Ka Riƙe Maɓallin Sa Hannu na CA na OpenVPN Wajen /etc/openvpn

Jagorori biyu da suka yi kama a cikin koyarwa suna yin ayyuka daban-daban. Ɗaya yana riƙe da hukumar tabbatarwa: maɓallinta na sirri, ma’aunin lambar jerin da rikodin duk abin da ta sanya hannu. Ɗayan kuma yana riƙe da abin da daemon ke buƙata don farawa da hidimar abokan ciniki. Sanya duka biyu a kan mai masauki ɗaya a ƙarƙashin asusu ɗaya yana da sauƙi don rana ɗaya kuma yana da tsada ga sauran rayuwar turawa, domin daemon yana tafiya ne kusa da maɓalli ɗaya tilo da zai iya ƙirƙirar kowane ainihi da yake so.

Abin da wurin aiki na CA ya ƙunsa

Jagorar PKI yanayin mai bayarwa ne, ba tsari ba. Tana ɗauke da maɓallin sirri da takardar shaidar CA, fayil ɗin lambar jerin, fihirisar takardun shaidar da aka bayar da kayan kowane ainihi da aka samar daga gare su.

Sa hannu kan buƙata yana canza wannan yanayin, shi ya sa wurin aiki na asusun da mai gudanarwa ke sarrafawa ne a kan mai masauki da sabis ɗin VPN ba ya aiki. Duk wanda zai iya karanta maɓallin sirri na CA zai iya bayar da takardar shaidar da uwar garken zai amince da ita, don haka kariyar maɓallin ita ce dukan tsarin amincewa a cikin fayil ɗaya. Kwafin shi zuwa wuri na biyu don ceton mataki yana ƙirƙirar abu na biyu da za a kare da abu na biyu da za a manta. Kowace sa hannu kuma tana ƙara lambar jerin kuma tana ƙara shigarwa a fihirisar, shi ya sa wurin aiki kwafi ɗaya ne na yanayi ba babban fayil ɗin fayiloli ba.

Takardar shaidar jama’a ta CA ta bambanta. An yi ta don rarrabawa, kuma ita ce abin da abokan ciniki da uwar garken ke amfani da shi don tabbatar da juna.

Abin da daemon ke karantawa sa’ad da yake farawa

Uwar garken da ke gudana tana amfani da ƙaramin saiti: takardar shaidarta, maɓallinta na sirri, takardar shaidar CA don tabbatar da takwarorinta da duk wani kayan maɓalli da yanayin da aka zaɓa ke buƙata. Tana karanta waɗannan hanyoyin a farkon farawa da kuma lokacin sake lodawa.

Dole ne a auna mallaka da sashin da ke farawa da gaske, ba da harsashin root mai mu’amala ba. Sandbox ɗin da aka bayyana zai iya mai da wani ɓangare na tsarin fayiloli karatu kawai ko ganuwa ko da gwajin hannu a matsayin root ya yi nasara.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Layi na uku shi ne wanda mutane ke tsallakewa. Yana tambayar asusun daemon kansa ko zai iya karanta maɓallin, kuma wannan shi ne sigar tambayar da ta fi muhimmanci bayan an sauke gata. Fitar da sifili a matsayin root ba ta faɗin komai game da abin da ke faruwa bayan saukar.

Ya kamata a raba hanyoyin kuskure biyu kafin ka canza kowane izini. Rashin sa hannu yana nuni ga jagorar PKI, izinin bincike a manyan jagororinta da asusun da ke tafiyar da mai bayarwa. Rashin farawa yana nuni ga sashin, jagorar aikinsa da hanyoyin da aka ambata a cikin tsarin uwar garken. Mai da dukan bishiyar abin karantawa ga kowa ba ya gyara ko ɗaya daga cikinsu, kuma yana cire iyakar da duka biyun suka dogara da ita.

Me ya sa kwafin maɓallin CA zuwa uwar garken ke gazawa daga baya

Kwafin yakan fara ne a matsayin matakin gyara kuskure: wani yana son sabunta abokin ciniki a kan mai masaukin VPN, don haka maɓallin CA ya sauka a /etc/openvpn kuma sabuntawa ta yi aiki. Aikin gaggawa ya yi nasara, kuma iyakar ta tafi.

Sannan a yi ajiyar uwar garken, kuma hukumar sa hannu ta shiga cikin ajiyar. Hoton lokaci, kunshin tallafi ko kwafin jagorar tsari yanzu yana ɗauke da ikon bayar da ainihi amintacce muddin CA tana aiki. Duk wanda ke da wannan kwafin zai iya ƙirƙirar takardar shaida ga kowace suna da uwar garken ke karɓa, gami da sunayen da ba a taɓa bayarwa ba. Rikodin kawai na wannan bayarwa shi ne wanda suka zaɓa su riƙe.

Murmurewa daga wannan yanayin ba batun share fayil ba ne. Dole ne ka yanke shawara ko an fallasa maɓallin, ka juya CA idan an yi haka, kuma ka sake rarraba amincewa ga kowane takwara. Wurin aiki na dabam yana guje wa dukan tattaunawar.

Asusu, jagorori, ajiya

Ba mai bayarwa asusunsa da jagorar gidansa, a nisanta da mai masaukin VPN inda ya dace. Ba daemon wani asusu dabam, mai damar karanta kayan da aka tura da damar rubuta ga babu abin da ke bayar da takardun shaida. Tura ta hanyar kwafin takardun shaidar jama’a waje kuma kada ka taɓa jawo yanayin sirri na mai bayarwa ciki. Yi ajiyar rawar biyu dabam, domin hankalinsu da labarun dawo da su sun bambanta.

Bayan soke, sabunta fayil ɗin CRL da tsarin uwar garken ya ambata, sannan sake loda sabis ɗin domin sabbin haɗin kai su karanta shi. Takardun Easy-RSA suna bayanin tsarin wurin aiki da tsarin sa hannu; dokokin mallaka da ke kewaye da shi sun kasance shawara game da mai masaukinka. Tabbatar da abin da sabis ɗin ya loda da openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate maimakon ɗauka cewa sake lodawa ya ɗauke shi.

Gwajin da ke tabbatar da rabuwa

Duba yanayin mara kyau, ba kawai wanda ke aiki ba. Sa hannu kan takardar shaida daga asusun mai bayarwa kamar yadda aka tsara, sannan tabbatar da cewa wannan asusun ba zai iya fara sabis ɗin ba ko karanta maɓallin sirri na uwar garken. Sannan tabbatar da cewa asusun daemon ba zai iya karanta maɓallin sirri na CA ba.

Waɗannan bincike uku suna ɗaukar mintuna kaɗan kuma suna jure wa canje-canjen ma’aikata, domin maganganu ne game da izini ba game da al’ada ba. Rubuta sakamakon tare da hanyoyin da asusun da ya rufe, da ranar da ka gudanar da su. Mutum na gaba da zai gaji wannan turawa in ba haka ba zai sake fitar da iyakar daga koyarwar da ba ta taɓa samun ta ba. Rikodin mai kwanan wata shi ma shine ke sa bita na gaba ya ɗauki mintuna maimakon rana.