Zein CA fitxategi doa OpenVPN profil batera, pasahitza soilik duenarekin?
CA eremuak zerbitzaria egiaztatzen du, ez erabiltzailea. Ikusi profileak zer dakarren jada, bereizi lau material motak eta irakurri hurrengo errorea.
Lau galdera ordenan zeharkatuz, CA elkarrizketa ez da anbiguoa izateari uzten. Zer material jaulki zuen operadoreak benetan, zer dauka profileak jada, zein eremuk galdetzen du, eta zer gertatzen da fitxategia kargatu ondoren? Erantzun ezin duzun lehen galderan gelditu, operadorearen beraren jarraibideetan oinarrituta, horretatik aurrera asmatzea litzatekeelako CA ziurtagiri publiko bat inoiz zerbitzaritik atera behar ez zuen gako pribatu batekin parekatzea.
Ordenak garrantzia du: azken bi galderak zentzuzkoak dira soilik zein material egon behar litzatekeen dakizunean.
Hasi profileak jada daramarekin
Ireki profila testu-editore batean eta bilatu ca bloke bat fitxategi bat bilatu aurretik. Operadorearen CA publikoa duen ca bloke kapsulatuak profila autosufizientea dela esan nahi du, eta oraindik CA fitxategi bat eskatzen duen bezeroak beste profil bat edo inportazio osatugabe bat irakurtzen ari daiteke. Profilak, aldiz, bide batera seinalatzen duen ca lerro bat badu, bide hori bezeroaren lan-direktorioarekiko erlatiboa da integrazio batzuetan eta absolutua beste batzuetan. Idatzi zein forma duzun edozer aldatu aurretik.
ca /absolute/path/operator-ca.crt auth-user-pass remote-cert-tls server
Egiaztatu emandako paketea profileak erreferentziatzen dituen fitxategien bila: CA ziurtagiri bat, batzuetan bezero ziurtagiri eta gako bereiziak, eta agian tls-auth edo tls-crypt fitxategi bat. Lau fitxategi erreferentziatzen dituen eta birekin iristen den profila osatugabea da, eta eremuak seinalatzeak ez du hori konpontzen. Eskatu operadoreari falta den pieza, kasualitatez duzun ziurtagiri bat ordezkatu beharrean.
Bereizi lau material mota
CA ziurtagiria zerbitzariaren identitatea egiaztatzeko erabiltzen den material publikoa da. Bezero ziurtagiri batek erabiltzailea edo gailua zerbitzariaren aurrean identifikatzen du. Gako pribatu bat bezero ziurtagiri horren erdi sekretua da, eta ez litzateke inoiz CAren sinadura-gakoa edo zerbitzari-gakoa izan behar. tls-auth edo tls-crypt materiala kontrol-kanala babesten duen sekretu partekatu bereizi bat da. Lau horiek ez dira trukagarriak, eta CA eremua bezero ziurtagiri batera zuzentzeak konfiantza arazoa dirudien egiaztatze-hutsegitea sortzen du.
Pasahitz soilarekin autentifikazioa lauetatik zein behar duzun aldatzen du, ez zer esan nahi duten. auth-user-pass eta remote-cert-tls server erabiliz, bezeroak oraindik zerbitzaria CA baten aurka egiaztatzen du, horregatik agertzen da CA eremua bezero ziurtagiririk ez dagoenean ere. Operadorearen politikak erabakitzen du bezero ziurtagiri bat ere behar den, eta inongo elkarrizketak ezin dizu hori esan.
Zuzendu bezeroa konfiantza-fitxategira
Hautatu CA ziurtagiri-fitxategia bera, ez duen karpeta eta ez bezero identitatea duen .p12 paketea. Windowsen bidearen sintaxia eta fitxategi-hautatzailea gehiengo gida-liburuetako Linux adibideen desberdin jokatzen dute, beraz erabili instalatutako bezeroak onartzen duena eta egiaztatu fitxategia exekutatzen duen kontuak irakur dezakeela. Baimen-arazo batek eta falta den fitxategi batek berdin dirudite elkarrizketan, baina log-lerro ezberdinak sortzen dituzte. Hautatu ondoren, ireki berriro profilearen ezarpenak bezeroak aukera gorde duela egiaztatzeko.
<ca> -----BEGIN CERTIFICATE----- ...operator-provided public CA... -----END CERTIFICATE----- </ca>
Bezeroak bloke kapsulatuak onartzen baditu, hobetsi operadorearen profil kapsulatua eskuz muntatutako baten aldean. Material kapsulatua profilearekin batera doa eta berrinportazioari eusten dio, bide absolutuak, ordea, profila beste makina batera mugitzen den unean hausten da.
Irakurri hurrengo errorea, ez bera
CA zuzena ematearen helburua errorea aldatzea da, ez desagertaraztea. CA kargatu ondorengo zerbitzari-identitate hutsegiteak ziurtagiria espero zen izenarekin edo remote-cert-tls itxaropenarekin bat ez zetorrela esan nahi du, eta hori pasahitz baztertzearen konponketa ezberdina da. Pasahitz baztertzeak TLS geruza ongi joan zela eta kredentziala okerra dela esan nahi du. Gorde lehen mezu berria; hori da erabilgarria.
Konektatzen den baina inora iristen ez den bezeroa konfiantzaz guztiz haratago joan da eta orain bideratze edo DNS galdera bati aurre egiten dio.
Inoiz ez desgaitu egiaztatzea elkarrizketa hori gainditzeko. Edozein ziurtagiri onartzen duen bezeroak ez du CA bat eskatzeko arrazoirik, eta eraikitzen duen tunela ez da operadoreak nahi zuena.