Yadda OpenVPN ke warware takardar shaidar da maɓalli: PEM na ciki ko hanyar fayil

Saƙon yana cewa OpenVPN ba zai iya loda takardar shaida ta ciki ba, kuma sunan fayil ɗin da ke cikin kanka yana faɗin akasin haka. Abin da mai bincike ya samu ya fi abin da tsarin fayil ɗin ya ƙunsa muhimmanci, domin umarnin cert yana karɓar nau'i biyu mabambanta na ƙima. Ɗaya hanyar da yake buɗewa ce; ɗayan kuma rubutun PEM ne da ya zo cikin tsarin. Har sai ka san wane siffa ne abokin ciniki da ke gudana ya samu, kowane gyara hasashe ne.

Sifofi biyu na ajiya, umarni ɗaya

Umarnin cert, key da ca kowanne yana karɓar hanya ko toshe na ciki. Lokacin da ƙimar hanya ce, OpenVPN yana buɗe wannan fayil ɗin kuma yana karanta abin daga faifai. Lokacin da tsarin ya ƙunshi toshe da aka iyakance da alamun cert, wannan umarnin yana cinye abin da ke tsakanin waɗannan alamun a maimako, kuma babu wani fayil daban da ke da hannu.

Dukkan sifofin biyu suna samar da irin wannan abu a ƙarshe, don haka turaren da ke aiki zai iya sauya tsakaninsu ba tare da wani canji ba. Bayanin da ke ɗauke da takardar shaidar abokin ciniki da maɓallin sirri da aka saka a ciki yana dogaro da kansa, kuma kwafa shi zuwa wata na'ura yana aiki ba tare da kwafin babban fayil ɗin takardun shaida ba.

Akasin haka ba gaskiya ba ne. Ajiye client.crt kusa da bayanin da ke saka nasa bayanai ba ya canza kome, domin babu abin da ke cikin tsarin da ke nuni ga wannan fayil ɗin. Wannan shi ne dalilin da ya fi yawa da yasa fayil ɗin da a bayyane yake akwai ya zama kamar ana watsi da shi.

Yadda toshe na ciki ke zama abu

Ana fitar da abin da ke cikin toshe daga tsarin sannan a miƙa shi ga mai binciken PEM a matsayin rubutu. Wannan mai binciken yana tsammanin iyakokin da aka saba: layin BEGIN, kayan base64 da layin END da ya dace. Idan an yanke toshe saboda kwafin da ya gaza, shafin saukarwa ya naɗe shi cikin HTML, ko kuma an buɗe shi a edita da ya daidaita layukan, mai binciken zai gaza kan abin da ya zama kamar akwai.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

Shi ne kuma dalilin da yasa rubutun kuskuren yake ɓatarwa. Kalmar na ciki tana bayyana inda mai lodawa ya duba, ba abin da ya samu a can ba. Fayil da aka ambata a cikin tsarin da kuma abin da aka saka a ciki na iya haifar da wannan ƙarar idan bytes ɗin tushe ba su da amfani.

Duba wane siffa ne bayanin da aka loda ke amfani da shi da gaske, ba wane fayil ne editanka ya buɗe bisa kuskure ba:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

Yadda ake warware nuni ga hanya

Ana buɗe ƙimar hanya ne dangane da babban fayil ɗin aiki na abokin ciniki, ba dangane da babban fayil ɗin da ke ɗauke da tsarin ba. A ƙarƙashin systemd wannan babban fayil ɗin aiki shine abin da unit ɗin ya saita, kuma gudanarwa ta hanyar mu'amala daga shell ɗinka yana gado wani abu daban. Shi yasa fayil ɗin tsari ɗaya zai iya aiki idan ka gwada shi da hannu sannan ya gaza a matsayin sabis.

Hanyoyin dangi suna gado wannan rashin tabbas ɗin. Idan ka ga sunan fayil kawai, tambayi mene ne babban fayil ɗin aiki na tsarin a cikin kayan aiki, maimakon ɗauka cewa ya yi daidai da terminal ɗinka.

Don takardar shaida da aka adana daban, bincike na wajen layi yana tabbatar da abin kafin ka gyara wani abu da ke sama da shi:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

Waɗannan umarnin suna tabbatar da cewa fayilolin ana iya karanta su kuma suna da inganci a tsarin. Ba sa tabbatar da cewa abokin haɗin yana amincewa da mai bayarwa, cewa takardar shaidar har yanzu tana cikin lokacin ingancinta, ko kuma maɓallin nasa ne.

Abin da kuskuren mai bincike zai iya gaya maka da abin da ba zai iya ba

Gazawar bincike tana gano matsalar a wuri ɗaya na shigarwa da mataki ɗaya. Ba ya gaya maka wanne daga cikin sifofin ajiya biyu abokin ciniki ya yi amfani da shi, kuma ba ya gaya maka ko an yarda da abin. Waɗannan tambayoyi ne daban tare da shaidu daban.

Da zarar binciken ya yi nasara, gazawar ta gaba ta wani mataki ne na baya. Kin amincewa da dogaro, rashin daidaituwar manufa ko rashin daidaituwar maɓalli abokin haɗin ko Layer TLS ne ke ba da rahoto, ba mai lodawa ba. Maye gurbin wannan fayil ɗin akai-akai ba zai motsa wannan kuskuren ba.

Ka ajiye rabin mai mahimmanci a wajen rahotannin jama'a yayin da kake bincike. Ka raba sunayen umarnin, rubutun kuskuren da tsarin toshe, tare da cire kayan maɓallin da duk wani abin da ke gane shi. Littafin openvpn(8) yana rubuta duka sifofin biyu na umarnin fayil da halin babban fayil ɗin aiki da ke bayansu.