remote-cert-tls server: beth mae'n ei wirio mewn proffil OpenVPN

Mae tri chwestiwn gwahanol yn cael eu hateb gan dri rhan wahanol o broffil OpenVPN, a'u cyfuno yw sut y mae pobl yn gorffen diffodd gwiriad oedd yn gweithio. A yw tystysgrif y cyfoed wedi'i llofnodi gan yr awdurdod rwy'n ymddiried ynddo? A yw'r dystysgrif honno'n datgan rôl gweinydd TLS? Ai dyma'r gweinydd penodol roeddwn i'n bwriadu ei gyrraedd? remote-cert-tls server sy'n ateb dim ond yr un ganol, ac mae'n gwneud hynny drwy ddarllen estyniadau y tu mewn i'r dystysgrif.

Tri gwiriad sy'n hawdd eu cyfuno yn eich pen

Mae'r angor ymddiriedaeth yn byw yn y gorchymyn ca. Mae'r gwiriad rôl yn perthyn i remote-cert-tls. Mae'r gwiriad hunaniaeth yn perthyn i verify-x509-name, pan fydd proffil yn ei ddefnyddio, neu i ba bynnag wiriad enw y mae'r defnydd yn ei ychwanegu.

Maent yn ymdrin â methiannau gwahanol:

Gall proffil fod â'r tri ac eto fod yn wan os yw'r CA yn cael ei rannu'n rhy eang, sy'n gwestiwn rheoli allweddi yn hytrach na chwestiwn gorchymyn.

Beth mae'r gwiriad rôl yn ei ddarllen

Mae'r gorchymyn yn facro. Mae'n ehangu i ofyniad defnydd allwedd a gofyniad defnydd allwedd estynedig sy'n enwi rôl gweinydd gwe TLS, felly rhaid i dystysgrif y cyfoed ddatgan y pwrpas hwnnw mewn gwirionedd. Nid yw tystysgrif a roddwyd ar gyfer dilysu cleient yn ei fodloni, hyd yn oed pan fo'r un awdurdod wedi llofnodi'r ddau.

Mae hynny'n bwysig oherwydd bod CA a rennir yn gyffredin mewn defnyddiadau bach. Mae un awdurdod yn llofnodi pob cleient a'r gweinydd, a heb wiriad rôl gallai unrhyw un o'r tystysgrifau hynny gwblhau ochr gweinydd yr ysgwyd llaw. Nid yw'r gwiriad yn gwneud y senario hwnnw'n amhosibl, ond mae'n dileu ei fersiwn dibwys.

Mae'r gorchymyn yn anghymesur yn ôl cynllun: mae cleientiaid yn cario remote-cert-tls server, ac mae gweinyddwyr yn cario remote-cert-tls client. Cyfnewidiwch nhw a bydd pob cysylltiad yn methu â gwall rôl sy'n edrych fel tystysgrif wedi torri.

Mae proffiliau hŷn weithiau'n defnyddio ns-cert-type at yr un pwrpas. Mae tudalennau llaw presennol yn trin yr opsiwn hwnnw fel un wedi'i ddisodli, felly mae proffil sy'n dal i ddibynnu arno yn werth ei dreftadh yn hytrach na'i ddadfygio.

Pam mae ei analluogi'n teimlo fel trwsio

Pan fydd'r gwiriad rôl yn methu, mae'r cysylltiad yn stopio â gwall dilysu a'r cam amlwg yw dileu'r llinell. Yna mae'r cysylltiad yn codi, sy'n teimlo fel cynnydd ac mewn gwirionedd yw'r dull methiant y mae'r gorchymyn yn bodoli i'w atal. Rydych nawr yn derbyn cyfoed na chafodd ei dystysgrif ei bwriadu ar gyfer y rôl honno erioed.

Darllenwch y gwall yn lle hynny. Mae'n enwi'r gwiriad a fethu, a gellir archwilio'r dystysgrif ar yr ochr arall i weld pa estyniadau y mae'n eu cario mewn gwirionedd. Mae dwy funud o ddarllen yn setlo ai'r bai yw'r cyhoeddiad neu'r ffurfweddiad. Mae dyfalu'n costio prynhawn ac fel arfer yn gorffen â phroffil gwanedig. Mae tystysgrif gweinydd wedi'i hadnewyddu a gollodd ei defnydd allwedd estynedig yn fai gwirioneddol yn yr adnewyddiad, nid yn rheswm i lacio'r cleient.

Mae'r gwiriad enw yn orchymyn ar wahân

Mae bodloni'r gwiriad rôl yn dweud bod y cyfoed yn rhyw weinydd a lofnodwyd gan eich awdurdod. Nid yw'n dweud dim am ba un, sy'n bwysig pan fydd yr un CA yn cyhoeddi tystysgrifau ar gyfer sawl porth ac un ohonynt wedi'i gyfaddawdu neu ei ailbwrpasu.

verify-x509-name yn cymharu pwnc y dystysgrif â gwerth rydych yn ei ffurfweddu, gyda dulliau cyfateb ar gyfer pwnc union, rhagddodiad neu faes sengl. Defnyddiwch y maes sy'n adnabod y porth mewn gwirionedd, a disgwyliwch ei ddiweddaru'n fwriadol pan fydd yr enw'n newid.

Nid yw'r un o'r gorchmynion yn disodli trin allweddi'n dda. Os yw ffeil allwedd y cleient yn cael ei chopïo o gwmpas gyda'r proffil, mae hunaniaeth y cyfoed mor gryf â'r rhestr dosbarthu.

Archwiliwch y dystysgrif cyn i chi olygu'r proffil

Darllenwch dystysgrif y cyfoed a log y cleient, yn y drefn honno. Mae'r dystysgrif yn dweud pa rolau y mae'n eu datgan; mae'r log yn dweud pa wiriad a'i gwrthododd.

Mae'r gorchmynion hyn yn argraffu'r estyniadau defnydd a'r llinellau dilysu o gysylltiad manwl:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Os yw'r estyniadau'n dangos rôl y gweinydd ac mae'r log yn dal i adrodd methiant rôl, mae'r proffil yn ôl pob tebyg yn pwyntio at y ffeil dystysgrif anghywir yn hytrach nag at dystysgrif ddrwg. Os yw'r estyniadau ond yn dangos dilysu cleient, stopiwch edrych ar y cleient a thrwsiwch y cyhoeddiad. Naill ffordd neu'r llall, adferwch y gwiriad cyn i chi alw'r cysylltiad yn iach, oherwydd mae ysgwyd llaw llwyddiannus ar ôl dileu dilysu yn profi llai na'r gwall y gwnaeth ei ddisodli.