એ જ ca.crt ફાઇલનામ, અલગ પ્રમાણપત્ર: શું સરખાવવું

બે પ્રોફાઇલ બંને ca.crt નામની ફાઇલ લાવે છે, એક ટનલ ઉપર આવે છે અને બીજી સાંકળ ભૂલ સાથે નિષ્ફળ જાય છે. બે ફાઇલો સાથે સાથે ખોલવાથી આ ભાગ્યે જ ઉકેલાય છે, અને ચકાસણી બંધ કરવાથી તે ખોટી દિશામાં ઉકેલાય છે. ભૂલ ખરેખર જે પ્રશ્ન પૂછે છે તે વધુ સાંકડો છે: દરેક પ્રક્રિયા કયું પ્રમાણપત્ર પોતાના વિશ્વાસ આંકર તરીકે લોડ કરે છે, અને બંને એક જ વસ્તુ છે? પહેલા તેનો જવાબ આપો અને બાકીના નિદાનને દિશા મળશે. ફાઇલનામ પેકેજિંગ લેબલ છે, અને પ્રોફાઇલમાં લખેલો પાથ પણ સત્તાવાર નથી, તેથી બધું પ્રક્રિયા ખરેખર શું વાંચે છે તેના પર આધાર રાખે છે.

ક્લાયન્ટ ખરેખર જે પ્રમાણપત્ર લોડ કરે છે તે શોધો

OpenVPN સત્તાને બે સ્વરૂપમાં સ્વીકારે છે, અને સ્વરૂપ નક્કી કરે છે કે કયા બાઇટ મહત્વપૂર્ણ છે. પ્રોફાઇલ ca સાથે બાહ્ય ફાઇલ તરફ ઇશારો કરી શકે છે, અથવા પ્રમાણપત્રને પ્રોફાઇલની અંદર જ <ca> બ્લોકમાં એમ્બેડ કરી શકે છે. જ્યારે બંને હોય, ત્યારે એમ્બેડ કરેલો બ્લોક જીતે છે અને પ્રોફાઇલની બાજુમાં રહેલી ફાઇલ ક્યારેય ખૂલતી નથી.

નિષ્ફળ પ્રોફાઇલ વાંચો અને કંઈપણ સરખાવતા પહેલા શોધો કે તે કયું સ્વરૂપ વાપરે છે. પડોશી ડિરેક્ટરીમાંથી, અથવા બીજી પ્રોફાઇલ જે પેકેજમાંથી આવી તેમાંથી લીધેલી નકલ તમને આ પ્રક્રિયા શું વિશ્વાસ કરે છે તે વિશે કંઈ કહેતી નથી. કન્ફિગરેશનના પાથ માટે પણ એ જ વાત લાગુ પડે છે: તે ક્લાયન્ટ ક્યાં શરૂ થયો તેના સાપેક્ષે ઉકેલાય છે, જે હંમેશા તમે જોઈ રહ્યા છો તે ડિરેક્ટરી નથી. પ્રોફાઇલ વાંચો, ફોલ્ડર નહીં.

પ્રમાણપત્રો તેમની સામગ્રી દ્વારા ઓળખાય છે: જાહેર કી, વિષય અને જારીકર્તા, માન્યતા વિન્ડો અને તે બધા પરની સહી. સમાન બાઇટ ધરાવતી બે ફાઇલો ગમે તે નામે ઓળખાય તોપણ એક જ પ્રમાણપત્ર છે, અને સમાન નામની બે ફાઇલો અસંબંધિત સત્તાઓ હોઈ શકે છે. નામ પેકેજિંગ લેબલ છે, ઓળખ નહીં.

openssl સાથે બંને નકલોની ફિંગરપ્રિન્ટ લો

ફિંગરપ્રિન્ટ એ પ્રમાણપત્રના DER એન્કોડિંગ પરનો હેશ છે, જે સ્વરૂપને સહી આવરે છે, તેથી લાઇનના અંત અને હેડર ટેક્સ્ટ તેને અસર કરી શકતા નથી. દરેક ફાઇલ માટે તેની ગણતરી કરો અને તમારી પાસે કોલનથી અલગ કરેલા બે હેક્સ સ્ટ્રિંગ હશે જે ક્યાં તો મળે છે અથવા નહીં. સરખામણીના પ્રશ્નનો જવાબ આપવા માટે પ્રમાણપત્રમાં બીજું કંઈ વાંચવાની જરૂર નથી.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl ને પ્રોફાઇલ તરફ જ દોરવું લલચાવનારું છે, પણ તે ફાઇલમાં પહેલો આવતો પ્રમાણપત્ર બ્લોક વાંચે છે, અને પ્રોફાઇલ સામાન્ય રીતે <ca> પહેલાં <cert> ધરાવે છે. સત્તાનો બ્લોક કાઢો, પછી કાઢેલી ફાઇલની ફિંગરપ્રિન્ટ લો, કારણ કે તે જ નકલ ક્લાયન્ટ ખરેખર વાપરશે.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

સમાન ફિંગરપ્રિન્ટ એટલે વિશ્વાસ સામગ્રી સમાન છે અને સાંકળ ભૂલનું બીજું કારણ છે, જે અલગ તપાસ છે. અલગ ફિંગરપ્રિન્ટ એટલે અલગ પ્રમાણપત્રો, અને ત્યાં જ આગળનો વિભાગ શરૂ થાય છે.

હુમલો ધારતા પહેલા અસંગતિ વાંચો

અલગ ફિંગરપ્રિન્ટ એટલે અલગ પ્રમાણપત્રો અને તેનાથી વધુ કંઈ નહીં. પુનઃજારી, રોટેશન, નવું નામ મળેલી સત્તા અથવા જૂનું બંડલ બધા સંપૂર્ણ કાયદેસર ઇતિહાસ ધરાવતી અલગ ફાઇલો બનાવે છે. કઈ ડિપ્લોયમેન્ટની છે તે ઓપરેટર અથવા ડિપ્લોયમેન્ટ રેકોર્ડ માટે પ્રશ્ન છે, ફાઇલના ફેરફાર સમય માટે નહીં. આર્કાઇવ ટાઇમસ્ટેમ્પની નકલ કરે છે, તેથી નવી ફાઇલ આપોઆપ સાચું આંકર નથી.

પોતાને સહી કરતું મૂળ સામાન્ય છે, તેથી એક મળવું સમસ્યાનો પુરાવો નથી. ચકાસનારનું કામ સર્વર પ્રમાણપત્રથી તેને આપવામાં આવેલા આંકર સુધીનો માર્ગ બનાવવાનું છે, અને સાંકળ ભૂલ સામાન્ય રીતે એટલે કે તે માર્ગ પૂર્ણ થઈ શક્યો નહોતો.

ચકાસો કે નિષ્ફળ પ્રોફાઇલનું આંકર એવી સત્તા છે જેમાંથી ડિપ્લોયમેન્ટ હજી જારી કરે છે. જો ફિંગરપ્રિન્ટ ડિપ્લોયમેન્ટ રેકોર્ડમાં કંઈપણ સાથે મેળ ખાતી નથી, તો પ્રોફાઇલ ફક્ત જૂની છે, અને ક્લાયન્ટ બાજુનું કોઈ ટ્યુનિંગ તેને સુધારશે નહીં.

ચકાસણી બંધ કર્યા વિના વિશ્વાસ સુધારો

ટૂંકા ગાળાનો ઉપાય ચકાસણી બંધ કરવી અથવા સાંકળમાંનું દરેક પ્રમાણપત્ર આંકર તરીકે ઉમેરવું છે. બંને સંદેશ અદૃશ્ય કરે છે, અને બંને બદલે છે કે ક્લાયન્ટ ત્યારથી કયા સર્વર સ્વીકારશે. ચકાસણી ફરી ચાલુ કરો, ઇચ્છિત આંકર ઇન્સ્ટોલ કરો અને ફરી પરીક્ષણ કરો.

જો સાંકળ હવે બને છે પણ બીજી ભૂલ દેખાય છે, તો તે પ્રગતિ છે: નામ ચકાસણી, માન્યતા તારીખો અને રદ કરવું એ અલગ સંદેશા સાથેની અલગ તપાસ છે. ફિંગરપ્રિન્ટ જોડી અને મૂળ ભૂલનું લખાણ ટિકિટમાં સાથે રાખો, જેથી આગળની વ્યક્તિ જોઈ શકે કે કયું આંકર લોડ થયું અને કયાની અપેક્ષા હતી. ફિંગરપ્રિન્ટની જોડી હેન્ડઓવર નોંધમાં પેસ્ટ કરવા જેટલી નાની છે, અને પછીની ઘટના ત્યારે બપોરને બદલે પાંચ મિનિટ લે છે.

પ્રોફાઇલ પહોંચાડનારા એ જ પ્રમાણિત માર્ગ દ્વારા સાચી સત્તા મેળવો. તેનો વિષય પરિચિત લાગે છે તેથી સર્વર પરથી પ્રમાણપત્ર ખેંચવું એ અલગ કૃત્ય છે, અને તે ચૂપચાપ વિસ્તારે છે કે ક્લાયન્ટ શું વિશ્વાસ કરશે.