Pa ffeil CA sy'n mynd mewn proffil OpenVPN dim ond â chyfrinair?

Ewch drwy bedwar cwestiwn mewn trefn ac mae'r deialog CA yn peidio â bod yn amwys. Pa ddeunydd a gyhoeddodd y gweithredwr mewn gwirionedd, beth mae'r proffil yn ei gynnwys yn barod, pa faes sy'n gofyn, a beth sy'n digwydd ar ôl i'r ffeil lwytho? Stopiwch ar y cwestiwn cyntaf na allwch ei ateb o gyfarwyddiadau'r gweithredwr ei hun, oherwydd dyfalu heibio iddo yw'r ffordd y mae tystysgrif CA gyhoeddus yn cael ei pharu ag allwedd breifat na ddylai fod wedi gadael y gweinydd erioed.

Mae'r drefn yn bwysig: dim ond ar ôl i chi wybod pa ddeunydd ddylai fodoli y mae'r ddau gwestiwn olaf yn gwneud synnwyr.

Dechreuwch gyda'r hyn mae'r proffil yn ei gario'n barod

Agorwch y proffil mewn golygydd testun a chwiliwch am floc ca cyn i chi chwilio am ffeil. Mae bloc ca mewnol sy'n dal CA cyhoeddus y gweithredwr yn golygu bod y proffil yn hunangynhwysol, ac efallai bod cleient sy'n dal i ofyn am ffeil CA yn darllen proffil gwahanol neu fewnforiad anghyflawn. Os oes gan y proffil linell ca yn hytrach sy'n pwyntio at lwybr, mae'r llwybr hwnnw'n gymharol â chyfeiriad gwaith y cleient mewn rhai integreiddiadau ac yn absoliwt mewn eraill. Nodwch pa ffurf sydd gennych cyn newid unrhyw beth.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Gwiriwch y pecyn a ddanfonwyd am y ffeiliau y mae'r proffil yn cyfeirio atynt: tystysgrif CA, weithiau tystysgrif cleient ac allwedd ar wahân, ac o bosibl ffeil tls-auth neu tls-crypt. Mae proffil sy'n cyfeirio at bedair ffeil ac yn cyrraedd gyda dwy yn anghyflawn, ac nid yw unrhyw faint o bwyntio at feysydd yn trwsio hynny. Gofynnwch i'r gweithredwr am y darn sydd ar goll yn lle rhoi tystysgrif sydd gennych ar hap.

Gwahanwch bedwar math o ddeunydd

Mae tystysgrif CA yn ddeunydd cyhoeddus a ddefnyddir i wirio hunaniaeth y gweinydd. Mae tystysgrif cleient yn adnabod y defnyddiwr neu'r ddyfais i'r gweinydd. Mae allwedd breifat yn hanner cyfrinachol y dystysgrif cleient honno, ac ni ddylai fod yn allwedd arwyddo'r CA nac yn allwedd gweinydd byth. Mae deunydd tls-auth neu tls-crypt yn gyfrinach a rennir ar wahân sy'n diogelu'r sianel reoli. Nid yw'r pedwar hyn yn gyfnewidiol, ac mae pwyntio'r maes CA at dystysgrif cleient yn cynhyrchu methiant gwirio sy'n edrych fel problem ymddiriedaeth.

Dilysiad dim ond â chyfrinair yn newid pa un o'r pedwar sydd ei angen arnoch, nid beth maen nhw'n ei olygu. Gyda auth-user-pass a remote-cert-tls server mae'r cleient yn dal i wirio'r gweinydd yn erbyn CA, a dyna pam mae'r maes CA yn ymddangos hyd yn oed pan nad oes tystysgrif cleient. Polisi'r gweithredwr sy'n penderfynu a oes angen tystysgrif cleient hefyd, ac ni all unrhyw ddeialog ddweud hynny wrthych.

Pwyntiwch y cleient at y ffeil ymddiriedaeth

Dewiswch y ffeil dystysgrif CA ei hun, nid y ffolder sy'n ei chynnwys ac nid pecyn .p12 sy'n dal hunaniaeth cleient. Ar Windows mae cystrawen y llwybr a'r dewisydd ffeil yn ymddwyn yn wahanol i'r enghreifftiau Linux yn y rhan fwyaf o ganllawiau, felly defnyddiwch yr hyn a dderbynnir gan y cleient sydd wedi'i osod a chadarnhewch fod y cyfrif sy'n ei redeg yn gallu darllen y ffeil. Mae problem caniatâd a ffeil sydd ar goll yn edrych yr un fath yn y deialog ond yn cynhyrchu llinellau log gwahanol. Ar ôl dewis, ailagorwch osodiadau'r proffil i gadarnhau bod y cleient wedi cadw'r dewis.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Os yw'r cleient yn cefnogi blociau mewnol, ffefrir proffil mewnol y gweithredwr dros un a gynullwyd â llaw. Mae deunydd mewnol yn teithio gyda'r proffil ac yn goroesi ailfewnforio, tra bod llwybr absoliwt yn torri'r eiliad y bydd y proffil yn symud i beiriant arall.

Darllenwch y gwall nesaf, nid yr un

Pwrpas cyflenwi'r CA cywir yw newid y gwall, nid ei wneud i ddiflannu. Mae methiant hunaniaeth gweinydd ar ôl i'r CA lwytho yn golygu nad oedd y dystysgrif yn cyfateb i'r enw a ddisgwylid nac i ddisgwyliad remote-cert-tls, sy'n atgyweiriad gwahanol i wrthodiad cyfrinair. Mae gwrthodiad cyfrinair yn golygu bod haen TLS wedi llwyddo a bod y credyd yn anghywir. Cadwch y neges newydd gyntaf; honno sy'n ddefnyddiol.

Mae cleient sy'n cysylltu ond na all gyrraedd unrhyw beth wedi mynd heibio ymddiriedaeth yn gyfan gwbl ac mae nawr yn wynebu cwestiwn llwybro neu DNS.

Peidiwch byth â diffodd y gwirio i fynd heibio'r deialog hwnnw. Nid oes gan gleient sy'n derbyn unrhyw dystysgrif unrhyw reswm i ofyn am CA, ac nid y twnnel y mae'n ei adeiladu yw'r un a fwriadwyd gan y gweithredwr.