Nola ebazten ditu OpenVPNek ziurtagiria eta gakoa: barneko PEM edo bidea

Mezuak dio OpenVPN ezin duela barneko ziurtagiri bat kargatu, eta zure buruan gordetako fitxategi-izenak kontrakoa dio. Parserrek jasotakoak garrantzi handiagoa du fitxategi-sistemak duenak baino, cert direktibak erabat desberdinak diren bi balio-mota onartzen baititu. Bata irekitzen duen bide bat da; bestea konfigurazioaren barruan iritsi zen PEM testua. Exekutatzen ari den bezeroak zein forma jaso zuen jakin arte, zuzenketa bakoitza susmo bat da.

Bi biltegiratze-forma, direktiba bakarra

cert, key eta ca direktibek bide bat edo barneko bloke bat onartzen dute bakoitzak. Balioa bide bat denean, OpenVPNek fitxategi hori ireki eta objektua disketik irakurtzen du. Konfigurazioak cert etiketez mugatutako bloke bat duenean, direktiba berak etiketa horien arteko edukia erabiltzen du horren ordez, eta ez da fitxategi bereizirik parte hartzen.

Bi formek objektu mota bera sortzen dute azkenean, eta horregatik inplementazio funtzional batek haien artean pasa dezake beste aldaketarik gabe. Bezero-ziurtagiri bat eta gako pribatu bat txertatuta daramatzan profila autosufizientea da, eta beste makinera kopiatzeak funtzionatzen du ziurtagiri-direktorioa ere kopiatu gabe.

Alderantzizkoa ez da egia. Bere datuak txertatzen dituen profil baten ondoan client.crt uzteak ez du ezer aldatzen, konfigurazioan ezerk ez baitu fitxategi horri erreferentzia egiten. Hau da argi eta garbi existitzen den fitxategi bat alde batera utzita dagoela dirudien arrazoi ohikoena.

Nola bihurtzen da barneko bloke bat objektu

Barneko edukia konfiguraziotik ateratzen da eta PEM parserrari testu gisa ematen zaio. Parser horrek ohiko mugak espero ditu: BEGIN lerro bat, base64 karga erabilgarria eta bat datorren END lerro bat. Blokea kopiatze huts egindako batek moztu badu, deskarga-orri batek HTMLn bildu badu edo marratxoak normalizatu zituen editore batean ireki bada, parserek huts egiten du bertan dagoela dirudien edukian.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

Horregatik da engainagarria errorearen idazkera ere. Barneko hitzak kargatzaileak non begiratu zuen deskribatzen du, ez han zer aurkitu zuen. Konfigurazio batean izendatutako fitxategi batek eta bertan txertatutako objektu batek kexa bera sor dezakete azpiko byteak erabilezinak direnean.

Egiaztatu kargatutako profilek benetan zein forma erabiltzen duen, zure editoreak kasualitatez zein fitxategi ireki zuen ez ezik:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

Nola ebazten da bide-erreferentzia bat

Bide-balio bat bezeroaren laneko direktorioarekiko irekitzen da, ez konfigurazioa daukan direktorioarekiko. systemd-ren pean laneko direktorio hori unitateak ezartzen duena da, eta zure shelltik egindako exekuzio interaktiboak erabat bestelako zerbait heredatzen du. Horregatik, konfigurazio-fitxategi berak funtziona dezake eskuz probatzean eta huts egin zerbitzu gisa.

Bide erlatiboek anbiguotasun bera heredatzen dute. Fitxategi-izen soil bat ikustean, galdetu zein den prozesuaren uneko direktorioa produkzioan, zure terminalarekin bat datorrela suposatu beharrean.

Bereizita gordetako ziurtagiri baten kasuan, lineaz kanpoko analisi batek objektua berresten du haren gainean ezer araztu aurretik:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

Komando horiek frogatzen dute fitxategiak irakurgarriak eta egituraz baliozkoak direla. Ez dute frogatzen pareak jaulkitzailean konfiantza duenik, ziurtagiria oraindik bere balio-epearen barruan dagoenik edo gakoa hari dagokionik.

Zer esan diezazukeen parserraren erroreak eta zer ez

Analisi-hutsegite batek arazoa sarrera batera eta etapa batera mugatzen du. Ez dizu esaten bezeroak bi biltegiratze-formetariko zein erabili zuen, ezta objektua onartuko zenik ere. Galdera bereiziak dira, froga bereiziekin.

Analisiak arrakasta duenean, hurrengo hutsegitea geroagoko etapa batena da. Konfiantza ukatzea, helburu-desadostasun bat edo gako-desadostasun bat pareak edo TLS geruzak jakinarazten du, ez kargatzaileak. Fitxategi bera behin eta berriz ordeztuz ez da errore hori mugituko.

Eduki zati sentikorra erreportaje publikoetatik kanpo, ikertzen ari zaren bitartean. Partekatu direktiben izenak, errore-testua eta blokearen egitura, gako-materiala eta identifikatzeko karga erabilgarri oro kenduta. openvpn(8) eskuliburuak fitxategi-direktiben bi formak eta haien atzeko laneko direktorioaren portaera dokumentatzen ditu.