Conas a réitíonn OpenVPN an deimhniú agus an eochair: PEM inlíne nó cosán

Deir an teachtaireacht nach féidir le OpenVPN deimhniú inlíne a luchtaithe, agus deir an t-ainm comhaid atá i do cheann a mhalairt. Tá níos mó i gceist leis an méid a fuair an parsálaí ná leis an méid atá sa chóras comhad, mar glacann an treoir cert le dhá chineál luacha atá go hiomlán difriúil. Ceann amháin is cosán a osclaíonn sé; an ceann eile is téacs PEM a tháinig taobh istigh den chumraíocht. Go dtí go bhfuil a fhios agat cén fhoirm a fuair an cliant atá ag rith, is buille faoi thuairim gach ceartú.

Dhá fhoirm stórála, aon treoir amháin

Glacann na treoracha cert, key agus ca le cosán nó le bloc inlíne. Nuair is cosán an luach, osclaíonn OpenVPN an comhad sin agus léann sé an réad ón diosca. Nuair a bhíonn bloc teorannaithe ag clibeanna cert sa chumraíocht, ídíonn an treoir chéanna an t-ábhar idir na clibeanna sin ina ionad, agus ní bhíonn aon chomhad ar leithligh i gceist.

Táirgeann an dá fhoirm an cineál céanna réada sa deireadh, agus mar sin is féidir le himscaradh atá ag obair bogadh eatarthu gan aon athrú eile. Tá próifíl a iompraíonn deimhniú cliaint agus eochair phríobháideach leabaithe féinchuimsitheach, agus oibríonn sé í a chóipeáil chuig meaisín eile gan eolaire deimhnithe a chóipeáil freisin.

Níl a mhalairt fíor. Ní athraíonn sé aon rud client.crt a fhágáil in aice le próifíl a leabaíonn a shonraí féin, mar ní thagraíonn aon rud sa chumraíocht don chomhad sin. Seo an chúis is coitianta a bhfeictear comhad atá ann go soiléir á neamhaird.

Conas a iompaíonn bloc inlíne ina réad

Baintear ábhar inlíne as an gcumraíocht agus tugtar don pharsálaí PEM é mar théacs. Bíonn súil ag an bparsálaí sin leis na teorainneacha is gnáth: líne BEGIN, ualach base64 agus líne END chomhoiriúnach. Má gearradh an bloc de bharr cóipeála ar theip uirthi, má chuir leathanach íoslódála i HTML é nó má osclaíodh in eagarthóir a rinne normalú ar na fleiscíní é, teipeann an parsálaí ar ábhar a bhféadfá a cheapadh atá ann.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

Sin é an fáth freisin go bhfuil foclaíocht na hearráide míthreorach. Cuireann an focal inlíne síos ar an áit a bhreathnaigh an lódálaí, ní ar an méid a fuair sé ansin. Is féidir le comhad a ainmnítear i gcumraíocht agus réad atá leabaithe inti an ghearán chéanna a tháirgeadh nuair nach féidir na beartaí bunúsacha a úsáid.

Seiceáil cén fhoirm a úsáideann an phróifíl luchtaithe i ndáiríre, ní hé cé acu comhad a d'oscail d'eagarthóir de thaisme:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

Conas a réitítear tagairt chosáin

Osclaítear luach cosáin i gcoibhneas le heolaire oibre an chliaint, ní le heolaire ina bhfuil an chumraíocht. Faoi systemd is é an t-eolaire oibre sin an rud a shocraíonn an t-aonad, agus faigheann rith idirghníomhach ó do bhlaosc rud eile ar fad le hoidhreacht. Sin é an fáth a bhféadfadh an comhad cumraíochta céanna oibriú nuair a thástálann tú de láimh é agus teip a bhaint as mar sheirbhís.

Faigheann cosáin choibhneasta an déchiallacht chéanna le hoidhreacht. Nuair a fheiceann tú ainm comhaid lom, fiafraigh cad é eolaire reatha an phróisis i dtáirgeadh seach a bheith ag glacadh leis go bhfuil sé ag teacht le do theirmíneach.

Le deimhniú a stóráiltear ar leithligh, deimhníonn parsáil as líne an réad sula gcuireann tú dífhabhtú ar aon rud os a chionn:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

Cruthaíonn na horduithe sin go bhfuil na comhaid inléite agus bailí ó thaobh struchtúir de. Ní chruthaíonn siad go bhfuil muinín ag an bpiaraí as an eisitheoir, go bhfuil an deimhniú fós laistigh dá fhuinneog bhailíochta nó gur leis an eochair é.

Cad is féidir leis an earráid pharsála a insint duit agus cad nach féidir

Aimsíonn teip pharsála an fhadhb in aon ionchur amháin agus in aon chéim amháin. Ní insíonn sé duit cé acu den dá fhoirm stórála a d'úsáid an cliant, agus ní insíonn sé duit ar glacadh leis an réad. Ceisteanna ar leithligh iad sin le fianaise ar leithligh.

Nuair a éiríonn leis an bparsáil, baineann an chéad teip eile le céim níos déanaí. Is é an piaraí nó an ciseal TLS a thuairiscíonn diúltú muiníne, mí-chomhoiriúnú cuspóra nó mí-chomhoiriúnú eochrach, ní an lódálaí. Ní bhogfaidh athsholáthar an chomhaid chéanna arís agus arís eile an earráid sin.

Coinnigh an leath íogair amach ó thuairiscí poiblí agus tú ag fiosrú. Roinn ainmneacha na dtreoracha, téacs na hearráide agus struchtúr an bhloc, agus an t-ábhar eochrach agus aon ualach aitheantais bainte amach. Déanann an lámhleabhar openvpn(8) doiciméadú ar an dá fhoirm de na treoracha comhaid agus ar iompar an eolaire oibre atá taobh thiar díobh.