Teastas cliaint féinshínithe? Diúltaíonn an freastalaí VPN dó fós

Seolann an t-oibreoir seoladh agus ainm úsáideora, agus iarrann an cliant comhad CA, teastas agus eochair. Is cosúil gur é an chéad chéim eile iad na trí cinn seo a ghiniúint go háitiúil. Cruthaítear teastas nach gcreideann ach do mheaisín féin ann. Tá muinín an fhreastalaí bunaithe i CA nach bhfuil smacht agat air, mar sin críochnaíonn an chroitheadh láimhe sula dtosaíonn sé.

Maireann muinín ar an bhfreastalaí, ní i do phróifíl

Is comparáid í an fhíordheimhniú le teastas. Cuireann an cliant teastas i láthair; seiceálann an geata ar shínigh ceann de na CAanna ina chumraíocht é.

Ainmníonn do phróifíl an comhad CA ar cheart don chliant a úsáid chun an freastalaí a fhíorú. Ní féidir léi CA a ainmniú ar cheart don fhreastalaí a úsáid chun tú a fhíorú. Ní leatsa an leath sin den chumraíocht.

Teipeann teastas a rinne tú féin ar an gcomparáid seo fiú nuair atá sé foirfe go teicniúil. Tá síniú bailí, ábhar agus dátaí aige, ach is CA é an t-eisitheoir nár chuala an geata riamh. Tá an earráid le feiceáil le linn an chroitheadh láimhe, tar éis don fhreastalaí teastas a iarraidh cheana. Ní féidir le haon rud i bpróifíl an chliaint an freagra a athrú.

Cén fáth nach féidir le teastas féinshínithe ionad a dhéanamh

Sínítear teastas féinshínithe lena eochair féin. Fíoraítear an síniú in aghaidh an chomhad chéanna, rud a fhágann é féinchomhsheasmhach agus gan úsáid mar dhintiúr do gheata duine eile.

Ní chuireann an geata ceist an bhfuil an teastas comhsheasmhach go hinmheánach. Cuireann sé ceist ar shínigh eisitheoir iontaofa é.

Sin an fáth a bhfuil na teachtaireachtaí earráide mearbhallach. Féadfaidh an cliant teip fíoraithe a thuairisciú a bhfuil cuma fhadhb freastalaí air, agus an freastalaí ag logáil eisitheora anaithnid. Cuireann an dá rud síos ar an éagothroime chéanna ó cheannanna contrártha.

Coinníonn conair an CSR d'eochair phríobháideach

Is féidir leat an chuid is mó den obair a dhéanamh go háitiúil fós. Gin eochairphéire, tóg iarratas sínithe teastais timpeall ar an leath phoiblí agus seol an t-iarratas sin chuig an oibreoir. Ní fhágann ach an t-iarratas do mheaisín. Fanann an leath phríobháideach san áit ar ghine tú í.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Síníonn an t-oibreoir an t-iarratas lena CA agus seolann sé teastas ar ais. Níor thaistil d'eochair phríobháideach riamh, agus nascann an toradh leis an ancaire a bhfuil muinín ag an ngeata as.

Is minic a scipeann seirbhísí bainistithe an CSR agus eisíonn siad an beart iomlán. Is malartú réasúnach é sin nuair a chuireann an soláthraí céanna deireadh leis an tollán agus coinníonn sé an CA. Ní fheabhsaítear coimeád na heochrach trína coimeád, mar d'fhéadfadh an soláthraí ceann nua a bhualadh am ar bith.

Iompórtáiltear beartanna, ní shuiteáiltear iad

Is minic gur próifílí OpenVPN iad beartanna soláthraithe le hainmneacha a bhfuil cuma slándála orthu. Cuimsíonn siad cumraíocht agus uaireanta teastais, agus ní shuiteálann siad aon rud. Iompórtáil an comhad isteach i gcliant a labhraíonn an prótacal, agus tá an nasc cumraithe.

Leanann an riail láimhseála ón ábhar. Má ionchódaíonn an phróifíl eochair phríobháideach, is dintiúr í agus tá an chúram céanna tuillte aici agus atá ag pasfhocal: gan ríomhphost, gan stór, gan chomhadlann íoslódála roinnte. Nuair a sheolann an t-oibreoir ca.crt, client.crt agus client.key ar leithligh, stóráil le chéile iad le ceadanna sriantacha agus dírij an phróifíl chucu.

Cuir leis na seiceálacha a d'fhéadfadh an t-oibreoir a scipeáil

Uaireanta ní bhíonn fíorú piaraí ag próifíl a ghineann an ródaire. Éilíonn remote-cert-tls server go mbeadh cuspóir fíordheimhnithe freastalaí ag teastas an phiara, ionas nach féidir teastas cliaint a athsheinm mar fhreastalaí. Is athrú beag é an líne amháin sin le réasúnú soiléir.

Téann verify-x509-name níos faide nuair is féidir leis an oibreoir an t-ábhar nó an SAN a bhfuiltear ag súil leis a ainmniú. Is breiseáin bheaga phróifíle iad an dá rud, agus tá an dá rud inchosanta. Scrúdaigh an méid a fuair tú sula n-iompórtálann tú é.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Ní deisiú ar shlabhra briste iad socruithe fíoraithe. Má tá an t-eisitheoir mícheart, is teastas ón CA cheart an freagra, ní bratach a mhúchann an seiceáil. Athraíonn múchadh an fhíoraithe teip fhíordheimhnithe ina teip neamhaimsithe.

Iarr beart amháin: teastas an údaráis mar PEM, teastas cliaint a shínigh an t-údarás sin, eochair a ghine tú nó a tháinig trí chainéal a bhfuil muinín agat as, agus ainm cruinn an fhreastalaí ar cheart don teastas a chur i láthair. Nótaigh an dáta éaga sa teachtaireacht chéanna, mar tá cuma locht líonra ar theastas atá imithe in éag míonna níos déanaí.