OpenVPN gan deimhniú cliaint: polasaí freastalaí, ní próifíl

Scriosann tú na línte deimhnithe agus eochrach, tugann tú an phróifíl ar láimh, agus teipeann an nasc fós le hearráid deimhnithe. Níorbh í an phróifíl riamh an rud a chuir an riachtanas sin i bhfeidhm. Is é an freastalaí a shocraíonn an bhfuil deimhniú cliaint éigeantach, agus ní dhéanann aon eagarthóireacht ar thaobh an chliaint idirbheartaíocht air sin. Mar sin is é an ceartú ná athrú ar pholasaí an fhreastalaí, déanta go toiliúil, agus gach rud a bhraitheann air sin nuashonraithe sa rith chéanna.

Ní hé an phróifíl an polasaí

Tagann Community OpenVPN 2.6 le deimhnithe cliaint éigeantacha, toisc go bhfuil verify-client-cert mar réamhshocrú ag require. Is é a shocrú go none a stopann an t-éileamh ar dheimhniú agus a thugann fíordheimhniú an chliaint don socrú ainm úsáideora agus pasfhocail atá á reáchtáil ag an bhfreastalaí cheana. Sroicheann treoracha níos sine chuig client-cert-not-required, an litriú oidhreachta den smaoineamh céanna, mar sin bain úsáid as an treoir a dhoiciméadaíonn an leagan atá suiteáilte agat. Cibé bealach, tarlaíonn an t-athrú ar an bhfreastalaí, agus ní féidir le haon phróifíl cliaint é a dhéanamh.

Is é an blúire thíos an t-athrú iomlán ar thaobh an fhreastalaí, agus ann féin ní cumraíocht fhíordheimhniúcháin oibre é. Bainfidh verify-client-cert none an riachtanas deimhnithe, agus déanann username-as-common-name ainm an chuntais a bheith ina fhéiniúlacht a fheiceann aisghlaoithe níos déanaí agus comhaid in aghaidh an chliaint. Ní sheiceálann ceachtar líne pasfhocal, mar sin caithfidh fíoraitheoir a bheith ann fós.

verify-client-cert none
username-as-common-name

Is breiseán nó script é an fíoraitheoir sin a stiúrann auth-user-pass-verify, agus caithfidh sé a bheith ina áit sula gciallaíonn aon cheann de na línte thuas rud ar bith. Má aisionpraíonn tú an t-ordú, faigheann tú fuinneog nach n-éilíonn an freastalaí deimhniú inti agus nach seiceálann sé aon chuntas.

Cad a fhíoraíonn an freastalaí fós

Ní ionann deimhniú an chliaint a fhágáil ar lár agus TLS a fhágáil ar lár. Coinníonn an freastalaí a dheimhniú agus a eochair, agus coinníonn an cliant an mhuinín CA agus na seiceálacha ainm óstaigh a choisceann é ó labhairt le calaoiseoir. Is míléamh coitianta agus tromchúiseach é remote-cert-tls server nó an beart CA a bhaint toisc nach bhfuil deimhniú ag an gcliant a thuilleadh, agus deir an tagairt 2.6 go soiléir go bhfuil an dá threo neamhspleách. Cruthaíonn ceann amháin an freastalaí don chliant; cruthaíonn an ceann eile an cliant don fhreastalaí.

Is féidir le próifíl bloc tls-auth nó tls-crypt a iompar freisin. Is eochair chomhroinnte de chainéal rialaithe í sin a bhfuil a timthriall dáileacháin agus rothlaithe féin aici, mar sin ní comhad atá sábháilte go huathoibríoch le foilsiú é comhad gan línte deimhnithe ná eochrach. Caith leis mar rún go dtí go léifidh tú é.

Ní chruthaíonn comhad deimhnithe a cóipeáladh as próifíl oibre rud ar bith ann féin; ciallaíonn seilbh an eochair phríobháideach a mheaitseálann é a choinneáil, rud a sheiceálann imscaradh atá fíordheimhnithe le deimhniú. Ní comhad é comhad a bhfuil deimhniú ann ar féidir fíordheimhniú leis.

Cad a chaithfidh an fíoraitheoir a dhéanamh

Agus an riachtanas deimhnithe bainte, luíonn gach rud ar an bhfíoraitheoir: breiseán, nó script a stiúrann auth-user-pass-verify. Caithfidh sé dlisteanacht a dhiúltú d'aitheantas neamhbhailí, cuntais dhíchumasaithe nó neamh-incháilithe a dhiúltú, agus teip go dúnta nuair nach féidir leis a backend a shroicheadh. Is minic username-as-common-name cumasaithe ina theannta, agus athraíonn sé an fhéiniúlacht a fheiceann aisghlaoithe níos déanaí agus comhaid chumraíochta in aghaidh an chliaint. Ní fhíoraíonn sé pasfhocal, agus ní dhéanann sé cuntas neamh-incháilithe incháilithe. Is poist ar leith iad sin, agus is é a meascadh an bealach a n-éiríonn le himirce a tástáil ar an gcosán sona agus a dteipeann uirthi ar a céad eachtra fhíor.

Tástáil na cásanna diúltacha chomh cúramach leis an gceann dearfach. Ní chruthaíonn próifíl a thaispeánann leid pasfhocail ach gur féidir leis an gcliant leid a tharraingt, agus cruthaíonn freastalaí a ghlacann an pasfhocal mícheart rud i bhfad níos measa. Cuir cuntas díchumasaithe agus dintiúir atá imithe in éag leis an tsraith tástála, ní hamháin pasfhocal dona.

Athraigh an polasaí, an phróifíl agus an mhapáil le chéile

Comhordaigh trí rud: treoir an fhreastalaí, próifíl an chliaint agus an mhapáil fhéiniúlachta in aghaidh an chliaint. Athraigh iad ar leith agus teipeann ar chliaint roimh an bhfíorú, nó nascann siad faoi ainm nár thug an riarthóir faoi deara, rud is measa toisc go bhféachann sé le rath. Tá sé níos deacra nasc a éiríonn faoin bhféiniúlacht mhícheart a thabhairt faoi deara ná ceann a theipeann.

Coinnigh dhá chuntas tástála don chosán seo, ceann bailí agus ceann atá ar eolas dona, agus bain úsáid as an dá cheann tar éis aon athraithe ar an bhfíoraitheoir. Cruthaíonn an cuntas bailí an cosán sona agus an mhapáil fhéiniúlachta; cruthaíonn an ceann dona go n-oibríonn an diúltú fós. Ní insíonn ceachtar tástáil aon rud duit faoi rialacha incháilitheachta, mar sin cuir cuntas leis ar cheart diúltú dó ar chúiseanna polasaí má tá siad ag an imscaradh. Rith an triúr tar éis gach athraithe, mar féachann fíoraitheoir a thosaíonn ag glacadh le gach rud go díreach cosúil le logáil isteach oibre.

Taifead cé na modhanna fíordheimhnithe a ghlacann an freastalaí i ndáiríre, ní cé na cinn a mholann an phróifíl. Freagraíonn an taifead sin an cheist a chuireann daoine i gcónaí, is é sin cé atá in ann nascadh leis an tseirbhís seo. Maireann sé freisin thar an gcéad riarthóir eile, a athfháilfeadh é ar shlí eile ó ghabháil paicéad.