Cad a sheiceálann do chliant VPN sula gcuireann sé muinín i dteastas

Deir do chliant VPN nach bhféadfaí an teastas a fhíorú, agus stopann an dialóg ansin. Tá an comhad i láthair, tá an freastalaí suas, agus d’oibrigh an phróifíl chéanna ar ríomhaire glúine eile an mhí seo caite. Faoin rabhadh aonlíne sin chuir an cliant teastas an phiara trí cheithre gheata: seasann údarás deimhniúcháin a chumraigh tú ar son an chosáin sínithe, sroicheann an cosán sin an t-údarás, is é ainm an phiara an t-ainm a d’iarr tú, agus tá an teastas inúsáidte anois don chuspóir seo. Aimsigh an geata a dhún agus is gnáth go mbíonn an deisiú ina chomhad amháin; má scipeáil tú an chéim sin, athiompórtálfaidh tú babhtaí an tráthnóna ar fad.

Léigh an dialóg sula ndéanann tú eagarthóireacht ar an bpróifíl

Is é an leabharlann thíos a dhéanann foclaíocht na n-earráidí teastais, ní an táirge VPN a shuiteáil tú, mar sin is é an teaghrán cruinn do chéad fhianaise. Cuireann «Ní féidir teastas an eisitheora áitiúil a fháil» in iúl don chosán nó don ancaire muiníne. Cuireann «Tá an teastas imithe in éag nó níl sé bailí fós» in iúl don am. Cuireann «Cuspóir teastais gan tacaíocht» in iúl don úsáid leathnaithe eochrach. Insíonn neamhréir ainm duit cén t-ainm a bhí uaidh. Ní dheisítear aon cheann de na ceithre rud tríd an gcliant a athshuiteáil.

Ardaigh an leibhéal logála sula n-athraíonn tú rud ar bith. Tuairiscíonn OpenVPN an teip fhíoraithe timpeall an chroitheadh láimhe nuair a ritheann tú le --verb 4 é, agus scríobhann strongSwan a chinntí féiniúlachta agus slabhra chuig logáil charon. Ansin deimhnigh cén teastas atá á scrúdú agat, mar is gnáth le daoine an comhad ar an diosca a thástáil agus an phróifíl ag leabú cóip níos sine. Nuair a leabaíonn an phróifíl bloic PEM, is é an teastas leabaithe an ceann a thástáiltear.

Síníonn údarás deimhniúcháin féiniúlachtaí, ní ceadanna

Coinníonn an t-údarás ainm agus eochair sínithe. Eisíonn sé teastais a cheanglaíonn eochair phoiblí leis an ainm sin faoina pholasaí féin, le fuinneog bailíochta agus srianta úsáide ceangailte. Níl ar do chliant ach teastas an údaráis chun an t-eisitheoir a aithint; ní bhíonn an eochair sínithe de dhíth air riamh, agus thabharfadh sé an eochair sin a sheoladh chuig cliaint an cumas aon fhéiniúlacht a bhfuil muinín ag an imscaradh aisti a chruthú.

Déanann muinín in údarás iarrthóir de gach teastas a shínigh sé, ní den phiara cheart. Tá teastas freastalaí gréasáin ón CA inmheánach céanna ina iarrthóir freisin. Sin é an fáth a bhfuil geataí an ainm agus an chuspóra ann, agus an fáth a bhfuil eochair CA chomhréitithe níos tábhachtaí ná aon fhreastalaí aonair: sroicheann sí gach féiniúlacht a d’eisigh an t-údarás riamh. Eisigh teastais chliaint de réir gléas, ionas gur aon chúlghairm amháin é ríomhaire glúine caillte seachas ath-eochairiú ar fud an imscartha.

Atóg an cosán a bhfuil an cliant ag iarraidh a thógáil

Ritheann an cosán ó theastas an phiara, trí nialas nó níos mó idirmheánach, go fréamh i do stór muiníne. Is é idirmheánach ar iarraidh an teip slabhra is coitianta, agus ó thaobh an chliaint de tá sé díreach mar an gcéanna le fréamh neamhiontaofa. Léigh an duilleog ar dtús, ansin lig do OpenSSL an cosán a thógáil ón ábhar a bhfuil tú chun a sheoladh.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Ciallaíonn stádas scoir nialas gur tógadh an cosán ó na comhaid sin; ainmníonn teip an teastas nár éirigh leis a bhaint amach. Má éiríonn le openssl verify agus an cliant fós ag diúltú, tá an difríocht sa mhéid a sheolann an freastalaí i ndáiríre nó sa chomhad muiníne a lódálann an phróifíl. In OpenVPN féadann idirmheánaigh taisteal leis an gcomhad teastais freastalaí nó a bheith soláthraithe ar leithligh le --extra-certs, agus seolfaidh babhta a bhfuil dhá fhréamh scríofa faoin ainm ábhair céanna duine de do chliaint síos an brainse mícheart.

Tá ainm agus cuspóir ina ngeataí ar leithligh

Ní fhiafraíonn tógáil slabhra riamh an leatsa an t-ainm. Ní sheiceálann OpenVPN é ach amháin nuair a shocraíonn an phróifíl --verify-x509-name, agus briseann an nós níos sine de bheith ag meaitseáil an ghnáthainm amháin ar theastais a bhfuil a bhféiniúlachtaí ina gcónaí i subjectAltName. Meaitseálann imscarthaí IKEv2 an fhéiniúlacht chumraithe le hiontrálacha SAN nó leis an ainm idirdhealaitheach, ag brath ar an gcliant, agus díghníonn luach saoróige nó %any go ciúin an chomparáid a cheap tú a bhí agat.

Tagann am agus cuspóir ina dhiaidh sin. Diúltaíonn ríomhaire glúine a ritheann a chlog cúpla uair an chloig go tapa do theastas nach bhfuil bailí fós, agus teipeann idirmheánach atá imithe in éag ar an gcosán agus an duilleog reatha. Tagann teipeanna cuspóra ó theastas gan serverAuth in úsáid leathnaithe eochrach, nó le keyUsage nach gceadaíonn síniú an chroitheadh láimhe, a thuairiscíonn OpenSSL mar chuspóir teastais gan tacaíocht. Atheisigh ón teimpléad ceart; níl aon rud sa teachtaireacht sin ina chúis le fíorú a mhúchadh.

Ní ritheann cúlghairm ach amháin má chumraigh duine é

Ní dhéantar CRL ná freagra OCSP a chomhairliú go huathoibríoch. Ar fhreastalaí OpenVPN, seiceáiltear teastais chliaint i gcoinne liosta amháin nuair a dhíríonn --crl-verify ar cheann. Braitheann seiceáil an teastais fhreastalaí ar thaobh an chliaint ar an bhfeidhmiú agus is minic nach mbíonn sí ann. Teastaíonn a bhreiseán cúlghairme agus polasaí ó strongSwan sula bhféachann sé ar CRL do phiara.

Míníonn sin an ticéad a gheobhaidh tú sa deireadh: nascann teastas cliaint cúlghairthe fós, agus measann gach duine go bhfuil an chúlghairm briste. Ní raibh aon rud ag seiceáil. Foilsigh agus athnuaigh an CRL, nó coinnigh teastais chliaint gearrshaolach go leor go mbíonn tábhacht ghearr ag cúlghairm shean, agus cleacht an cosán cúlghairme ar theastas saotharlainne sula mbeidh sé de dhíth ort le linn eachtra.

Ordú deisithe a choinníonn fíorú ar siúl

Sórtáil de réir siomptóim sula dtéann tú i dteagmháil le comhaid, mar seolann gach ró den tábla chuig réad difriúil thú.

Oibrigh an liosta in aon phas amháin: deimhnigh an comhad a lódálann an phróifíl, tóg an cosán tú féin, seiceáil go seolann an freastalaí an t-idirmheánach, cuir an clog i gcomparáid, léigh an SAN, léigh an EKU, athnasc ansin agus féach ar an líne logála chéanna ag imeacht. Mura féidir CA a thabhairt do ghléas ar chor ar bith, is é pinning an rogha ionraic, ós rud é go nglacann OpenVPN 2.6 le --peer-fingerprint agus go gcúngaíonn sé muinín d’eochair amháin in ionad an tseiceáil a bhaint. Is é RFC 5280 an tagairt do bhrí gach ceann de na réimsí sin.