OpenVPN heb dystysgrif cleient: polisi'r gweinydd, nid proffil

Rydych yn dileu'r llinellau tystysgrif ac allwedd, yn trosglwyddo'r proffil, ac mae'r cysylltiad yn dal i fethu â gwall tystysgrif. Ni fu'r proffil erioed yn beth a oedd yn gorfodi'r gofyniad hwnnw. Y gweinydd sy'n penderfynu a yw tystysgrif cleient yn orfodol, ac nid oes unrhyw olygiad ar ochr y cleient yn negodi hynny i ffwrdd. Felly'r cywiriad yw newid polisi'r gweinydd, wedi'i wneud yn fwriadol, gyda phopeth sy'n dibynnu arno yn cael ei ddiweddaru yn yr un cynnig.

Nid y proffil yw'r polisi

Daw Community OpenVPN 2.6 â thystysgrifau cleient yn orfodol, oherwydd bod verify-client-cert yn rhagosod i require. Gosod i none sy'n atal y galw am dystysgrif ac yn rhoi dilysiad y cleient i ba bynnag drefniant enw defnyddiwr a chyfrinair y mae'r gweinydd eisoes yn ei redeg. Mae canllawiau hŷn yn cyrraedd am client-cert-not-required, sef sillafiad etifeddol yr un syniad, felly defnyddiwch y gyfarwyddeb y mae eich fersiwn gosodedig yn ei dogfennu. Naill ffordd neu'r llall, mae'r newid yn digwydd ar y gweinydd, ac ni all unrhyw broffil cleient ei gyflawni.

Y darn isod yw'r newid cyfan ar ochr y gweinydd, ac ar ei ben ei hun nid yw'n ffurfweddiad dilysu gweithredol. Mae verify-client-cert none yn tynnu'r gofyniad tystysgrif, tra bod username-as-common-name yn gwneud enw'r cyfrif yn unfathiaeth y mae galwadau'n ôl diweddarach a ffeiliau pob cleient yn ei gweld. Nid oes y naill linell na'r llall yn gwirio cyfrinair, felly mae'n rhaid i ddilyswr fodoli o hyd.

verify-client-cert none
username-as-common-name

Mae'r dilyswr hwnnw'n blugin neu'n sgript a yrru gan auth-user-pass-verify, ac mae'n rhaid iddo fod yn ei le cyn i'r naill linell uchod olygu unrhyw beth. Mae gwrthdroi'r drefn yn rhoi ffenestr i chi lle nad yw'r gweinydd yn gofyn am dystysgrif ac yn gwirio dim cyfrif.

Beth sy'n dal i ddilysu'r gweinydd

Nid yw gollwng tystysgrif y cleient yn gollwng TLS. Mae'r gweinydd yn cadw ei dystysgrif a'i allwedd, ac mae'r cleient yn cadw'r ymddiriedaeth CA a'r gwiriadau enw gwesteiwr sy'n ei atal rhag siarad ag un sy'n honni bod yn rhywun arall. Mae dileu remote-cert-tls server neu'r bwndel CA oherwydd nad oes gan y cleient dystysgrif mwyach yn gamddehongliad cyffredin a difrifol, ac mae'r cyfeirnod 2.6 yn eglur bod y ddwy gyfeiriad yn annibynnol. Mae un yn profi'r gweinydd i'r cleient; mae'r llall yn profi'r cleient i'r gweinydd.

Gall proffil hefyd gario bloc tls-auth neu tls-crypt. Mae honno'n allwedd sianel reoli a rennir â'i chylch dosbarthu a chylchdroi ei hun, felly nid yw ffeil heb linellau tystysgrif nac allwedd yn awtomatig yn ddiogel i'w chyhoeddi. Trowch hi fel cyfrinach nes i chi ei darllen.

Nid yw ffeil dystysgrif a gopïwyd o broffil gweithredol yn profi dim ar ei phen ei hun; mae meddiant yn golygu dal yr allwedd breifat sy'n cyd-fynd â hi, ac mae gosodiad sy'n dilysu â thystysgrif yn gwirio hynny. Nid yw ffeil sy'n cynnwys tystysgrif yn ffeil y gellir dilysu â hi.

Beth sydd raid i'r dilyswr ei wneud

Gyda'r gofyniad tystysgrif wedi'i dynnu, mae popeth yn gorffwys ar y dilyswr: pluign, neu sgript a yrru gan auth-user-pass-verify. Mae'n rhaid iddo wrthod manylion cyfrif annilys, gwrthod cyfrifon anabl neu anaddas, a methu ar gau pan na all gyrraedd ei backend. Mae username-as-common-name yn aml yn cael ei alluogi ochr yn ochr, ac mae'n newid yr unfathiaeth y mae galwadau'n ôl diweddarach a ffeiliau ffurfweddu pob cleient yn ei gweld. Nid yw'n gwirio cyfrinair, ac nid yw'n gwneud cyfrif anaddas yn addas. Gwaith ar wahân yw'r rhain, a chymysgu nhw yw sut y mae mudo yn llwyddo yn ei brawf llwybr hapus ac yn methu yn ei ddigwyddiad go iawn cyntaf.

Profwch yr achosion negyddol mor ofalus â'r un positif. Nid yw proffil sy'n dangos anogiad cyfrinair yn profi dim ond y gall y cleient dynnu anogiad, tra bod gweinydd sy'n derbyn y cyfrinair anghywir yn profi rhywbeth gwaeth o lawer. Ychwanegwch gyfrif anabl a manylion cyfrif sydd wedi dod i ben at y set brawf, nid cyfrinair gwael yn unig.

Newidiwch y polisi, y proffil a'r mapio gyda'i gilydd

Cydlynwch dri pheth: cyfarwyddeb y gweinydd, proffil y cleient, a'r mapio unfathiaeth pob cleient. Newidiwch nhw ar wahân a bydd cleientiaid yn methu cyn dilysu, neu'n cysylltu o dan enw na chyfyngodd y gweinyddwr, sy'n waeth oherwydd ei fod yn edrych fel llwyddiant. Mae cysylltiad sy'n llwyddo o dan unfathiaeth anghywir yn anoddach i'w sylwi na'r un sy'n methu.

Cadwch ddau gyfrif prawf ar gyfer y llwybr hwn, un dilys ac un hysbys wael, a defnyddiwch y ddau ar ôl unrhyw newid i'r dilyswr. Mae'r cyfrif dilys yn profi'r llwybr hapus a'r mapio unfathiaeth; mae'r gwael yn profi bod gwrthod yn dal i weithio. Nid yw'r naill brawf na'r llall yn dweud unrhyw beth wrthych am reolau addasrwydd, felly ychwanegwch gyfrif y dylid ei wrthod am resymau polisi os oes gan y gosodiad y fath reolau. Rhedwch y tri ar ôl pob newid, oherwydd mae dilyswr sy'n dechrau derbyn popeth yn edrych yn union fel mewngofnodiad gweithredol.

Cofnodwch pa ddulliau dilysu y mae'r gweinydd yn eu derbyn mewn gwirionedd, nid y rhai y mae'r proffil yn eu hawgrymu. Mae'r cofnod hwnnw'n ateb y cwestiwn y mae pobl yn dal i'w ofyn, sef pwy all gysylltu â'r gwasanaeth hwn. Mae hefyd yn goroesi'r gweinyddwr nesaf, a fyddai fel arall yn ei ailddarganfod o ddalfa pecynnau.