Cén comhad CA a théann i bpróifíl OpenVPN nach bhfuil inti ach pasfhocal?

Téigh trí cheithre cheist in ord agus ní bheidh an dialóg CA débhríoch a thuilleadh. Cén t-ábhar a d'eisigh an t-oibreoir i ndáiríre, cad atá sa phróifíl cheana féin, cén réimse atá ag fiafraí, agus cad a tharlaíonn tar éis an comhad a lódáil? Stop ag an gcéad cheist nach féidir leat a fhreagairt ó threoracha an oibreora féin, mar is é an tomhas thar an gceist sin an bealach a dtéann teastas CA poiblí in éineacht le heochair phríobháideach nár cheart di an freastalaí a fhágáil riamh.

Tá tábhacht leis an ord: ní dhéanann an dá cheist dheireanacha ciall go dtí go mbeidh a fhios agat cén t-ábhar ba cheart a bheith ann.

Tosaigh leis an méid atá sa phróifíl cheana féin

Oscail an phróifíl in eagarthóir téacs agus lorg bloc ca sula lorgaíonn tú comhad. Ciallaíonn bloc ca inlíne ina bhfuil CA poiblí an oibreora go bhfuil an phróifíl féinleor, agus b'fhéidir go bhfuil cliant atá fós ag iarraidh comhad CA ag léamh próifíle eile nó iompórta neamhiomláin. Má tá líne ca sa phróifíl ina ionad sin a dhíríonn ar chonair, tá an chonair sin coibhneasta le comhadlann oibre an chliaint i roinnt comhtháthuithe agus iomlán i gcinn eile. Tabhair faoi deara cén fhoirm atá agat sula n-athraíonn tú aon rud.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Seiceáil an pacáiste seachadta do na comhaid a dtagraíonn an phróifíl dóibh: teastas CA, uaireanta teastas cliaint agus eochair ar leithligh, agus b'fhéidir comhad tls-auth nó tls-crypt. Tá próifíl a thagraíonn do cheithre chomhad ach a dtagann dhá cheann ina cuid neamhiomlán, agus ní dheisíonn aon mhéid dírithe ar réimsí é sin. Iarr ar an oibreoir an píosa atá ar iarraidh in ionad teastas a bhfuil agat de thimpiste a chur ina áit.

Scar na ceithre chineál ábhair

Is ábhar poiblí é an teastas CA a úsáidtear chun céannacht an fhreastalaí a fhíorú. Aithníonn teastas cliaint an t-úsáideoir nó an gléas don fhreastalaí. Is é an eochair phríobháideach an leath rúnda den teastas cliaint sin, agus ní cheart di a bheith riamh ina heochair shínithe ag an CA ná ina heochair freastalaí. Is rún comhroinnte ar leith é ábhar tls-auth nó tls-crypt a chosnaíonn an cainéal rialaithe. Níl na ceithre rud seo idirmhalartach, agus má dhírítear réimse CA ar theastas cliaint cruthaítear teip fíoraithe a bhfuil cuma fadhb muiníne uirthi.

Fíordheimhniú le pasfhocal amháin a athraíonn cé acu de na ceithre a theastaíonn uait, ní cad a chiallaíonn siad. Le auth-user-pass agus remote-cert-tls server fíoraíonn an cliant an freastalaí i gcoinne CA fós, agus sin an fáth a bhfuil an réimse CA le feiceáil fiú nuair nach bhfuil aon teastas cliaint ann. Socraíonn polasaí an oibreora an gá teastas cliaint freisin, agus ní féidir le haon dialóg é sin a rá leat.

Dírigh an cliant chuig an gcomhad muiníne

Roghnaigh an comhad teastais CA féin, ní an fillteán ina bhfuil sé agus ní pacáiste .p12 ina bhfuil céannacht cliaint. Ar Windows iompraíonn comhréir na conaire agus an roghnóir comhad iad féin go difriúil ó na samplaí Linux i bhformhór na dtreoracha, mar sin úsáid an rud a ghlacann an cliant atá suiteáilte agus deimhnigh go bhfuil an comhad inléite ag an gcuntas a ritheann é. Breathnaíonn fadhb ceada agus comhad ar iarraidh mar an gcéanna sa dialóg ach cruthaíonn siad línte logála difriúla. Tar éis roghnú, athoscail socruithe na próifíle chun a dheimhniú gur choinnigh an cliant an rogha.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Má thacaíonn an cliant le bloic inlíne, is fearr próifíl inlíne an oibreora ná ceann atá curtha le chéile de láimh. Taistealaíonn ábhar inlíne leis an bpróifíl agus maireann sé athiompórtáil, ach briseann conair iomlán an nóiméad a aistrítear an phróifíl go meaisín eile.

Léigh an chéad earráid eile, ní an ceann céanna

Is é cuspóir an CA cheart an earráid a athrú, ní í a ligean as. Ciallaíonn teip chéannachta an fhreastalaí tar éis an CA a lódáil nár mheaitseáil an teastas leis an ainm a bhíothas ag súil leis nó le hionchas remote-cert-tls, rud atá ina dheisiú difriúil ó dhiúltú pasfhocail. Ciallaíonn diúltú pasfhocail gur éirigh leis an gciseal TLS agus go bhfuil an dintiúr mícheart. Coinnigh an chéad teachtaireacht nua; is í sin an ceann úsáideach.

Tá cliant a nascann ach nach sroicheann aon rud tar éis dul thar mhuinín ar fad agus tá sé anois ag tabhairt aghaidh ar cheist ródaithe nó DNS.

Ná díchumasaigh fíorú riamh chun dul thar an dialóg sin. Níl cúis ar bith ag cliant a ghlacann aon teastas CA a iarraidh, agus ní hé an tollán a thógann sé an ceann a bhí beartaithe ag an oibreoir.