Windows-da OpenVPN 3 və Connect-də cryptoapicert niyə işləmir

İşləyən OpenVPN 2 profilini daha yeni Windows müştərisinə köçürürsünüz, və köhnə müştərinin özü tapdığı sertifikat artıq təklif edilmir. Bunu işlək edən sətir Community 2 müştərisinə aid Windows-a xas seçicidir, daha yeni tətbiq isə başqa etimad yolu olan fərqli proqramdır. Profil həmin bir sətirdən başqa dəyişməyib və fərqi görməyi çətinləşdirən də elə budur.

Həmin hesabatda üç qat qarışdırılır: Community müştərisi, əsas kitabxana və kimsənin quraşdırdığı ön hissə. Onlardan yalnız biri bu direktivi başa düşüb.

Seçim hansı mühitdə varsa, orada nə deməkdir

Windows-da Community OpenVPN 2 müştərisində cryptoapicert faylda deyil, Windows sertifikat anbarında tapılmalı olan sertifikatı göstərir. Bu, Windows-a xas rahatlıqdır və işləyir, çünki həmin müştəri anbarı sadalamağı və əldə olunan açarı öz TLS yığınına verməyi bilir. Ona görə direktiv həmin müştərinin konfiqurasiya dilinin hissəsidir, OpenVPN protokolunun xassəsi deyil. Ötürmə formatında onu daşıyan heç nə yoxdur.

Eyni sətri başqa tətbiqə köçürsəniz, yeni proqramın analiz edə, nəzərə almaya və ya rədd edə biləcəyi bir sözü köçürmüş olursunuz. Direktiv protokol xüsusiyyəti deyil və bu direktiv hətta OpenVPN.

Əsas kitabxana yerinə nə təqdim edir

OpenVPN 3 Core digər tətbiqlərin daxil etdiyi kitabxanadır və xarici etimad məlumatlarını anbar axtarışı yerinə API vasitəsilə idarə edir. Daxil edən tətbiq sertifikat zəncirini təqdim edir və sonra kitabxanadan xarici açarla imzalamağı xahiş edir, kitabxana isə bunu etmək üçün tətbiqə geri müraciət edir. Bu daha ümumi dizayndır və ön hissənin hansı provayderlərin olduğuna qərar verdiyi anlamına gəlir. Kitabxananın öz seçim emalında cryptoapicert tətbiq olunmayan direktivlər arasında görünür ki, bu da məsuliyyətin belə bölünməsinə uyğundur.

Həmin geri çağırışların mövcudluğu o demək deyil ki, verilmiş paketlənmiş tətbiq cari istifadəçinin şəxsi anbarını sadalayır, müəyyən açar provayderini dəstəkləyir və ya smart-kart sorğusunu tamamlaya bilir. Bunlar ön hissənin xassələridir və hər biri ön hissə tərəfindən sənədləşdirilməlidir.

Windows ön hissəsi yerinə nə edir

OpenVPN Connect fərqli yol tutur: operator PKCS#12 faylını idxal edir ki, həmin fayl sertifikatla onun şəxsi açarını özündə saxlayır, bunu bu məqsədlə yaradılmış OpenVPN Certificate Store-a yerləşdirir, sonra xarici sertifikatı profilə təyin edir. Bu qəsdən edilən idxal addımıdır, şəxsi anbarda təsadüfən olanın avtomatik aşkarlanması deyil. Fərq o zaman önəmli olur ki, kimsə başqa məqsəd üçün quraşdırılmış sertifikatın sadəcə müştərinin siyahısında görünəcəyini güman edir.

İdxalın açar siyasətinə də nəticəsi var, çünki açarı P12 faylına ixrac etmək ixrac olunmayan açarın məhz qarşısını almaq üçün dizayn edildiyi şeydir. Bu konfiqurasiya deyil, siyasət məsələsidir və kimsə idxala cəhd etməzdən əvvəl cavabı haqq edir.

Açarın siyasətinə uyğun yol seçin

Etimad məlumatı ixrac oluna bilirsə və siyasət sənədləşdirilmiş idxala icazə verirsə, təşkilatın qorunan qeydiyyat prosesindən istifadə edin və müvəqqəti P12 ilə onun parolunu jurnallardan və skriptlərdən kənarda saxlayın. Açar heç vaxt smart-kartdan və ya qorunan provayderdən çıxmamalıdırsa, bu tələbi açıq şəkildə dəstəkləyən müştəri və provayder kombinasiyası seçin və ya quraşdırdığınız versiya üçün təchizatçıdan təsdiq alın. Heç bir budaq digərinin əvəzedicisi deyil.

Direktivi profilə geri əlavə etmək tətbiqin malik olmadığı inteqrasiyanı verə bilməz. Daha yeni müştəri versiyası da onu mütləq əlavə etmir, çünki qabiliyyət ön hissənin öz dizaynına aiddir.

Lokal açar işlədikdən sonra server yenə sertifikat kimliyini, zənciri və icazəni yoxlayır. İşlək lokal açar və qəbul edilmiş VPN kimliyi ayrı nəticələrdir və onları ayrı saxlamaq ön hissə məhdudiyyətinin zəifləmiş sertifikat siyasətinə çevrilməsinin qarşısını alır.