remote-cert-tls server: zer egiaztatzen duen OpenVPN profilean

Hiru galdera desberdini OpenVPN profilaren hiru zati desberdinek erantzuten diete, eta horiek batzea da jendeak funtzionatzen zuen egiaztapen bat itzaltzen amaitzeko modua. Parearen ziurtagiria konfiantza dudan autoritateak sinatu al du? Ziurtagiri horrek TLS zerbitzariaren rola adierazten al du? Nahi nuen zerbitzari zehatza al da? remote-cert-tls server erdiko galderari bakarrik erantzuten dio, eta ziurtagiriaren barneko luzapenak irakurriz egiten du.

Buruan bateratzen errazak diren hiru egiaztapen

Konfiantza-ankra ca zuzentarauan bizi da. Rolaren egiaztapena remote-cert-tls-ri dagokio. Identitatearen egiaztapena verify-x509-name-ri dagokio, profileak erabiltzen duenean, edo hedapenak gehitzen duen edozein izen-egiaztapeni.

Hutsegite desberdinak estaltzen dituzte:

Profileak hirurak izan ditzake eta oraindik ahula izan, CA oso zabal partekatzen bada, hau gakoen kudeaketaren kontua da, ez zuzentarauarena.

Zer irakurtzen du rolaren egiaztapenak

Zuzentaraua makro bat da. Gako-erabileraren baldintza eta TLS web zerbitzariaren rola izendatzen duen gako-erabilera hedatuko baldintza bihurtzen da, beraz parearen ziurtagiriak helburu hori benetan adierazi behar du. Bezeroaren autentifikaziorako jaulkitako ziurtagiriak ez du betetzen, autoritate berak biak sinatu baditu ere.

Hori garrantzitsua da CA partekatua ohikoa delako hedapen txikietan. Autoritate batek bezero guztiak eta zerbitzaria sinatzen ditu, eta rolaren egiaztapenik gabe ziurtagiri horietako edozeinek esku-ematearen zerbitzari aldea osa lezake. Egiaztapenak ez du eszenario hori ezinezko egiten, baina haren bertsio tribiala kentzen du.

Zuzentaraua asimetrikoa da diseinuz: bezeroek remote-cert-tls server daramate, eta zerbitzariek remote-cert-tls client. Trukatu eta konexio guztiek rol-errorearekin huts egiten dute, ziurtagiri hautsia dirudiena.

Profil zaharrek batzuetan ns-cert-type erabiltzen dute helburu bererako. Oraingo eskuliburu-orriek aukera hori gainditutzat hartzen dute, beraz oraindik harengan oinarritzen den profila migratzea merezi du, arazketa egin beharrean.

Zergatik ematen duen konponbide itxura desgaitzeak

Rolaren egiaztapenak huts egiten duenean, konexioa egiaztapen-errorearekin gelditzen da eta mugimendu nabaria lerroa ezabatzea da. Orduan konexioa igotzen da, aurrerapena ematen du eta egiaztapenak saihesteko existitzen duen hutsegite-modua da benetan. Orain inoiz rol horretarako pentsatua izan ez zen ziurtagiria duen pare bat onartzen duzu.

Irakurri errorea horren ordez. Huts egin zuen egiaztapena izendatzen du, eta beste aldeko ziurtagiria azter daiteke benetan zein luzapen daramatzan ikusteko. Bi minutu irakurtzeak erabakitzen du hutsa jaulkipenean edo konfigurazioan den. Asmatzeak arratsalde bat kostatzen du eta normalean profil ahulduarekin amaitzen da. Gako-erabilera hedatu galtzen duen zerbitzari-ziurtagiri berritua benetako hutsa da berritzean, ez bezeroa lasaitzeko arrazoia.

Izen-egiaztapena zuzentarau bereizia da

Rolaren egiaztapena betetzeak parearen zerbitzari bat zure autoritateak sinatua dela esaten du. Ez du esaten zein den, eta hori garrantzitsua da CA berak hainbat atebideren ziurtagiriak jaulkitzen dituenean eta horietako bat konprometituta edo berrerabilita dagoenean.

verify-x509-name ziurtagiriaren subjektua konfiguratzen duzun balioarekin alderatzen du, subjektu zehatz, aurrizki edo eremu bakarrerako bat-etortze moduekin. Atebidea benetan identifikatzen duen eremua erabili, eta izena aldatzean nahita eguneratuko duzula espero.

Bi zuzentarauek ez dute gakoen kudeaketa onik ordezkatzen. Bezeroaren gako-fitxategia profilearekin batera kopiatzen bada, parearen identitatea banaketa-zerrenda bezain sendoa da.

Aztertu ziurtagiria profila editatu aurretik

Irakurri parearen ziurtagiria eta bezeroaren erregistroa, ordena horretan. Ziurtagiriak zein rol adierazten dituen esaten du; erregistroak zein egiaztapenek baztertu zuen esaten du.

Komando hauek erabilera-luzapenak eta egiaztapen-lerroak inprimatzen dituzte konexio xehatu batetik:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Luzapenek zerbitzariaren rola erakusten badute eta erregistroak oraindik rol-hutsa jakinarazten badu, profileak ziurtagiri-fitxategi okerra seinalatzen du seguruenik, eta ez ziurtagiri txarra. Luzapenek bezeroaren autentifikazioa bakarrik erakusten badute, utzi bezeroari begiratzeari eta konpondu jaulkipena. Edonola ere, leheneratu egiaztapena konexioa osasuntsu izendatu aurretik, egiaztapena kendu ondorengo esku-emate arrakastatsuak ordezkatu zuen errorea baino gutxiago frogatzen baitu.