remote-cert-tls server: cad a sheiceáilann sé i bpróifíl OpenVPN

Freagraítear trí cheist éagsúla le trí chuid éagsúla de phróifíl OpenVPN, agus is é a gcumasc an bealach a gcríochnaíonn daoine ag múchadh seiceála a bhí ag obair. An bhfuil deimhniú an phiarálaí sínithe ag an údarás a bhfuil muinín agam as? An bhfógraíonn an deimhniú sin ról freastalaí TLS? An é an freastalaí beacht a raibh mé ag iarraidh a shroicheadh? Ní fhreagraíonn remote-cert-tls server ach an cheist láir, agus déanann sé sin trí fhairsingithe a léamh taobh istigh den deimhniú.

Trí sheiceáil atá éasca le cumasc i do cheann

Tá an t-ancaire muiníne sa treoir ca. Baineann an tseiceáil róil le remote-cert-tls. Baineann an tseiceáil aitheantais le verify-x509-name, nuair a úsáideann próifíl í, nó le cibé seiceáil ainm a chuireann an t-imscaradh leis.

Clúdaíonn siad teipeanna éagsúla:

Is féidir le próifíl na trí cinn a bheith aici agus fós a bheith lag má roinntear an CA ró-leathan, rud is ceist bainistíochta eochracha seachas ceist treorach.

Cad a léann an tseiceáil róil

Is macra í an treoir. Leathnaíonn sí go riachtanas úsáide eochrach agus riachtanas úsáide sínte eochrach a ainmníonn ról freastalaí gréasáin TLS, mar sin caithfidh deimhniú an phiarálaí an cuspóir sin a fhógairt i ndáiríre. Ní shásaíonn deimhniú a eisíodh le haghaidh fíordheimhniú cliant é, fiú nuair a shínigh an t-údarás céanna an dá cheann.

Tá sé sin tábhachtach mar tá CA roinnte coitianta i n-imscarthaí beaga. Síníonn údarás amháin gach cliant agus an freastalaí, agus gan seiceáil róil d'fhéadfadh aon cheann de na deimhnithe sin taobh freastalaí an chroitheadh láimhe a chríochnú. Ní dhéanann an tseiceáil an cás sin dodhéanta, ach baineann sí an leagan fánach de.

Tá an treoir neamhshiméadrach de dhearadh: iompraíonn cliaint remote-cert-tls server, agus iompraíonn freastalaithe remote-cert-tls client. Déan iad a mhalartú agus teipeann ar gach nasc le hearráid róil a fhéachann cosúil le deimhniú briste.

Úsáideann próifílí níos sine ns-cert-type uaireanta don chuspóir céanna. Measann leathanaigh lámhleabhair reatha an rogha sin a bheith curtha in ionad, mar sin is fiú próifíl a bhíonn ag brath uirthi fós a imirce seachas a dhífhabhtú.

Cén fáth a mbraitheann sé mar réiteach í a dhíchumasú

Nuair a theipeann ar an tseiceáil róil, stopann an nasc le hearráid fíoraithe agus is é an gluaiseacht fhollasach an líne a scriosadh. Ansin éiríonn an nasc, rud a mbraitheann tú mar dhul chun cinn agus is é i ndáiríre an mód teipe a bhfuil an treoir ann chun é a chosc. Glacann tú anois le piaraí nach raibh a dheimhniú riamh beartaithe don ról sin.

Léigh an earráid ina ionad. Ainmníonn sé an tseiceáil a theip, agus is féidir deimhniú an taoibh eile a scrúdú chun a fheiceáil cé na fairsingithe atá air i ndáiríre. Socraíonn dhá nóiméad léitheoireachta an é an locht eisiúna nó cumraíochta é. Cosnaíonn buille faoi thuairim tráthnóna agus críochnaíonn sé de ghnáth le próifíl lagaithe. Is locht fíor san athnuachan é deimhniú freastalaí athnuaite a chaill a úsáid sínte eochrach, ní cúis chun an cliant a scaoileadh.

Is treoir ar leithligh í an tseiceáil ainm

Deir sé go sásaíonn an tseiceáil róil gur freastalaí éigin sínithe ag d'údarás é an piaraí. Ní deir sé faoi cé acu, rud a bhfuil tábhacht leis nuair a eisíonn an CA céanna deimhnithe do roinnt geataí agus ceann acu curtha i mbaol nó athdhéanta.

Déanann verify-x509-name comparáid idir ábhar an deimhnithe agus luach a chumraíonn tú, le modhanna meaitseála d'ábhar cruinn, do réimír nó do réimse amháin. Úsáid an réimse a aithníonn an geata i ndáiríre, agus bí ag súil go nuashonróidh tú go feasach é nuair a athraíonn an t-ainm.

Ní thagann ceachtar treoir in ionad láimhseála mhaith eochrach. Má chóipeáiltear comhad eochrach an chliaint timpeall leis an bpróifíl, níl aitheantas an phiarálaí ach chomh láidir leis an liosta dáileacháin.

Scrúdaigh an deimhniú sula n-athraíonn tú an phróifíl

Léigh deimhniú an phiarálaí agus loga an chliaint, san ord sin. Insíonn an deimhniú duit cé na róil a fhógraíonn sé; insíonn an loga duit cé an tseiceáil a dhiúltaigh é.

Priontálann na horduithe seo na fairsingithe úsáide agus na línte fíoraithe ó nasc focal:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Má thaispeánann na fairsingithe ról an fhreastalaí agus má thuairiscíonn an loga teip róil fós, is dócha go bhfuil an phróifíl ag síneadh chuig an gcomhad deimhnithe micheart seachas chuig drochdeimhniú. Má thaispeánann na fairsingithe fíordheimhniú cliant amháin, stop ag féachaint ar an gcliant agus deisigh an eisiúint. Cibé cleachta, athchóirigh an tseiceáil sula nglaonn tú an nasc sláintiúil, mar ní chruthaíonn croitheadh láimhe rathúil tar éis fíorú a bhaint níos lú ná an earráid a tháinig ina ionad.