remote-cert-tls server: abin da yake bincikawa a cikin bayanin OpenVPN

Tambayoyi uku daban-daban ana amsa su daga sassa uku daban-daban na bayanin OpenVPN, kuma haɗa su shine yadda mutane ke ƙarewa da kashe binciken da yake aiki. Shin takardar shaidar abokin gaba an sanya hannu ta hukumar da na amince da ita? Shin wannan takardar shaidar tana bayyana rawar uwar garken TLS? Shin ita ce takamaiman uwar garken da nake son isa gareta? remote-cert-tls server yana amsa tambayar tsakiya kawai, kuma yana yin hakan ta hanyar karanta ƙarin abubuwan da ke cikin takardar shaidar.

Bincike uku da ke da sauƙin haɗawa a cikin kai

Tushen amincewa yana cikin umurnin ca. Binciken rawa nasa ne na remote-cert-tls. Binciken ainihi nasa ne na verify-x509-name, lokacin da bayani yake amfani da shi, ko na duk wani binciken suna da turawa ta ƙara.

Suna rufe gazawa daban-daban:

Bayanin na iya samun duka ukun kuma har yanzu ya zama mai rauni idan an raba CA sosai, wanda tambaya ce ta sarrafa maɓalli ba tambayar umurni ba.

Abin da binciken rawa yake karantawa

Umurnin macro ne. Yana faɗaɗawa zuwa buƙatar amfani da maɓalli da buƙatar amfani da maɓalli mai faɗaɗawa wacce ke ambaton rawar uwar garken yanar gizo ta TLS, don haka takardar shaidar abokin gaba dole ne ta bayyana wannan manufar da gaske. Takardar shaidar da aka bayar don tabbatar da abokin ciniki ba ta cika ta ba, ko da hukuma ɗaya ce ta sanya hannu kan duka biyun.

Wannan yana da muhimmanci saboda raba CA ya zama ruwan dare a ƙananan turawa. Hukuma ɗaya tana sanya hannu kan kowane abokin ciniki da uwar garken, kuma ba tare da binciken rawa ba kowace daga waɗannan takardun shaida za ta iya kammala ɓangaren uwar garken na musafaha. Binciken ba ya sa wannan yanayin ya zama marar yiwuwa, amma yana kawar da sigar sa marar muhimmanci.

Umurnin bai da daidaito ta hanyar ƙira: abokan ciniki suna ɗauke da remote-cert-tls server, kuma uwayen garken suna ɗauke da remote-cert-tls client. Musanya su kuma kowace haɗi za ta gaza da kuskuren rawa wanda yake kama da karyewar takardar shaidar.

Tsofaffin bayanai wani lokaci suna amfani da ns-cert-type don wannan manufa. Shafukan jagora na yanzu suna ɗaukar wannan zaɓi a matsayin wanda aka maye gurbinsa, don haka bayanin da har yanzu ya dogara da shi ya cancanci ƙaura maimakon gyara kuskure.

Me yasa kashe shi yake ji kamar gyara

Lokacin da binciken rawa ya gaza, haɗin yana tsayawa da kuskuren tabbatarwa kuma matakin da ya bayyana shine share layin. Sannan haɗin yana tashi, wanda yake ji kamar ci gaba kuma a zahiri shine yanayin gazawar da umurnin ya wanzu don hana shi. Yanzu kana karɓar abokin gaba wanda takardar shaidarsa ba a taɓa nufin wannan rawar ba.

A maimakon haka karanta kuskuren. Yana ambaton binciken da ya gaza, kuma ana iya duba takardar shaidar a ɗaya gefen don ganin irin ƙarin abubuwan da take ɗauka da gaske. Minti biyu na karatu suna yanke hukunci ko laifin na bayarwa ne ko na daidaitawa. Yin hasashe yana cin rana ɗaya kuma yawanci yana ƙarewa da bayani mai rauni. Sabuwar takardar shaidar uwar garken da ta rasa amfani da maɓalli mai faɗaɗawa laifi ne na gaske a cikin sabuntawa, ba dalilin sassauta abokin ciniki ba.

Binciken suna wani umurni ne daban

Cika binciken rawa yana nufin abokin gaba wani uwar garken ne da hukumar ka ta sanya hannu. Ba ya faɗin komai game da wanne, wanda ke da muhimmanci lokacin da CA ɗaya ke bayar da takardun shaida ga ƙofofi da yawa kuma ɗaya daga cikinsu an lalata shi ko an sake amfani da shi.

verify-x509-name yana kwatanta batun takardar shaidar da ƙimar da ka daidaita, tare da hanyoyin daidaitawa don ainihin batun, prefix ko fili ɗaya. Yi amfani da filin da yake gano ƙofar da gaske, kuma ka yi tsammanin sabunta shi da gangan lokacin da sunan ya canza.

Babu ɗaya daga cikin umurnin da yake maye gurbin kyakkyawan sarrafa maɓalli. Idan an kwafe fayil ɗin maɓallin abokin ciniki tare da bayanin, asalin abokin gaba yana da ƙarfi kamar jerin rarraba.

Duba takardar shaidar kafin ka gyara bayanin

Karanta takardar shaidar abokin gaba da log ɗin abokin ciniki, a wannan tsari. Takardar shaidar tana gaya maka waɗanne rawa take bayyanawa; log ɗin yana gaya maka wane bincike ya ƙi ta.

Waɗannan umarnin suna buga ƙarin abubuwan amfani da layukan tabbatarwa daga haɗi mai cikakken bayani:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Idan ƙarin abubuwan sun nuna rawar uwar garken kuma log ɗin har yanzu yana ba da rahoton gazawar rawa, bayanin yana nuna fayil ɗin takardar shaidar da ba daidai ba maimakon takardar shaidar mara kyau. Idan ƙarin abubuwan sun nuna tabbatar da abokin ciniki kawai, daina kallon abokin ciniki kuma gyara bayarwa. Ko ta yaya, maido da binciken kafin ka kira haɗin lafiya, domin nasarar musafaha bayan cire tabbatarwa yana tabbatar da ƙasa da kuskuren da ya maye gurbinsa.