Özü imzalanmış müştəri sertifikatı? VPN serveri onu yenə də qəbul etmir

Operator ünvan və istifadəçi adı göndərir, müştəri isə CA faylı, sertifikat və açar istəyir. Bu üçünü yerli olaraq yaratmaq növbəti aşkar addım kimi görünür. Nəticədə yalnız öz maşınınızın inandığı bir sertifikat yaranır. Serverin etibarı sizin nəzarət etmədiyiniz CA-ya bağlandığı üçün əl sıxma başlamadan bitir.

Etibar profilinizdə deyil, serverdə yaşayır

Sertifikat autentifikasiyası bir müqayisədir. Müştəri sertifikat təqdim edir; şlüz onun konfiqurasiyasındakı CA-lardan biri tərəfindən imzalanıb-imzalanmadığını yoxlayır.

Profiliniz müştərinin serveri yoxlamaq üçün istifadə etməli olduğu CA faylını göstərir. O, serverin sizi yoxlaması üçün istifadə etməli olduğu CA-nı göstərə bilməz. Konfiqurasiyanın bu yarısı sizin deyil.

Özünüz düzəltdiyiniz sertifikat texniki cəhətdən qüsursuz olsa belə bu müqayisədən keçmir. Onun etibarlı imzası, subyekti və tarixləri var, lakin emitent şlüzün heç vaxt eşitmədiyi bir CA-dır. Xəta əl sıxma zamanı, server artıq sertifikat istədikdən sonra görünür. Müştəri profilində heç nə cavabı dəyişə bilməz.

Niyə özü imzalanmış sertifikat onu əvəz edə bilməz

Özü imzalanmış sertifikat öz açarı ilə imzalanır. İmza eyni fayla qarşı yoxlanılır, bu da onu öz-özünə tutarlı və başqasının şlüzü üçün etibarsız edir.

Şlüz sertifikatın daxilən tutarlı olub-olmadığını soruşmur. Etibarlı emitentin onu imzalayıb-imzalamadığını soruşur.

Buna görə xəta mesajları çaşdırıcıdır. Müştəri server problemi kimi səslənən yoxlama xətası bildirə bilər, halbuki server naməlum emitent qeyd edir. Hər ikisi eyni uyğunsuzluğu əks uclardan təsvir edir.

CSR yolu şəxsi açarınızı saxlayır

İşin çoxunu hələ də yerli olaraq görə bilərsiniz. Açar cütü yaradın, açıq yarısı ətrafında sertifikat imzalama sorğusu qurun və həmin sorğunu operatora göndərin. Maşınınızdan yalnız sorğu çıxır. Şəxsi yarısı yaratdığınız yerdə qalır.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Operator sorğunu öz CA-sı ilə imzalayır və sertifikat qaytarır. Şəxsi açarınız heç vaxt səyahət etmədi və nəticə şlüzün etibar etdiyi lövbərə zəncirlənir.

İdarə olunan xidmətlər çox vaxt CSR-i atlayır və bütün paketi verir. Bu, eyni provayder artıq tuneli sonlandırdıqda və CA-nı saxladıqda məqbul bir güzəştdir. Açarın saxlanması onu saxlamaqla yaxşılaşmır, çünki provayder istənilən vaxt yenisini kəsə bilər.

Paketlər quraşdırılmır, idxal olunur

Təhlükəsizlik adlı satıcı paketləri çox vaxt OpenVPN profilləridir. Onlar konfiqurasiya və bəzən sertifikatlar ehtiva edir və heç nə quraşdırmır. Faylı protokolu danışan müştəriyə idxal edin və bağlantı konfiqurasiya olunmuş olur.

Davranış qaydası məzmundan irəli gəlir. Profil şəxsi açar ehtiva edirsə, bu bir etibarnamədir və parol kimi qayğıya layiqdir: e-poçt yox, repozitoriya yox, paylaşılan endirmə qovluğu yox. Operator ca.crt, client.crt və client.key ayrıca göndərdikdə, onları məhdudlaşdırıcı icazələrlə birlikdə saxlayın və profili onlara yönəldin.

Operatorun buraxa biləcəyi yoxlamaları əlavə edin

Router tərəfindən yaradılan profildə bəzən həmkar yoxlaması olmur. remote-cert-tls server həmkar sertifikatının server autentifikasiyası məqsədini daşımasını tələb edir, beləliklə müştəri sertifikatı server kimi təkrar oynadıla bilməz. Bu bir sətir aydın əsası olan kiçik bir dəyişiklikdir.

verify-x509-name operator gözlənilən subyekti və ya SAN-ı göstərə bildikdə daha irəli gedir. Hər ikisi profilə kiçik əlavələrdir və hər ikisi müdafiə oluna bilər. İdxal etməzdən əvvəl aldığınızı yoxlayın.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Yoxlama parametrləri qırılmış zəncir üçün təmir deyil. Emitent səhvdirsə, cavab düzgün CA-dan sertifikatdır, yoxlamanı söndürən bayraq deyil. Yoxlamanı söndürmək autentifikasiya uğursuzluğunu aşkarlanmayan bir uğursuzluğa çevirir.

Bir paket istəyin: PEM formatında orqan sertifikatı, həmin orqanın imzaladığı müştəri sertifikatı, özünüz yaratdığınız və ya etibar etdiyiniz kanaldan gələn açar və sertifikatın təqdim etməli olduğu dəqiq server adı. Bitmə tarixini də eyni mesajda qeyd edin, çünki vaxtı keçmiş sertifikat aylar sonra şəbəkə nasazlığı kimi görünür.