remote-cert-tls server: OpenVPN પ્રોફાઇલમાં તે શું ચકાસે છે
સૂચના સામેની બાજુના પ્રમાણપત્રમાં એન્કોડ થયેલી ભૂમિકા ચકાસે છે, તેનું નામ નહીં. કંઈપણ નિષ્ક્રિય કરતા પહેલાં ભૂમિકા, વિશ્વાસ એન્કર અને હોસ્ટનામ ચકાસણીની સરખામણી કરો.
ત્રણ અલગ પ્રશ્નોના જવાબ OpenVPN પ્રોફાઇલના ત્રણ અલગ ભાગો આપે છે, અને તેમને ભેગા કરવાથી જ લોકો કામ કરતી ચકાસણી બંધ કરી દે છે. શું સામેની બાજુનું પ્રમાણપત્ર મારા વિશ્વાસપાત્ર સત્તાધિકારી દ્વારા સહી કરેલું છે? શું તે પ્રમાણપત્ર TLS સર્વર ભૂમિકા જાહેર કરે છે? શું તે ચોક્કસ સર્વર છે જ્યાં હું પહોંચવા માંગતો હતો? remote-cert-tls server ફક્ત વચ્ચેના પ્રશ્નનો જવાબ આપે છે, અને તે પ્રમાણપત્રની અંદરના એક્સ્ટેન્શન વાંચીને કરે છે.
મનમાં ભેગા કરવા સહેલા ત્રણ ચેક
વિશ્વાસ એન્કર ca સૂચનામાં રહે છે. ભૂમિકા ચકાસણી remote-cert-tls સૂચનાની છે. ઓળખ ચકાસણી verify-x509-name સૂચનાની છે, જ્યારે પ્રોફાઇલ તેનો ઉપયોગ કરે છે, અથવા ડિપ્લોયમેન્ટ જે નામ-ચકાસણી ઉમેરે છે તેની.
તેઓ અલગ નિષ્ફળતાઓ આવરી લે છે:
| Question | Directive | Failure it catches |
|---|---|---|
| Who signed this? | ca | Certificate from an unrelated authority |
| Is this a server? | remote-cert-tls | Client certificate presented by a peer |
| Is this my server? | verify-x509-name | Another valid server from the same CA |
પ્રોફાઇલમાં ત્રણેય હોઈ શકે અને છતાં નબળું રહી શકે જો CA ખૂબ વિશાળ રીતે વહેંચાયેલું હોય, જે કી-સંચાલનનો પ્રશ્ન છે, સૂચનાનો નહીં.
ભૂમિકા ચકાસણી શું વાંચે છે
સૂચના મેક્રો છે. તે કી-ઉપયોગની જરૂરિયાત અને TLS વેબ સર્વર ભૂમિકાનું નામ આપતી વિસ્તૃત-કી-ઉપયોગની જરૂરિયાતમાં વિસ્તરે છે, તેથી સામેની બાજુના પ્રમાણપત્રે તે હેતુ ખરેખર જાહેર કરવો જોઈએ. ક્લાયન્ટ પ્રમાણીકરણ માટે જારી કરેલું પ્રમાણપત્ર તેને સંતોષતું નથી, જ્યારે તે જ સત્તાધિકારીએ બંનેને સહી કરી હોય તો પણ.
તે મહત્વનું છે કારણ કે વહેંચાયેલ CA નાના ડિપ્લોયમેન્ટમાં સામાન્ય છે. એક સત્તાધિકારી દરેક ક્લાયન્ટ અને સર્વરને સહી કરે છે, અને ભૂમિકા ચકાસણી વિના તે પ્રમાણપત્રોમાંથી કોઈપણ હેન્ડશેકની સર્વર બાજુ પૂર્ણ કરી શકે. ચકાસણી તે પરિસ્થિતિને અશક્ય બનાવતી નથી, પણ તેનું તુચ્છ સંસ્કરણ દૂર કરે છે.
સૂચના રચનાથી અસમમિત છે: ક્લાયન્ટ remote-cert-tls server ધરાવે છે, અને સર્વર remote-cert-tls client ધરાવે છે. તેમને અદલાબદલી કરો અને દરેક જોડાણ ભૂમિકા ભૂલ સાથે નિષ્ફળ જાય છે જે તૂટેલા પ્રમાણપત્ર જેવી લાગે છે.
જૂની પ્રોફાઇલ ક્યારેક તે જ હેતુ માટે ns-cert-type વાપરે છે. વર્તમાન મેન્યુઅલ પૃષ્ઠો તે વિકલ્પને અધ્યાહાર ગણે છે, તેથી જે પ્રોફાઇલ હજી તેના પર આધાર રાખે છે તેને ડિબગ કરવાને બદલે સ્થળાંતર કરવા યોગ્ય છે.
તેને નિષ્ક્રિય કરવું ઉકેલ કેમ લાગે છે
જ્યારે ભૂમિકા ચકાસણી નિષ્ફળ જાય, ત્યારે જોડાણ ચકાસણી ભૂલ સાથે અટકે છે અને સ્પષ્ટ પગલું લીટી ડિલીટ કરવાનું છે. પછી જોડાણ ઉપર આવે છે, જે પ્રગતિ જેવું લાગે છે અને વાસ્તવમાં તે નિષ્ફળતાની સ્થિતિ છે જેને અટકાવવા માટે સૂચના છે. હવે તમે એવી સામેની બાજુ સ્વીકારો છો જેનું પ્રમાણપત્ર ક્યારેય તે ભૂમિકા માટે ધ્યાનમાં નહોતું લેવાયું.
તેના બદલે ભૂલ વાંચો. તે નિષ્ફળ ચકાસણીનું નામ આપે છે, અને બીજી બાજુનું પ્રમાણપત્ર તપાસી શકાય છે કે તે ખરેખર કયા એક્સ્ટેન્શન ધરાવે છે. બે મિનિટનું વાંચન નક્કી કરે છે કે દોષ જારીકરણમાં છે કે રૂપરેખાંકનમાં. અનુમાન કરવામાં બપોર વીતે છે અને સામાન્ય રીતે નબળી પ્રોફાઇલ સાથે અંત આવે છે. નવીકૃત સર્વર પ્રમાણપત્ર કે જેણે તેનું વિસ્તૃત કી-ઉપયોગ ગુમાવ્યું છે તે નવીકરણમાં સાચો દોષ છે, ક્લાયન્ટને ઢીલું કરવાનું કારણ નહીં.
નામ ચકાસણી અલગ સૂચના છે
ભૂમિકા ચકાસણી સંતોષવાનો અર્થ છે કે સામેની બાજુ તમારી સત્તાધિકારી દ્વારા સહી કરેલું કોઈ સર્વર છે. તે કયું છે તે વિશે કંઈ કહેતું નથી, જે ત્યારે મહત્વનું છે જ્યારે એ જ CA ઘણા ગેટવે માટે પ્રમાણપત્રો જારી કરે અને તેમાંથી એક સાથે સમાધાન થયું હોય અથવા ફરીથી ઉપયોગમાં લેવાયું હોય.
verify-x509-name પ્રમાણપત્રના સબ્જેક્ટને તમે રૂપરેખાંકિત કરેલા મૂલ્ય સાથે સરખાવે છે, ચોક્કસ સબ્જેક્ટ, પ્રીફિક્સ અથવા એક જ ફીલ્ડ માટે મેચિંગ મોડ સાથે. જે ફીલ્ડ ખરેખર ગેટવેને ઓળખે છે તે વાપરો, અને નામ બદલાય ત્યારે તેને જાણી જોઈને અપડેટ કરવાની અપેક્ષા રાખો.
બંનેમાંથી કોઈ સૂચના સારા કી-સંચાલનનું સ્થાન લેતી નથી. જો ક્લાયન્ટ કી ફાઇલ પ્રોફાઇલ સાથે આમતેમ કોપી થાય, તો સામેની બાજુની ઓળખ વિતરણ યાદી જેટલી જ મજબૂત છે.
પ્રોફાઇલ સંપાદિત કરતા પહેલાં પ્રમાણપત્ર તપાસો
સામેની બાજુનું પ્રમાણપત્ર અને ક્લાયન્ટ લોગ તે ક્રમમાં વાંચો. પ્રમાણપત્ર કહે છે તે કઈ ભૂમિકાઓ જાહેર કરે છે; લોગ કહે છે કઈ ચકાસણીએ તેને નકારી.
આ આદેશો વિગતવાર જોડાણમાંથી ઉપયોગ-એક્સ્ટેન્શન અને ચકાસણી લીટીઓ છાપે છે:
openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verifyજો એક્સ્ટેન્શન સર્વર ભૂમિકા દર્શાવે અને લોગ હજી ભૂમિકા નિષ્ફળતા નોંધાવે, તો પ્રોફાઇલ સંભવતઃ ખરાબ પ્રમાણપત્રને બદલે ખોટી પ્રમાણપત્ર ફાઇલ તરફ ઇશારો કરે છે. જો એક્સ્ટેન્શન ફક્ત ક્લાયન્ટ પ્રમાણીકરણ દર્શાવે, તો ક્લાયન્ટ તરફ જોવાનું બંધ કરો અને જારીકરણ સુધારો. કોઈપણ રીતે, જોડાણને સ્વસ્થ કહેતા પહેલાં ચકાસણી પુનઃસ્થાપિત કરો, કારણ કે ચકાસણી દૂર કર્યા પછીનું સફળ હેન્ડશેક તેની જગ્યાએ આવેલી ભૂલ કરતાં ઓછું સાબિત કરે છે.