin tls-auth və ya tls-crypt bloku daşıya bilər. Bu, öz paylanma və rotasiya dövrü olan ümumi idarəetmə kanalı açarıdır, ona görə sertifikat və ya açar sətirləri olmayan fayl avtomatik olaraq dərc etmək üçün təhlükəsiz deyil. Onu oxuyana qədər sirr kimi qəbul edin.

İşlək profildən kopyalanmış sertifikat faylı tək başına heç nə sübut etmir; sahiblik ona uyğun gələn şəxsi açarı saxlamaq deməkdir və sertifikatla autentifikasiya edən quraşdırma bunu yoxlayır. Sertifikat ehtiva edən fayl onunla autentifikasiya edə bilən fayl deyil.

Yoxlayıcı nə etməlidir

Sertifikat tələbi aradan qaldırıldıqdan sonra hər şey yoxlayıcıdan asılıdır: bir plagin və ya auth-user-pass-verify ilə idarə olunan skript. O, etibarsız kimlik məlumatlarını rədd etməli, deaktiv və ya uyğun olmayan hesabları rədd etməli və backend-inə çata bilmədikdə qapalı şəkildə uğursuz olmalıdır. username-as-common-name çox vaxt yanaşı aktivləşdirilir və sonrakı geri çağırışların və hər klient üçün konfiqurasiya fayllarının gördüyü kimliyi dəyişir. O, parolu yoxlamır və uyğun olmayan hesabı uyğun etmir. Bunlar ayrı işlərdir və onları qarışdırmaq miqrasiyanın xoşbəxt yol testini keçib ilk real hadisəsində uğursuz olmasının yoludur.

Mənfi halları müsbət hal qədər diqqətlə sınayın. Parol sorğusu göstərən profil yalnız klientin sorğu çəkə bildiyini sübut edir, yanlış parolu qəbul edən server isə qat-qat pis bir şeyi sübut edir. Test dəstinə yalnız pis parol deyil, deaktiv hesab və vaxtı keçmiş kimlik məlumatı da əlavə edin.

Siyasəti, profili və xəritələməni birlikdə dəyişin

Üç şeyi əlaqələndirin: server direktivi, klient profili və hər klient üçün kimlik xəritələməsi. Onları ayrı-ayrılıqda dəyişin və klientlər yoxlamadan əvvəl uğursuz olur, ya da administratorun gözləmədiyi adla qoşulur, bu isə daha pisdir, çünki uğur kimi görünür. Yanlış kimlik altında uğurlu bağlantını fərq etmək uğursuz olandan daha çətindir.

Bu yol üçün iki test hesabı saxlayın, biri etibarlı, biri məlum pis, və yoxlayıcıda hər hansı dəyişiklikdən sonra hər ikisini istifadə edin. Etibarlı hesab xoşbəxt yolu və kimlik xəritələməsini sübut edir; pis olan rəddin hələ də işlədiyini sübut edir. Heç bir test uyğunluq qaydaları haqqında sizə heç nə demir, ona görə quraşdırmanın belə qaydaları varsa, siyasət səbəblərinə görə rədd edilməli olan hesab əlavə edin. Hər dəyişiklikdən sonra üçünü də işə salın, çünki hər şeyi qəbul etməyə başlayan yoxlayıcı işlək giriş kimi görünür.

Serverin həqiqətən hansı autentifikasiya üsullarını qəbul etdiyini qeyd edin, profilin təklif etdiyini deyil. Bu qeyd insanların daim verdiyi suala cavab verir: bu xidmətə kim qoşula bilər. O, həm də növbəti administratoru üstələyir, əks halda o bunu paket tutmasından yenidən kəşf edəcək.