Ποιο αρχείο CA πηγαίνει σε προφίλ OpenVPN μόνο με κωδικό πρόσβασης;

Περάστε τέσσερις ερωτήσεις με τη σειρά και ο διάλογος CA παύει να είναι διφορούμενος. Ποιο υλικό εξέδωσε στην πραγματικότητα ο χειριστής, τι περιέχει ήδη το προφίλ, ποιο πεδίο ρωτά και τι συμβαίνει αφού φορτωθεί το αρχείο; Σταματήστε στην πρώτη ερώτηση που δεν μπορείτε να απαντήσετε από τις οδηγίες του ίδιου του χειριστή, γιατί το να μαντεύετε πέρα από αυτήν είναι ο τρόπος με τον οποίο ένα δημόσιο πιστοποιητικό CA καταλήγει ζευγαρωμένο με ένα ιδιωτικό κλειδί που δεν θα έπρεπε ποτέ να είχε φύγει από τον διακομιστή.

Η σειρά έχει σημασία: οι δύο τελευταίες ερωτήσεις έχουν νόημα μόνο όταν ξέρετε ποιο υλικό υποτίθεται ότι υπάρχει.

Ξεκινήστε από αυτό που φέρει ήδη το προφίλ

Ανοίξτε το προφίλ σε έναν επεξεργαστή κειμένου και αναζητήστε ένα μπλοκ ca πριν αναζητήσετε αρχείο. Ένα ενσωματωμένο μπλοκ ca που περιέχει το δημόσιο CA του χειριστή σημαίνει ότι το προφίλ είναι αυτοτελές, και ένας πελάτης που εξακολουθεί να ζητά αρχείο CA ίσως διαβάζει άλλο προφίλ ή μια ελλιπή εισαγωγή. Αν αντίθετα το προφίλ έχει μια γραμμή ca που δείχνει σε μια διαδρομή, αυτή η διαδρομή είναι σχετική με τον κατάλογο εργασίας του πελάτη σε ορισμένες ενσωματώσεις και απόλυτη σε άλλες. Σημειώστε ποια μορφή έχετε πριν αλλάξετε οτιδήποτε.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Ελέγξτε το πακέτο που παραδόθηκε για τα αρχεία στα οποία αναφέρεται το προφίλ: ένα πιστοποιητικό CA, μερικές φορές ξεχωριστό πιστοποιητικό πελάτη και κλειδί, και πιθανώς ένα αρχείο tls-auth ή tls-crypt. Ένα προφίλ που αναφέρεται σε τέσσερα αρχεία αλλά φτάνει με δύο είναι ελλιπές, και κανένα πλήθος υποδείξεων πεδίων δεν το διορθώνει. Ζητήστε από τον χειριστή το κομμάτι που λείπει αντί να υποκαταστήσετε ένα πιστοποιητικό που τυχαίνει να έχετε.

Διαχωρίστε τέσσερις τύπους υλικού

Το πιστοποιητικό CA είναι δημόσιο υλικό που χρησιμοποιείται για την επαλήθευση της ταυτότητας του διακομιστή. Ένα πιστοποιητικό πελάτη ταυτοποιεί τον χρήστη ή τη συσκευή στον διακομιστή. Ένα ιδιωτικό κλειδί είναι το μυστικό μισό αυτού του πιστοποιητικού πελάτη και δεν πρέπει ποτέ να είναι το κλειδί υπογραφής του CA ή κλειδί διακομιστή. Το υλικό tls-auth ή tls-crypt είναι ένα ξεχωριστό κοινόχρηστο μυστικό που προστατεύει το κανάλι ελέγχου. Αυτά τα τέσσερα δεν είναι ανταλλάξιμα, και το να κατευθύνετε το πεδίο CA σε ένα πιστοποιητικό πελάτη παράγει αποτυχία επαλήθευσης που μοιάζει με πρόβλημα εμπιστοσύνης.

Έλεγχος ταυτότητας μόνο με κωδικό αλλάζει ποιο από τα τέσσερα χρειάζεστε, όχι τι σημαίνουν. Με auth-user-pass και remote-cert-tls server ο πελάτης εξακολουθεί να επαληθεύει τον διακομιστή έναντι ενός CA, γι' αυτό το πεδίο CA εμφανίζεται ακόμη και όταν δεν υπάρχει πιστοποιητικό πελάτη. Η πολιτική του χειριστή αποφασίζει αν απαιτείται και πιστοποιητικό πελάτη, και κανένας διάλογος δεν μπορεί να σας το πει.

Κατευθύνετε τον πελάτη στο αρχείο εμπιστοσύνης

Επιλέξτε το ίδιο το αρχείο πιστοποιητικού CA, όχι τον φάκελο που το περιέχει και όχι ένα πακέτο .p12 που περιέχει ταυτότητα πελάτη. Στα Windows η σύνταξη διαδρομής και ο επιλογέας αρχείου συμπεριφέρονται διαφορετικά από τα παραδείγματα Linux στους περισσότερους οδηγούς, γι' αυτό χρησιμοποιήστε ό,τι δέχεται ο εγκατεστημένος πελάτης και επιβεβαιώστε ότι το αρχείο είναι αναγνώσιμο από τον λογαριασμό που το εκτελεί. Ένα πρόβλημα δικαιωμάτων και ένα αρχείο που λείπει φαίνονται ίδια στον διάλογο αλλά παράγουν διαφορετικές γραμμές καταγραφής. Μετά την επιλογή, ανοίξτε ξανά τις ρυθμίσεις του προφίλ για να επιβεβαιώσετε ότι ο πελάτης κράτησε την επιλογή.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Αν ο πελάτης υποστηρίζει ενσωματωμένα μπλοκ, προτιμήστε το ενσωματωμένο προφίλ του χειριστή από ένα χειροποίητο. Το ενσωματωμένο υλικό ταξιδεύει με το προφίλ και επιβιώνει από επανεισαγωγή, ενώ μια απόλυτη διαδρομή σπάει τη στιγμή που το προφίλ μεταφέρεται σε άλλο μηχάνημα.

Διαβάστε το επόμενο σφάλμα, όχι το ίδιο

Ο σκοπός της παροχής του σωστού CA είναι να αλλάξει το σφάλμα, όχι να το εξαφανίσει. Μια αποτυχία ταυτότητας διακομιστή αφού φορτωθεί το CA σημαίνει ότι το πιστοποιητικό δεν ταίριαζε με το αναμενόμενο όνομα ή με την προσδοκία remote-cert-tls, που είναι διαφορετική επισκευή από μια απόρριψη κωδικού. Μια απόρριψη κωδικού σημαίνει ότι το επίπεδο TLS πέτυχε και τα διαπιστευτήρια είναι λάθος. Κρατήστε το πρώτο νέο μήνυμα· αυτό είναι το χρήσιμο.

Ένας πελάτης που συνδέεται αλλά δεν φτάνει πουθενά έχει περάσει εντελώς την εμπιστοσύνη και τώρα αντιμετωπίζει ζήτημα δρομολόγησης ή DNS.

Μην απενεργοποιείτε ποτέ την επαλήθευση για να περάσετε αυτόν τον διάλογο. Ένας πελάτης που δέχεται οποιοδήποτε πιστοποιητικό δεν έχει λόγο να ζητά CA, και η σήραγγα που χτίζει δεν είναι αυτή που σκόπευε ο χειριστής.