OpenVPN bezero-ziurtagiririk gabe: zerbitzariaren politika, ez profila

Ziurtagiriaren eta gakoaren lerroak ezabatzen dituzu, profila ematen duzu, eta konexioak huts egiten jarraitzen du ziurtagiri-errore batekin. Profila ez zen inoiz baldintza hori inposatzen zuen gauza. Zerbitzariak erabakitzen du bezero-ziurtagiria derrigorrezkoa den, eta bezeroaren aldeko edozein aldaketak ez du hori negoziatzen. Beraz, konponbidea zerbitzariaren politikaren aldaketa da, nahita egina, harekin lotutako guztia pasaldi berean eguneratuta.

Profila ez da politika

Community OpenVPN 2.6 bezero-ziurtagiri derrigorrezkoekin dator, verify-client-cert lehenespenez require delako. none ezartzeak gelditzen du ziurtagiriaren eskaera eta bezeroaren autentikazioa zerbitzariak jada darabilen erabiltzaile-izena eta pasahitzaren antolaketari uzten dio. Gida zaharrek client-cert-not-required-ra jotzen dute, ideia beraren idazkera zaharra, beraz erabili instalatutako bertsioak dokumentatzen duen direktiba. Edozein modutan, aldaketa zerbitzarian gertatzen da, eta inongo bezero-profilek ezin du egin.

Beheko zatia zerbitzariaren aldeko aldaketa osoa da, eta bere horretan ez da funtzionatzen duen autentikazio-konfigurazio bat. verify-client-cert none ziurtagiri-baldintza kentzen du, eta username-as-common-name kontuaren izena geroagoko callback-ek eta bezero bakoitzeko fitxategiek ikusten duten identitatea bihurtzen du. Bi lerroetatik batek ere ez du pasahitzik egiaztatzen, beraz egiaztatzaile bat egon behar da oraindik.

verify-client-cert none
username-as-common-name

Egiaztatzaile hori auth-user-pass-verify-k bultzatutako plugin edo script bat da, eta egon behar du goiko lerroetako edozeinek zentzurik izan baino lehen. Ordena alderantzikatzeak leiho bat ematen dizu, non zerbitzariak ez duen ziurtagiririk eskatzen eta ez duen konturik egiaztatzen.

Zer egiaztatzen du oraindik zerbitzariak

Bezero-ziurtagiria baztertzeak ez du TLS baztertzen. Zerbitzariak bere ziurtagiria eta gakoa gordetzen ditu, eta bezeroak CArekiko konfiantza eta ostalari-izenaren egiaztapenak gordetzen ditu, iruzurti batekin hitz egitea eragozten diotenak. remote-cert-tls server edo CA-sorta kentzea bezeroak jada ziurtagiririk ez duelako ohiko eta larria den okerreko irakurketa da, eta 2.6 erreferentzia argi dago bi norabideak independenteak direla. Batek zerbitzaria bezeroari frogatzen dio; besteak bezeroa zerbitzariari.

Profilak tls-auth edo tls-crypt bloke bat ere eraman dezake. Kontrol-kanaleko gako partekatua da, banaketa- eta errotazio-ziklo propioa duena, beraz ziurtagiri- edo gako-lerrorik gabeko fitxategi bat ez da automatikoki segurua argitaratzeko. Trata ezazu sekretu gisa irakurtzen duzun arte.

Profil funtzional batetik kopiatutako ziurtagiri-fitxategi batek ez du bere horretan ezer frogatzen; jabetzeak harekin bat datorren gako pribatua edukitzea esan nahi du, eta ziurtagiriz autentikatutako inplantazio batek hori egiaztatzen du. Ziurtagiri bat duen fitxategia ez da harekin autentikatzeko moduko fitxategia.

Zer egin behar du egiaztatzaileak

Ziurtagiri-baldintza kenduta, dena egiaztatzailean oinarritzen da: plugin bat edo auth-user-pass-verify-k bultzatutako script bat. Kredentzial baliogabeak baztertu behar ditu, desgaitutako edo hautagarritasun gabeko kontuak baztertu, eta itxita huts egin behar du bere backend-era iritsi ezin denean. username-as-common-name askotan aldi berean gaitzen da, eta geroagoko callback-ek eta bezero bakoitzeko konfigurazio-fitxategiek ikusten duten identitatea aldatzen du. Ez du pasahitzik egiaztatzen, eta ez du kontu ez-hautagarri bat hautagarri egiten. Lan bereiziak dira, eta horiek nahastea da migrazio batek bide zoriontsuko proba gainditu eta bere lehen benetako gertakarian huts egiteko modua.

Proba ezazu kasu negatiboa positiboa bezain arretaz. Pasahitz-eskaera bat erakusten duen profilak bezeroak eskaera bat marraz dezakeela baino ez du frogatzen, eta pasahitz okerra onartzen duen zerbitzariak askoz okerrago zerbait frogatzen du. Gehitu proba-multzoari desgaitutako kontu bat eta iraungitako kredentzial bat, pasahitz txar bat ez ezik.

Aldatu politika, profila eta mapaketa batera

Koordinatu hiru gauza: zerbitzariaren direktiba, bezeroaren profila eta bezero bakoitzeko identitate-mapaketa. Banaka aldatzen badituzu, bezeroek egiaztapena baino lehen huts egiten dute, edo administratzaileak espero ez zuen izen batekin konektatzen dira, eta hori okerragoa da arrakastaren itxura duelako. Identitate okerreko konexio arrakastatsua zailagoa da nabaritzen huts egiten duena baino.

Mantendu bi proba-kontu bide honetarako, bat baliozkoa eta bestea jakina txarra, eta erabili biak egiaztatzailean edozein aldaketaren ondoren. Kontu baliozkoak bide zoriontsua eta identitate-mapaketa frogatzen ditu; txarrak bazterketak oraindik funtzionatzen duela frogatzen du. Inongo probak ez dizu ezer esaten hautagarritasun-arauen inguruan, beraz gehitu politikagatik baztertu beharko litzatekeen kontu bat inplantazioak horrelakoak baditu. Exekutatu hirurak aldaketa bakoitzaren ondoren, dena onartzen hasten den egiaztatzaile bat saio-hasiera funtzional baten berdin-berdina ematen baitu.

Erregistratu zerbitzariak benetan onartzen dituen autentikazio-metodoak, ez profilek iradokitzen dituenak. Erregistro horrek jendeak etengabe egiten duen galderari erantzuten dio, hau da, nork konekta daitekeen zerbitzu honetara. Hurrengo administratzailea ere gainditzen du, bestela pakete-harrapaketa batetik berraurkibatuko bailuke.