Pam mae cryptoapicert yn methu yn OpenVPN 3 a Connect ar Windows

Rydych yn copïo proffil OpenVPN 2 sy’n gweithio i gleient Windows mwy newydd, ac nid yw’r dystysgrif a oedd y cleient hen yn ei chanfod ei hun bellach yn cael ei chynnig. Y llinell a wnaeth hynny’n bosibl yw dewisydd sy’n perthyn i’r cleient Community 2 ac sy’n unigryw i Windows, ac mae’r rhaglen newydd yn rhaglen wahanol gyda llwybr cymwysterau gwahanol. Nid yw’r proffil wedi newid heblaw am y llinell honno, a dyna’n union sy’n gwneud y gwahaniaeth yn anodd ei weld.

Mae tair haen yn cael eu cymysgu yn yr adroddiad hwnnw: y cleient Community, y brif lyfrgell, a’r flaenddalen a osododd rhywun. Dim ond un ohonynt a oedd erioed wedi deall y cyfarwyddeb.

Beth mae’r opsiwn yn ei olygu lle mae’n bodoli

Yng nghleient Community OpenVPN 2 ar Windows, mae cryptoapicert yn enwi tystysgrif y dylai’r cleient ei chanfod yn storfa dystysgrifau Windows yn hytrach nag mewn ffeil. Mae’n gyfleustra sy’n benodol i Windows, ac mae’n gweithio oherwydd bod y cleient hwnnw’n gwybod sut i restru’r storfa a rhoi’r allwedd sy’n deillio ohoni i’w stac TLS ei hun. Felly mae’r cyfarwyddeb yn rhan o iaith ffurfweddu’r cleient hwnnw, nid yn briodwedd o brotocol OpenVPN. Nid oes unrhyw beth yn y fformat gwifren yn ei chynnal.

Copïwch yr un llinell i raglen arall ac rydych wedi copïo gair y gall y rhaglen newydd ei ddadansoddi, ei anwybyddu neu ei wrthod. Nid yw cyfarwyddeb yn nodwedd protocol, ac nid yw hon hyd yn oed yn nodwedd i bob cleient sy’n siarad OpenVPN.

Beth mae’r brif lyfrgell yn ei gynnig yn lle hynny

Mae OpenVPN 3 Core yn llyfrgell y mae rhaglenni eraill yn ei mewnblannu, ac mae’n trin cymwysterau allanol drwy API yn hytrach na thrwy chwilio’r storfa. Mae’r rhaglen sy’n mewnblannu yn darparu cadwyn dystysgrifau ac yn hwyrach yn gofyn i’r llyfrgell lofnodi ag allwedd allanol, ac mae’r llyfrgell yn galw’n ôl i’r rhaglen i wneud hynny. Mae hyn yn ddyluniad mwy cyffredinol, ac mae’n golygu mai’r flaenddalen sy’n penderfynu pa ddarparwyr sy’n bodoli. Yng nolafn opsiynau’r llyfrgell ei hun, mae cryptoapicert yn ymddangos ymhlith y cyfarwyddebau nad ydynt wedi’u gweithredu, sy’n gyson â’r rhaniad cyfrifoldeb hwnnw.

Nid yw bodolaeth y galwadau ol hynny yn golygu bod rhaglen becyn penodol yn restru storfa bersonol y defnyddiwr presennol, yn cefnogi darparwr allwedd penodol, neu’n gallu cwblhau anogiad cerdyn clyfar. Priodweddau’r flaenddalen yw’r rhain, ac mae’n rhaid i’r flaenddalen ddogfennu pob un ohonynt.

Beth mae blaenddalen Windows yn ei wneud yn lle hynny

Mae OpenVPN Connect yn dilyn llwybr gwahanol: mae’r gweithredwr yn mewnforio ffeil PKCS#12 sy’n cynnwys y dystysgrif a’i allwedd breifat i OpenVPN Certificate Store a grëwyd at y diben hwnnw, ac yna’n neilltuo’r dystysgrif allanol i’r proffil. Mae hwnnw’n gam mewnforio bwriadol, nid yn ddarganfyddiad awtomatig o beth bynnag sy’n digwydd bod yn y storfa bersonol. Mae’r gwahaniaeth yn bwysig pan fydd rhywun yn cymryd yn ganiataol y bydd tystysgrif a osodwyd at ddiben arall yn ymddangos yn rhestr y cleient.

Mae gan y mewnforiad ganlyniad hefyd i bolisi allweddau, oherwydd allforio allwedd i ffeil P12 yw’n union yr hyn y mae allwedd anallforadwy wedi’i chynllunio i’w atal. Cwestiwn polisi yw hwn yn hytrach na chwestiwn ffurfweddu, ac mae’n haeddu ateb cyn i unrhyw un geisio’r mewnforiad.

Dewiswch lwybr sy’n cyd-fynd â pholisi’r allwedd

Os yw’r cymhwyster yn allforadwy ac mae’r polisi’n caniatáu’r mewnforiad dogfenedig, defnyddiwch broses gofrestru warchodedig y sefydliad a chadwch y P12 dros dro a’i gyfrinair allan o logiau a sgriptiau. Os na chaiff yr allwedd byth adael cerdyn clyfar neu ddarparwr gwarchodedig, dewiswch gyfuniad o gleient a darparwr sy’n cefnogi’r gofyniad hwnnw’n benodol, neu ceisiwch gadarnhad gan y darparwr ar gyfer y fersiwn a osodwyd gennych. Nid yw’r naill gangen yn ateb i’r llall.

Ni all ychwanegu’r cyfarwyddeb yn ôl at y proffil ddarparu integreiddiad nad yw’r rhaglen yn ei chael. Nid yw fersiwn cleient mwy newydd o reidrwydd yn ei ychwanegu chwaith, oherwydd mae’r gallu yn perthyn i ddyluniad y flaenddalen ei hun.

Ar ôl i’r allwedd leol weithio, mae’r gweinydd yn dal i wirio hunaniaeth y dystysgrif, y gadwyn a’r awdurdodiad. Canlyniadau ar wahân yw allwedd leol y gellir ei defnyddio a hunaniaeth VPN a dderbyniwyd, a chadw’r ddau ar wahân yw’r hyn sy’n atal cyfyngiad blaenddalen rhag troi’n bolisi tystysgrifau gwanedig.