Ո՞ր CA ֆայլն է գնում միայն գաղտնաբառով OpenVPN պրոֆիլում։
CA դաշտը հաստատում է սերվերին, ոչ թե օգտվողին։ Տեսեք, թե պրոֆիլն արդեն ինչ է պարունակում, առանձնացրեք նյութի չորս տեսակները և կարդացեք հաջորդ սխալը։
Անցեք չորս հարցերը հերթականությամբ, և CA երկխոսությունը դադարում է երկիմաստ լինել։ Ինչ նյութ է իրականում թողարկել օպերատորը, ինչ է արդեն պարունակում պրոֆիլը, որ դաշտն է հարցնում, և ինչ է տեղի ունենում ֆայլը բեռնելուց հետո։ Կանգ առեք առաջին հարցի վրա, որին չեք կարող պատասխանել օպերատորի սեփական հրահանգներից, որովհետև դրանից այն կողմ գուշակելը հենց այն ճանապարհն է, որով հանրային CA վկայականը զուգակցվում է մասնավոր բանալու հետ, որը երբեք չպետք է լքեր սերվերը։
Հերթականությունը կարևոր է՝ վերջին երկու հարցերը իմաստ ունեն միայն այն ժամանակ, երբ գիտեք, թե ինչ նյութ պետք է գոյություն ունենա։
Սկսեք նրանից, ինչ պրոֆիլն արդեն պարունակում է
Բացեք պրոֆիլը տեքստային խմբագրիչում և նախքան ֆայլ փնտրելը փնտրեք ca բլոկ։ Օպերատորի հանրային CA-ն պարունակող ներկառուցված ca բլոկը նշանակում է, որ պրոֆիլն ինքնաբավ է, և այն հաճախորդը, որը դեռ CA ֆայլ է պահանջում, գուցե կարդում է այլ պրոֆիլ կամ թերի ներմուծում։ Եթե պրոֆիլում փոխարենը կա ուղու վրա մատնանշող ca տող, ապա այդ ուղին որոշ ինտեգրացիաներում հարաբերական է հաճախորդի աշխատանքային գրացուցակի նկատմամբ, իսկ մյուսներում՝ բացարձակ։ Նշեք, թե որ ձևն ունեք, նախքան որևէ բան փոխելը։
ca /absolute/path/operator-ca.crt auth-user-pass remote-cert-tls server
Ստուգեք առաքված փաթեթում այն ֆայլերը, որոնց հղում է անում պրոֆիլը՝ CA վկայական, երբեմն առանձին հաճախորդի վկայական և բանալի, և հնարավոր է tls-auth կամ tls-crypt ֆայլ։ Չորս ֆայլի հղում անող, բայց երկուսով եկած պրոֆիլը թերի է, և դաշտերին մատնանշելու ոչ մի քանակություն դա չի ուղղում։ Օպերատորից խնդրեք բացակայող մասը՝ փոխարենը չփոխարինելով պատահաբար ձեռքի տակ եղած վկայականով։
Առանձնացրեք նյութի չորս տեսակ
CA վկայականը հանրային նյութ է, որն օգտագործվում է սերվերի ինքնությունը հաստատելու համար։ Հաճախորդի վկայականը նույնականացնում է օգտվողին կամ սարքը սերվերի առջև։ Մասնավոր բանալին այդ հաճախորդի վկայականի գաղտնի կեսն է, և այն երբեք չպետք է լինի CA-ի ստորագրման բանալին կամ սերվերի բանալի։ tls-auth կամ tls-crypt նյութը առանձին ընդհանուր գաղտնիք է, որը պաշտպանում է կառավարման ալիքը։ Այս չորսը փոխանակելի չեն, և CA դաշտը հաճախորդի վկայականին ուղղելը ստեղծում է ստուգման ձախողում, որը նման է վստահության խնդրի։
Միայն գաղտնաբառով նույնականացում փոխում է, թե չորսից որն է ձեզ պետք, ոչ թե դրանց իմաստը։ auth-user-pass և remote-cert-tls server դեպքում հաճախորդը դեռ ստուգում է սերվերը CA-ի նկատմամբ, դրա համար էլ CA դաշտը հայտնվում է նույնիսկ այն ժամանակ, երբ հաճախորդի վկայական չկա։ Օպերատորի քաղաքականությունն է որոշում՝ արդյոք հաճախորդի վկայական նույնպես պահանջվում է, և ոչ մի երկխոսություն չի կարող դա ձեզ ասել։
Ուղղեք հաճախորդին վստահության ֆայլին
Ընտրեք հենց CA վկայականի ֆայլը, ոչ այն պարունակող պանակը և ոչ հաճախորդի ինքնություն պարունակող .p12 փաթեթը։ Windows-ում ուղու շարահյուսությունը և ֆայլի ընտրիչը վարվում են այլ կերպ, քան ուղեցույցների մեծ մասի Linux օրինակներում, ուստի օգտագործեք այն, ինչ ընդունում է տեղադրված հաճախորդը, և հաստատեք, որ ֆայլը կարդալի է այն հաշվի համար, որը գործարկում է այն։ Թույլտվության խնդիրը և բացակայող ֆայլը երկխոսության մեջ նույն տեսքն ունեն, բայց տարբեր մատյանային տողեր են տալիս։ Ընտրելուց հետո կրկին բացեք պրոֆիլի կարգավորումները՝ հաստատելու, որ հաճախորդը պահել է ընտրությունը։
<ca> -----BEGIN CERTIFICATE----- ...operator-provided public CA... -----END CERTIFICATE----- </ca>
Եթե հաճախորդը սատարում է ներկառուցված բլոկներ, նախընտրեք օպերատորի ներկառուցված պրոֆիլը՝ ձեռքով հավաքվածի փոխարեն։ Ներկառուցված նյութը ճամփորդում է պրոֆիլի հետ և վերապրում վերաներմուծումը, մինչդեռ բացարձակ ուղին կոտրվում է այն պահին, երբ պրոֆիլը տեղափոխվում է այլ մեքենա։
Կարդացեք հաջորդ սխալը, ոչ նույնը
Ճիշտ CA տրամադրելու նպատակը սխալը փոխելն է, ոչ թե այն անհետացնելը։ CA-ն բեռնելուց հետո սերվերի ինքնության ձախողումը նշանակում է, որ վկայականը չէր համապատասխանում սպասված անվանը կամ remote-cert-tls սպասմանը, ինչը տարբեր վերանորոգում է գաղտնաբառի մերժումից։ Գաղտնաբառի մերժումը նշանակում է, որ TLS շերտը հաջողվել է, և հավատարմագրերը սխալ են։ Պահեք առաջին նոր հաղորդագրությունը, այն է օգտակար։
Հաճախորդը, որը միանում է, բայց ոչ մի տեղ չի հասնում, ամբողջովին անցել է վստահությունը և այժմ բախվում է երթուղման կամ DNS հարցի։
Երբեք մի անջատեք ստուգումը այդ երկխոսությունից անցնելու համար։ Հաճախորդը, որն ընդունում է ցանկացած վկայական, CA հարցնելու պատճառ չունի, և այն թունելը, որը նա կառուցում է, այն չէ, ինչ նկատի ուներ օպերատորը։