Ƙara abokin ciniki na VPN ba tare da sake gina CA ba

Kana buƙatar wata takardar shaida don wata kwamfutar tafi-da-gida, amma darasi na farko a sakamakon bincike yana farawa da umarnin da ke shafe babban fayil ɗin PKI. Wannan umarnin na farkon saitin ne, ba na rajista ba, kuma gudanar da shi yana ɓata maka CA, tarihin bayarwa da duk bayanan abokin ciniki da suka amince da tsohon mai bayarwa. Shawarar ta fi ƙunci: shin mai bayarwanka yana da yanayi mai amfani har yanzu, kuma sabuwar na’urar ta dace da manufofin rajistan ka? Sharuɗɗa uku ne ke yanke hukunci, ɗaya ne kaɗai ke ba da hujjar sake ginawa.

Abin da sake ginawa ke lalata da gaske

Sake fara PKI yana maye gurbin babban fayil ɗin da tsarin wofi: sabon maɓallin CA da takardar shaida, rumbun bayarwa mara komai, sabon mai ƙidaya jerin lambobi. Abokan ciniki ba sa bin kai tsaye; bayanansu na manne da tsohuwar CA, don haka kowace na’ura dole a sake yin rajista, waɗanda ba za a iya isa ba kuma da hannu.

Asarar da ta fi shiru ita ce lissafin. Sokewa ya dogara da sanin waɗanne lambobin jerin ka bayar da wa. Share fihirisar kuma har yanzu za ka iya sa hannu, amma ba za ka iya tabbatar da waɗanne takardun da suka rage kake so a soke ba. Babban fayil ɗin CA mai takardun shaida ba tare da yanayin mai bayarwa ba kwafin ajiya ne da ke maido da rabin tsarin da ba daidai ba.

Kwafin maɓallin sirri na CA kusa da uwar garken da ke aiki shine wata gajeriyar hanya da ya kamata ka ƙi: yana mai da hukumar sa hannu da ya kamata ta kasance a wajen yanar gizo wani fayil a kan mai masauki da zirga-zirgar da ba a amince da ita.

Sharaɗi na farko: shin yanayin mai bayarwa yana nan har yanzu?

Nemo babban fayil ɗin da uwar garken ke amincewa da shi da gaske kafin yanke shawara. Kwatanta takardar shaidar da uwar garken ke gabatarwa a matsayin CA da wadda ke cikin babban fayil ɗin PKI ta sawun yatsa, ba da sunan fayil ba:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Idan sawun ya yi daidai, rajistan na ƙari ne kuma kada ka sake gina komai. Idan sun bambanta, za ka sa hannu da CA da uwar garken ba ta amince da ita: takardar tana shiga cikin tsafta kuma tana gazawa a musafaha, kuma ana kuskuren gane wannan kuskure a matsayin na abokin ciniki na sa’o’oi.

Sannan nemi yanayin bayarwa: fayil ɗin fihirisa, mai ƙidaya jerin da fayil ɗin lambar CRL. Idan fihirisar ta tafi amma maɓallin yana nan, za ka iya bayarwa, amma ka gaji matsalar rubuta sokewa. Rubuta hakan cikin rikodin canje-canje, domin neman sokewa na gaba zai bayyana shi.

Sharaɗi na biyu: wa ke riƙe sabon maɓallin sirri?

Wannan shawara ce da masu amfani ke ji, don haka yanke ta a fili. Maɓallin da abokin ciniki ya ƙirƙira kuma ya gabatar a matsayin roƙo yana barin rabin sirri a kan na’urar tun daga umarnin farko, kuma mai gudanarwa ba ya taɓa shi. Maɓallin da uwar garken ta ƙirƙira ya fi sauƙi ga na’urori marasa kayan aiki, amma yana mai da mai gudanarwa mai kula da kowane maɓalli kuma yana faɗaɗa tasirin kutsen uwar garken.

Da Easy-RSA 3 a kan CA da ke akwai, shigo da roƙo da sa hannu umarni biyu ne:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Zaɓi nau’in takardar da gangan. Roƙon da aka sa hannu a matsayin takardar uwar garken maimakon ta abokin ciniki yana ba da fayil da ke kama da kyau kuma abokin karƙon yana ƙi shi, kuma saƙon kuskure ba ya faɗin dalili. Da openssl ca wannan zaɓi yana cikin ƙarin abubuwan da kake bayarwa, ba a sashin da aka saba ba.

Sharaɗi na uku: shin uwar garken tana buƙatar fiye da takarda?

Ga talakawan OpenVPN uwar garken mai tabbatarwa da takarda, takardar ita ce rajista: sunan gama gari ya zama asalin abokin ciniki, kuma kowane babban fayil, hanya da aka tura ko adireshin tsaye ya dogara da wannan suna. Ƙara takardar ka manta saitin, ramin zai haɗu amma hanyoyin da ake buƙata ba za su bayyana ba.

Dandamali suna canza wannan. OpenVPN Access Server yana da nasa rumbun masu amfani, don haka takardar da aka sa hannu ba asusu ba ce; asusun dole ya kasance kuma an ba da izini. Wasu ƙofofi suna danganta igiyar asali da ƙungiya. Rajistar na’ura ɗaya yawanci tana taɓa tsarin biyu, takardar kuma ita ce ta farko kawai.

Hanyar ƙari, da lokacin da sake ginawa ya dace

Tsarin da ke ƙara na’ura ɗaya ba tare da lahani ba: tabbatar da mai bayarwa ta sawun yatsa, ɗauki sabon kwafin ajiya na babban fayil ɗin PKI, shigo da roƙon ka sa hannu don matsayin abokin ciniki, isar da takardar tare da sarkarta ta hanyar da aka amince, sannan ka tabbatar kafin mai amfani ya haɗu:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Layin manufa ya kamata ya nuna SSL client. Kammala da sabunta kwafin CA bayan bayarwa, domin kwafin da aka ɗauka kafin a rubuta sabon jerin yana maido da yanayi ba tare da na’urar da ka ƙara ba.

Sake ginawa ya dace a yanayi uku: an sami kutse a maɓallin CA, an rasa yanayin bayarwa har abada, ko kana canza algorithm na maɓalli ko manufar takarda da gangan. Duk ukun ayyuka ne da ke buƙatar shirin sake rajista ga kowane abokin ciniki, ba matakai a cikin roƙon na’ura ɗaya ba. Idan babu ɗaya, yi rajista a ƙari kuma ka bar mai bayarwa.