Tystysgrif cleient hunan-lofnodwyd? Mae'r gweinydd VPN yn ei gwrthod o hyd

Mae'r gweithredwr yn anfon cyfeiriad ac enw defnyddiwr, ac mae'r cleient yn gofyn am ffeil CA, tystysgrif ac allwedd. Mae cynhyrchu'r tri hyn yn lleol yn teimlo fel y cam nesaf amlwg. Mae'n cynhyrchu tystysgrif nad yw ond eich peiriant eich hun yn credu ynddi. Mae ymddiriedaeth y gweinydd wedi'i hangori mewn CA nad ydych yn ei rheoli, felly mae'r ysgwyd llaw yn gorffen cyn iddo ddechrau.

Mae ymddiriedaeth yn byw ar y gweinydd, nid yn eich proffil

Mae dilysu tystysgrif yn gymhariaeth. Mae'r cleient yn cyflwyno tystysgrif; mae'r porth yn gwirio a yw wedi'i lofnodi gan un o'r CAs yn ei ffurfweddiad.

Mae eich proffil yn enwi'r ffeil CA y dylai'r cleient ei defnyddio i wirio'r gweinydd. Ni all enwi CA y dylai'r gweinydd ei defnyddio i wirio chi. Nid yw'r hanner hwnnw o'r ffurfweddiad yn eiddo i chi.

Mae tystysgrif a wnaed gennych chi'n methu'r gymhariaeth hon hyd yn oed pan fydd yn dechnegol berffaith. Mae ganddi lofnod dilys, pwnc a dyddiadau, ond mae'r dyroddwr yn CA nad yw'r porth erioed wedi clywed amdani. Mae'r gwall yn ymddangos yn ystod yr ysgwyd llaw, ar ôl i'r gweinydd ofyn am dystysgrif yn barod. Ni all unrhyw beth ym mhroffil y cleient newid yr ateb.

Pam na all tystysgrif hunan-lofnodwyd ddisodli

Mae tystysgrif hunan-lofnodwyd yn cael ei lofnodi gan ei hallwedd ei hun. Mae'r llofnod yn dilysu yn erbyn yr un ffeil, sy'n ei gwneud yn hunangysonol ac yn ddiwerth fel cymhwyster ar gyfer porth rhywun arall.

Nid yw'r porth yn gofyn a yw'r dystysgrif yn gyson yn fewnol. Mae'n gofyn a lofnodwyd hi gan ddyroddwr ymddiriedus.

Dyna pam mae'r negeseuon gwall yn ddryslyd. Gall y cleient adrodd methiant dilysu sy'n swnio fel problem gweinydd, tra mae'r gweinydd yn cofnodi dyroddwr anhysbys. Mae'r ddau yn disgrifio'r un anghysondeb o bennau cyferbyniol.

Mae llwybr y CSR yn cadw eich allwedd breifat

Gallwch wneud y rhan fwyaf o'r gwaith yn lleol o hyd. Cynhyrchwch bâr allwedd, adeiladwch gais llofnodi tystysgrif o amgylch yr hanner cyhoeddus, a danfonwch y cais hwnnw at y gweithredwr. Dim ond y cais sy'n gadael eich peiriant. Mae'r hanner preifat yn aros lle y gwnaethoch ei gynhyrchu.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Mae'r gweithredwr yn llofnodi'r cais gyda'i CA ac yn dychwelyd tystysgrif. Nid yw eich allwedd breifat erioed wedi teithio, ac mae'r canlyniad yn cadwyno i'r angor y mae'r porth yn ymddiried ynddo.

Mae gwasanaethau a reolir yn aml yn hepgor y CSR ac yn cyhoeddi'r bwndel cyfan. Mae hynny'n gyfnewid rhesymol pan fo'r un darparwr yn terfynu'r tiwnel ac yn dal y CA yn barod. Nid yw gofal yr allwedd yn gwella drwy ei chadw, oherwydd gallai'r darparwr fathu un newydd ar unrhyw adeg.

Mewnforir bwndeli, nid eu gosod

Mae bwndeli gwerthwyr ag enwau sy'n swnio'n ddiogel yn aml yn broffiliau OpenVPN. Maent yn cynnwys ffurfweddiad ac weithiau tystysgrifau, ac nid ydynt yn gosod unrhyw beth. Mewnforiwch y ffeil i gleient sy'n siarad y protocol, ac mae'r cysylltiad wedi'i ffurfweddu.

Mae'r rheol trin yn deillio o'r cynnwys. Os yw'r proffil yn mewnosod allwedd breifat, mae'n gymhwyster ac yn haeddu'r un gofal â chyfrinair: dim e-bost, dim ystorfa, dim ffolder lawrlwytho a rennir. Pan fydd y gweithredwr yn danfon ca.crt, client.crt ac client.key ar wahân, storiwch nhw gyda'i gilydd gyda chaniatadau cyfyngol a phwyntiwch y proffil atynt.

Ychwanegwch y gwiriadau y gallai'r gweithredwr fod wedi'u hepgor

Mae proffil a gynhyrchwyd gan y llwybrydd weithiau'n ddi-lol o wirio'r cymar. Mae remote-cert-tls server yn gofyn bod tystysgrif y cymar yn cario pwrpas dilysu gweinydd, fel na ellir ailchwarae tystysgrif cleient fel gweinydd. Mae'r un llinell honno'n newid bach gyda chyfiawnhad clir.

Mae verify-x509-name yn mynd ymhellach pan all y gweithredwr enwi'r pwnc neu'r SAN a ddisgwylir. Mae'r ddau yn ychwanegiadau bach i broffil, ac mae'r ddau yn amddiffynadwy. Archwiliwch yr hyn a gawsoch cyn ei fewnforio.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Nid yw gosodiadau dilysu yn atgyweiriad ar gyfer cadwyn wedi torri. Os yw'r dyroddwr yn anghywir, yr ateb yw tystysgrif o'r CA gywir, nid baner sy'n diffodd y gwirio. Mae diffodd dilysu yn troi methiant dilysu yn un heb ei ganfod.

Gofynnwch am un bwndel: tystysgrif yr awdurdod fel PEM, tystysgrif cleient a lofnodwyd gan yr awdurdod hwnnw, allwedd a gynhyrchoch neu a ddaeth drwy sianel yr ydych yn ymddiried ynddi, ac union enw'r gweinydd y dylai'r dystysgrif ei gyflwyno. Nodwch y dyddiad dod i ben yn yr un neges, oherwydd mae tystysgrif wedi darfod yn edrych fel nam rhwydwaith fisoedd yn ddiweddarach.