Yr hyn y mae eich cleient VPN yn ei wirio cyn ymddiried mewn tystysgrif

Mae eich cleient VPN yn dweud na ellid gwirio’r dystysgrif, ac mae’r deialog yn stopio yno. Mae’r ffeil yn bresennol, mae’r gweinydd yn fyw, ac roedd yr un proffil wedi gweithio ar liniadur arall fis diwethaf. O dan y rhybudd un-linell hwnnw gwnaeth y cleient basio tystysgrif y cyfoed drwy bedair giât: mae awdurdod tystysgrif a gyfluniodd gennych yn ategu’r llwybr llofnod, mae’r llwybr hwnnw yn cyrraedd yr awdurdod, enw’r cyfoed yw’r un a ofynnoch amdano, ac mae’r dystysgrif yn ddefnyddiadwy nawr ar gyfer y pwrpas hwn. Chwiliwch am y giât a gauodd a’r atgyweiriad fel arfer yw un ffeil; hepgorwch y cam hwnnw a byddwch yn ailfewnforio bwndeli trwy’r prynhawn.

Darllenwch y deialog cyn golygu’r proffil

Y llyfrgell oddi tano sy’n geirio gwallau tystysgrif, nid y cynnyrch VPN a osodwyd gennych, felly’r llinyn union yw eich tystiolaeth gyntaf. Mae «Methu cael tystysgrif y cyhoeddydd lleol» yn cyfeirio at y llwybr neu at angor yr ymddiriedaeth. Mae «Mae’r dystysgrif wedi dod i ben neu nid yw’n ddilys eto» yn cyfeirio at amser. Mae «Pwrpas tystysgrif heb ei gefnogi» yn cyfeirio at ddefnydd estynedig o’r allwedd. Mae anghytundeb enw’n dweud wrthych pa enw roedd ei eisiau. Nid oes un o’r pedwar yn cael ei atgyweirio drwy ailosod y cleient.

Codwch y lefel cofnodi cyn newid unrhyw beth. Mae OpenVPN yn adrodd y methiant dilysu o amgylch yr ysgwyd llaw pan redwch ef gyda --verb 4, ac mae strongSwan yn cofnodi ei benderfyniadau hunaniaeth a chadwyn i gofnod charon. Yna cadarnhewch pa dystysgrif rydych yn ei harchwilio, oherwydd mae pobl yn profi’r ffeil ar y disg yn rheolaidd tra bod y proffil yn mewnosod copi hŷn. Pan fydd y proffil yn mewnosod blociau PEM, y dystysgrif fewnosod yw’r un sy’n cael ei phrofi.

Mae awdurdod tystysgrif yn llofnodi hunaniaethau, nid caniatadau

Mae’r awdurdod yn dal enw ac allwedd lofnodi. Mae’n cyhoeddi tystysgrifau sy’n rhwymo allwedd gyhoeddus i’r enw hwnnw o dan ei pholisi ei hun, gyda ffenestr ddilysrwydd a chyfyngiadau defnydd ynghlwm. Dim ond tystysgrif yr awdurdod sydd ei hangen ar eich cleient i adnabod y cyhoeddydd; nid oes arno byth angen yr allwedd lofnodi, a byddai anfon yr allwedd honno at gleientiaid yn rhoi’r gallu iddynt fathu unrhyw hunaniaeth y mae’r defnydd yn ymddiried ynddi.

Mae ymddiried mewn awdurdod yn gwneud pob tystysgrif a lofnododd yn ymgeisydd, nid y cyfoed cywir. Mae tystysgrif gweinydd gwe o’r un CA mewnol hefyd yn ymgeisydd. Dyna pam mae’r giatiau enw a phwrpas yn bodoli, a pham mae allwedd CA wedi’i chyfaddawdu yn bwysicach nag unrhyw weinydd unigol: mae’n cyrraedd pob hunaniaeth a gyhoeddodd yr awdurdod erioed. Rhodwch dystysgrifau cleient fesul dyfais, fel bod liniadur coll yn un dirymiad yn lle ail-allwedd ar draws y defnydd i gyd.

Ailadeiladwch y llwybr y mae’r cleient yn ceisio ei adeiladu

Mae’r llwybr yn rhedeg o dystysgrif y cyfoed, drwy sero neu fwy o dystysgrifau canolradd, i wreiddyn yn eich storfa ymddiriedaeth. Tystysgrif ganolradd ar goll yw’r methiant cadwyn mwyaf cyffredin, ac o ochr y cleient mae’n edrych yn unfath â gwreiddyn anghymeradwy. Darllenwch y ddeilen yn gyntaf, yna gadewch i OpenSSL adeiladu’r llwybr o’r defnydd rydych yn bwriadu ei anfon.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Mae statws gadael sero yn golygu bod y llwybr wedi’i adeiladu o’r ffeiliau hynny; mae methiant yn enwi’r dystysgrif na chyrhaeddodd. Os yw openssl verify yn llwyddo tra bod y cleient yn dal i wrthod, mae’r gwahaniaeth yn yr hyn y mae’r gweinydd yn ei anfon mewn gwirionedd neu yn y ffeil ymddiriedaeth y mae’r proffil yn ei llwytho. Yn OpenVPN gall tystysgrifau canolradd deithio gyda ffeil tystysgrif y gweinydd neu gael eu cyflenwi ar wahân gyda --extra-certs, a bydd bwndel sy’n dal dau wreiddyn o dan yr un enw pwnc yn anfon un o’ch cleientiaid i lawr y gangen anghywir.

Mae enw a phwrpas yn giatiau ar wahân

Nid yw adeiladu cadwyn byth yn gofyn a yw’r enw yn eiddo i chi. Dim ond pan fydd y proffil yn gosod --verify-x509-name y mae OpenVPN yn ei wirio, ac mae’r arfer hŷn o gyfateb yr enw cyffredin yn unig yn torri ar dystysgrifau y mae eu hunaniaethau’n byw yn subjectAltName. Mae defnyddiau IKEv2 yn cyfateb yr hunaniaeth a gyfluniwyd yn erbyn cofnodion SAN neu yn erbyn yr enw gwahaniaethol, yn dibynnu ar y cleient, ac mae gwerth wildcard neu %any yn diffodd y gymhariaeth roeddech yn meddwl oedd gennych.

Nesaf daw amser a phwrpas. Mae liniadur y mae ei gloc ychydig oriau’n gyflym yn gwrthod tystysgrif nad yw’n ddilys eto, ac mae tystysgrif ganolradd wedi dod i ben yn methu’r llwybr tra bod y ddeilen yn gyfredol. Daw methiannau pwrpas o dystysgrif heb serverAuth yn y defnydd estynedig o’r allwedd, neu gyda keyUsage nad yw’n caniatáu llofnod yr ysgwyd llaw, y mae OpenSSL yn ei adrodd fel pwrpas tystysgrif heb ei gefnogi. Ailgyhoeddwch o’r templed cywir; nid oes dim yn y neges honno’n rheswm i ddiffodd dilysu.

Nid yw dirymu’n rhedeg oni bai bod rhywun wedi’i gyflunio

Nid ymgyngorir CRL nac ymateb OCSP yn awtomatig. Ar weinydd OpenVPN, gwirir tystysgrifau cleient yn erbyn rhestr yn unig pan fydd --crl-verify yn cyfeirio at un. Mae gwirio tystysgrif y gweinydd ar ochr y cleient yn dibynnu ar y gweithrediad ac yn aml yn absennol. Mae strongSwan angen ei ategyn dirymu a pholisi cyn iddo edrych ar CRL ar gyfer cyfoed.

Mae hynny’n esbonio’r tocyn a gewch yn y pen draw: mae tystysgrif cleient wedi’i dirymu yn dal i gysylltu, ac mae pawb yn casglu bod dirymu wedi torri. Nid oedd dim yn gwirio. Cyhoeddwch ac adnewyddwch y CRL, neu cadwch dystysgrifau cleient yn ddigon byrhoedlog i ddirymiad hen fod yn bwysig am ychydig, ac ymarferwch y llwybr dirymu ar dystysgrif labordy cyn i chi ei hangen yn ystod digwyddiad.

Trefn atgyweirio sy’n cadw dilysu ymlaen

Trefnwch yn ôl symptom cyn cyffwrdd ffeiliau, oherwydd mae pob rhes o’r tabl yn eich anfon at wrthrych gwahanol.

Ewch drwy’r rhestr mewn un pas: cadarnhewch y ffeil y mae’r proffil yn ei llwytho, adeiladwch y llwybr eich hun, gwiriwch fod y gweinydd yn anfon y dystysgrif ganolradd, cymharwch y cloc, darllenwch y SAN, darllenwch yr EKU, yna ailgysylltwch a gwylio’r un llinell gofnod yn diflannu. Os na ellir rhoi CA i ddyfais o gwbl, pinio yw’r dewis gonest, gan fod OpenVPN 2.6 yn derbyn --peer-fingerprint ac yn culhau ymddiriedaeth i un allwedd yn lle tynnu’r gwiriad. RFC 5280 yw’r cyfeirlyfr ar gyfer ystyr pob un o’r meysydd hynny.