Abin da manhajar VPN ɗinka ke dubawa kafin ta amince da takardar shaida

Manhajar VPN ɗinka ta ce ba a iya tabbatar da takardar shaidar ba, kuma maganar ta tsaya a nan. Fayil ɗin yana nan, uwar garken tana aiki, kuma wannan bayanin aiki ɗaya ya yi aiki a wata kwamfutar tafi-da-gidanka a watan da ya gabata. A ƙarƙashin wannan gargaɗi na layi ɗaya manhajar ta ratsa takardar shaidar abokin yanar gizo ta ƙofofi huɗu: hukumar tabbatar da shaida da ka saita tana tabbatar da hanyar sa hannu, wannan hanyar ta isa hukumar, sunan abokin yanar gizo shine wanda ka nema, kuma takardar shaidar tana iya amfani da ita yanzu don wannan manufa. Nemo ƙofar da ta rufe kuma gyaran galibi fayil ɗaya ne; idan ka tsallake wannan matakin za ka sake shigo da fakitoci duk rana.

Karanta maganar kafin ka gyara bayanin aiki

Ɓangaren littafin da ke ƙasa ne ke tsara kalmomin kuskuren takardar shaida, ba samfurin VPN da ka shigar ba, don haka ainihin jerin haruffa shine shaidarka ta farko. «Ba a iya samun takardar shaidar mai bayarwa na gida» yana nuni ga hanya ko ga angon amincewa. «Takardar shaidar ta ƙare ko ba ta da inganci tukuna» yana nuni ga lokaci. «Manufar takardar shaida ba ta da tallafi» yana nuni ga faɗaɗɗen amfani da maɓalli. Rashin daidaituwar suna yana gaya maka wane suna take so. Babu ɗaya daga cikin huɗun da ake gyara ta sake shigar da manhaja.

Ɗaga matakin rikodin kafin ka canza wani abu. OpenVPN yana ba da rahoton gazawar tabbatarwa a kusa da musafaha idan ka gudanar da shi da --verb 4, kuma strongSwan yana rubuta shawarwarin sa na asali da sarkar cikin rikodin charon. Sannan tabbatar da wace takardar shaida kake bincikawa, domin mutane suna gwada fayil ɗin da ke kan faifai yayin da bayanin aikin ke saka tsohon kwafi. Idan bayanin aikin ya saka tubalan PEM, takardar shaidar da aka saka ita ce ake gwadawa.

Hukumar tabbatar da shaida tana sa hannu kan asali, ba izini ba

Hukumar tana riƙe da suna da maɓallin sa hannu. Tana bayar da takardun shaida waɗanda ke ɗaure maɓallin jama'a ga wannan suna bisa manufofinta, tare da taga inganci da takunkuman amfani a haɗe. Manhajarka tana buƙatar takardar shaidar hukumar kawai don gane mai bayarwa; ba ta taɓa buƙatar maɓallin sa hannu ba, kuma aika wannan maɓalli ga abokan ciniki zai ba su ikon ƙirƙirar kowace asali da turawar ke amincewa da ita.

Amincewa da hukuma yana mai da kowace takardar shaida da ta sa hannu ɗan takara, ba abokin yanar gizo daidai ba. Takardar shaidar uwar garken yanar gizo daga wannan CA ta ciki ita ma ɗan takara ce. Shi ya sa ƙofofin suna da manufar suna da manufa, kuma shi ya sa maɓallin CA da aka lalata ya fi kowane uwar garke muhimmanci: yana isa ga kowace asali da hukumar ta taɓa bayarwa. Bayar da takardun shaidar abokin ciniki ga kowace na'ura, domin kwamfutar tafi-da-gidanka da ta ɓace ta zama sokewa ɗaya maimakon sake maɓallan turawa baki ɗaya.

Sake gina hanyar da manhajar ke ƙoƙarin ginawa

Hanyar tana gudana daga takardar shaidar abokin yanar gizo, ta hanyar sifili ko fiye da takardun shaida na tsakiya, zuwa tushen da ke cikin ajiyar amincewarka. Takardar shaidar tsakiya da ta ɓace ita ce gazawar sarkar da ta fi yawa, kuma daga wajen abokin ciniki tana kama da tushen da ba a amince da shi ba. Karanta ganyen farko, sannan ka bar OpenSSL ya gina hanyar daga kayan da kake shirin aikawa.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Matsayin fita sifili yana nufin an gina hanyar daga waɗannan fayiloli; gazawa tana ambaton takardar shaidar da ba a isa gareta ba. Idan openssl verify ya yi nasara yayin da manhajar ke ci gaba da ƙi, bambancin yana cikin abin da uwar garken ke aikawa da gaske ko kuma wace fayil ɗin amincewa bayanin aikin ke lodawa. A cikin OpenVPN, takardun shaida na tsakiya na iya tafiya tare da fayil ɗin takardar shaidar uwar garke ko kuma a bayar da su daban da --extra-certs, kuma fakiti mai ɗauke da tushe biyu da aka rubuta a ƙarƙashin sunan jigo ɗaya zai tura ɗaya daga cikin abokan cinikinka zuwa reshe mara kyau.

Suna da manufa ƙofofi ne daban

Gina sarkar ba ya taɓa tambayar ko sunan naka ne. OpenVPN yana duba shi ne kawai lokacin da bayanin aikin ya saita --verify-x509-name, kuma tsohuwar al'adar daidaita sunan gama gari kawai tana karyewa a kan takardun shaida waɗanda asalinsu ke cikin subjectAltName. Turawar IKEv2 suna daidaita asalin da aka saita da shigarwar SAN ko da sunan bambance-bambance, dangane da abokin ciniki, kuma ƙimar wildcard ko %any tana kashe kwatancen da kake tsammanin kana da shi a hankali.

Sannan lokaci da manufa suka zo. Kwamfutar tafi-da-gidanka da agogon ta ke gaba da sa'o'i kaɗan tana ƙin takardar shaidar da ba ta da inganci tukuna, kuma takardar shaidar tsakiya da ta ƙare tana lalata hanyar yayin da ganyen ke aiki. Gazawar manufa tana zuwa daga takardar shaidar da ba ta da serverAuth a cikin faɗaɗɗen amfani da maɓalli, ko kuma da keyUsage da ba ta ba da izinin sa hannun musafaha ba, wanda OpenSSL ke bayar da rahoto a matsayin manufar takardar shaida mara tallafi. Sake bayarwa daga samfurin da ya dace; babu wani abu a cikin wannan saƙon da zai zama dalilin kashe tabbatarwa.

Sokewa yana aiki ne kawai idan wani ya saita shi

Ba a tuntuɓar CRL ko amsar OCSP kai tsaye. A uwar garken OpenVPN, ana duba takardun shaidar abokan ciniki da jeri ne kawai lokacin da --crl-verify ya nuna ɗaya. Dubawa daga wajen abokin ciniki na takardar shaidar uwar garke ya dogara da aiwatarwa kuma galibi ba ya nan. strongSwan yana buƙatar ƙarin kayan soke shi da manufa kafin ya kalli CRL ga abokin yanar gizo.

Wannan yana bayanin tikitin da za ka samu daga ƙarshe: takardar shaidar abokin ciniki da aka soke tana ci gaba da haɗawa, kuma kowa ya kammala cewa sokewa ya lalace. Babu abin da ke dubawa. Buga kuma sabunta CRL, ko ka riƙe takardun shaidar abokan ciniki da ɗan gajeren rayuwa wanda sokewar da ta tsufa ta yi tasiri kaɗan, kuma ka gwada hanyar sokewa a kan takardar shaidar gwaji kafin ka buƙace ta yayin wani lamari.

Tsarin gyara da ke kiyaye tabbatarwa a kunne

Tsara bisa ga alama kafin ka taɓa fayiloli, domin kowane layi na tebur yana tura ka zuwa wani abu daban.

Yi jerin a zagaye ɗaya: tabbatar da fayil ɗin da bayanin aikin ke lodawa, gina hanyar da kanka, duba cewa uwar garken tana aika takardar shaidar tsakiya, kwatanta agogo, karanta SAN, karanta EKU, sannan sake haɗawa ka kalli yadda wannan layin rikodin ɗin ya ɓace. Idan ba za a iya ba wa na'ura CA kwata-kwata ba, pinning shine madadin gaskiya, domin OpenVPN 2.6 tana karɓar --peer-fingerprint kuma tana taƙaita amincewa ga maɓalli ɗaya maimakon cire dubawa. RFC 5280 ita ce tushen abin da kowane ɗaya daga cikin waɗannan filaye ke nufi.