Coinnigh eochair shíniú CA OpenVPN amach as /etc/openvpn

Déanann dhá chomhadlann atá cosúil lena chéile i dteagasc jabanna iomlán difriúla. Coinníonn ceann amháin an t-údarás deimhniúcháin: a eochair phríobháideach, a chuntar sraithuimhreach agus an taifead ar gach rud a shínigh sé. Coinníonn an ceann eile an rud a theastaíonn ón daemon chun tosú agus freastal ar chliaint. Tá sé áisiúil don dá cheann a chur ar an óstach céanna faoin gcuntas céanna ar feadh tráthnóna amháin agus tá sé costasach ar feadh an chuid eile de shaol an imlonnaithe, mar go ritheann an daemon ansin in aice leis an aon eochair amháin a fhéadann aon fhéiniúlacht a theastaíonn uaidh a chruthú.

Cad atá i spás oibre an CA

Is staid eisitheora é comhadlann PKI, ní cumraíocht. Tá eochair phríobháideach agus deimhniú an CA ann, comhad sraithuimhreach, innéacs de dheimhnithe eisithe, agus an t-ábhar in aghaidh na féiniúlachta a táirgeadh uathu.

Athraíonn síniú iarratais an staid sin, agus is ar an ábhar sin a bhaineann an spás oibre le cuntas atá á rialú ag riarthóir ar óstach nach ritheann an tseirbhís VPN air. Féadann aon duine ar féidir leis eochair phríobháideach an CA a léamh deimhniú a eisiúint a mbeidh muinín ag an bhfreastalaí as, mar sin is é cosaint na heochrach an tsamhail iontaoibhe ar fad i gcomhad amháin. Cruthaíonn a chóipeáil go dara háit chun céim a shábháil an dara rud le cosaint agus an dara rud le dearmad. Méadaíonn gach síniú an sraithuimhir freisin agus cuireann sé iontráil leis an innéacs, agus is ar an ábhar sin gur cóip amháin de staid é an spás oibre seachas fillteán comhad.

Tá deimhniú poiblí an CA difriúil. Tá sé ceaptha le dáileadh, agus is é a úsáideann cliaint agus freastalaithe chun a chéile a fhíorú.

Cad a léann an daemon nuair a thosaíonn sé

Ídíonn freastalaí atá ag rith sraith bheag: a dheimhniú féin, a eochair phríobháideach féin, deimhniú an CA chun piaraí a fhíorú, agus cibé ábhar eochrach a éilíonn an mód atá roghnaithe aige. Léann sé na cosáin sin ag am tosaithe agus arís ag athlódáil.

Caithfear úinéireacht a mheas i gcoinne an aonaid a thosaíonn i ndáiríre, ní i gcoinne sliogán root idirghníomhach. Féadann smeachbhosca dearbhaithe cuid den chóras comhad a dhéanamh inléite amháin nó dofheicthe fiú nuair a n-éiríonn le tástáil láimhe mar root.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Is é an tríú líne sin an ceann a scipeálann daoine. Fiafraíonn sé de chuntas an daemon féin an féidir leis an eochair a léamh, agus sin an t-aon leagan den cheist atá tábhachtach nuair a bheith pribhléidí scaoilte. Ní deir scor nialasach mar root aon rud faoin méid a tharlaíonn tar éis an scaoileadh.

Is fiú an dá chonair locht a scaradh sula n-athraíonn tú aon chead. Díríonn teip síniú ar chomhadlann PKI, ar an gcead cuardaigh ar a comhadlanna tuismitheora agus ar an gcuntas a ritheann an t-eisitheoir. Díríonn teip tosaithe ar an aonad, ar a chomhadlann oibre agus ar na cosáin a ainmnítear i gcumraíocht an fhreastalaí. Ní réitíonn an crann iomlán a dhéanamh inléite ag cách ceachtar acu, agus baintear an teorainn a bhfuil an dá cheann ag brath uirthi.

Cén fáth a dteipeann ar chóipeáil eochair an CA chuig an bhfreastalaí níos déanaí

Is gnách go dtosaíonn an chóip mar bheart dífhabhtaithe: teastaíonn ó dhuine cliant a athnuachan ar óstach an VPN, mar sin tagann eochair an CA i dtír i /etc/openvpn agus oibríonn an athnuachan. Éiríonn leis an tasc láithreach, agus tá an teorainn imithe.

Ansin déantar cúltaca den fhreastalaí, agus téann an t-údarás síniúcháin isteach sna cúltacaí. Iompraíonn seatra, beart tacaíochta nó cóip de chomhadlann na cumraíochta an cumas anois féiniúlachtaí iontaofa a eisiúint fad atá an CA bailí. Féadann aon duine a bhfuil an chóip sin aige deimhniú a chruthú d’aon ainm a nglacann an freastalaí leis, lena n-áirítear ainmneacha nár eisíodh riamh. Is é an t-aon taifead ar an eisiúint sin an ceann a roghnaíonn siad a choinneáil.

Ní ceist comhad a scriosadh é téarnamh ón staid sin. Caithfidh tú a chinneadh ar nochtadh an eochair, an CA a rothlú má nochtadh, agus muinín a athdháileadh ar gach piara. Seachnaíonn spás oibre ar leith an comhrá ar fad.

Cuntais, comhadlanna, cúltacaí

Tabhair a chuntas agus a chomhadlann bhaile féin don eisitheoir, coinnithe amach ó óstach an VPN nuair is praiticiúil. Tabhair cuntas difriúil don daemon, le rochtain léitheoireachta ar an ábhar atá suite agus rochtain scríbhneoireachta ar rud ar bith a eisíonn deimhnithe. Imsocraigh trí dheimhnithe poiblí a chóipeáil amach agus riamh trí staid phríobháideach an eisitheora a tharraingt isteach. Déan cúltaca den dá ról ar leith, mar tá a n-íogaireacht agus a scéalta athchóirithe difriúil.

Tar éis cúlghairme, nuashonraigh an comhad CRL a ainmníonn cumraíocht an fhreastalaí, ansin athlódáil an tseirbhís ionas go léifidh naisc nua é. Doiciméadú Easy-RSA clúdaíonn sé leagan amach an spáis oibre agus an sreabhadh síniúcháin; fanann na rialacha úinéireachta timpeall air ina chinneadh faoi do óstach. Deimhnigh cad a lódáil an tseirbhís le openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate in ionad glacadh leis gur thóg an athlódáil é.

Tástáil a chruthaíonn an scaradh

Seiceáil an cás diúltach, ní hamháin an ceann a oibríonn. Sínigh deimhniú ó chuntas an eisitheora mar a dearadh, ansin deimhnigh nach féidir leis an gcuntas céanna an tseirbhís a thosú ná eochair phríobháideach an fhreastalaí a léamh. Ansin deimhnigh nach féidir le cuntas an daemon eochair phríobháideach an CA a léamh.

Tógann na trí sheiceáil sin cúpla nóiméad agus maireann siad athruithe foirne, mar is ráitis faoi cheadanna iad seachas faoi nós. Scríobh an toradh síos leis na cosáin agus na cuntais a chlúdaigh sé, móide an dáta a rith tú iad. Mura ndéanfaidh tú, tiocfaidh an chéad duine eile a fhaigheann an t-imlonnú seo ar an teorainn arís ó theagasc nach raibh a leithéid riamh ann. Is é taifead dátaithe freisin an rud a fhágann go dtógfaidh an chéad athbhreithniú eile nóiméid seachas tráthnóna.