Ինչու սերվերի բանալիները և օգտատիրոջ հավատարմագրերը պահանջում են առանձին սեփականատերեր

Այն բանալին, որը ապացուցում է, որ ձեր դարպասը հենց ինքն է, և այն հավատարմագիրը, որն ասում է, թե մարդը կարող է միանալ, երկուսն էլ գաղտնիքներ են, և այստեղ նմանությունն ավարտվում է։ Մեկը նույնականացնում է ծառայությունը յուրաքանչյուր հաճախորդի առջև, մյուսը՝ մեկ օգտատիրոջ այդ ծառայության առջև։ Դրանք խառնելը խնայում է մեկ քայլ տեղադրման ժամանակ և արժենում է մի ամբողջ կեսօր միջադեպի ընթացքում, որովհետև յուրաքանչյուրի վերականգնումը նույն գործողությունը չէ։ Բաժանումը ձանձրալի է կարգավորել և հիշարժան՝ բաց թողնելու համար։

Երկու գաղտնիք, երկու տարբեր սեփականատեր

Դարպասը պահում է մասնավոր բանալի կամ վկայական, որի միակ խնդիրն է ձեռքսեղմման ընթացքում ապացուցել իր ինքնությունը։ Հաճախորդներին անհրաժեշտ է համապատասխան հանրային նյութը՝ այն ստուգելու համար, և նրանց երբեք պետք չէ մասնավոր կեսը։ Հենց այդ անհամաչափությունն է հնարավոր դարձնում սերվերի նույնականացումը՝ առանց յուրաքանչյուր օգտատիրոջ տալու սերվերը կերպարանավորելու ունակությունը։

Օգտատիրոջ նյութը գնում է հակառակ ուղղությամբ։ Հաճախորդի մասնավոր բանալին, հաճախորդի վկայականը կամ գաղտնաբառը ցույց են տալիս, որ հենց այս մարդուն կամ սարքին տրվել է հասանելիություն։ Սպասվում է, որ այն կբաշխվի, կպատճենվի սարքերի միջև և ի վերջո կչեղարկվի։

WireGuard-ը բացահայտ է դարձնում բաժանումը, որովհետև յուրաքանչյուր մասնակից ունի բանալիների զույգ՝ սերվերի մասնավոր բանալին մնում է սերվերի վրա, և օգտատիրոջը տրված կարգավորման ֆայլը պարունակում է նրա սեփական մասնավոր բանալին գումարած սերվերի հանրային բանալին։ Սերվերի մասնավոր բանալին պարունակող պրոֆիլը կարճ ճանապարհ չէ, այն փոխզիջում է, որը սպասում է ֆայլի համօգտագործմանը։

Երեք հարց, որոնք որոշում են բաժանումը

Հարցրեք, թե ով պետք է կարողանա կարդալ գաղտնիքը, ինչ կարող է անել հարձակվողը արտահոսքի դեպքում, և արդյոք լուծումը մեկ չեղարկում է, թե ծառայության վերակառուցում։

Եթե օգտատերը կարող է կարդալ այն, և այն ապացուցում է դարպասի ինքնությունը, երկրորդ հարցի պատասխանն այն է, որ հարձակվողը կարող է կերպարանավորել ձեր սերվերը յուրաքանչյուր հաճախորդի առջև՝ ամենավատ ելքը, որովհետև հաճախորդները նախագծված են վստահելու այդ ինքնությանը։ Եթե այն ապացուցում է միայն մեկ օգտատիրոջ, արտահոսքը տալիս է այդ օգտատիրոջ հասանելիությունը մեկ զուգընկերոջ, և չեղարկումը սովորական գործողություն է։ Եթե դա վկայականների հեղինակության բանալի է, արտահոսքը երկուսից էլ վատ է, որովհետև հարձակվողը կարող է ստեղծել ինքնություններ, որոնց վստահում է յուրաքանչյուր վերջնակետ։

Այդ երեք պատասխանները տալիս են պահպանման կանոնը՝ CA բանալին ապրում է ցանցից դուրս կամ պահարանում, դարպասի բանալին ապրում է դարպասի վրա, իսկ օգտատերերի բանալիները՝ օգտատերերի մոտ։ Ցանկացած դասավորություն, որը հարմարության համար երեքն էլ դնում է մեկ պանակում, որոշումը վերածել է պատահարի։

Ինչ է իրականում անհրաժեշտ հաճախորդին

Հաճախորդին անհրաժեշտ է հանրային վկայականը կամ զուգընկերոջ հանրային բանալին, CA նյութը կամ մատնահետքը, որին պետք է վստահել, իր մասնավոր բանալին և վերջնակետի մանրամասները։ Այդ ցանկում ոչինչ չկա, որ պատկանում է դարպասի մասնավոր ինքնությանը։

Փաստաթղթերն այն տեղն են, որտեղ սա արտահոսում է։ Ուղեցույցը, որն ասում է՝ պատճենեք սերվերի պանակը և ջնջեք ավելորդը, արդեն սովորեցրել է սխալ մոդելը, որովհետև ջնջման քայլից հետո մնացած ֆայլը հազվադեպ է որևէ մեկի կողմից ստուգվում։

Չեղարկեք մեկ օգտատիրոջ՝ առանց դարպասին դիպչելու

Քանի որ օգտատերերի ինքնությունները տրվում են առանձին, դրանք կարելի է առանձին հետ կանչել։ Վկայականների վրա հիմնված տեղաբաշխումը չեղարկում է հաճախորդի վկայականը և հրապարակում թարմացված չեղարկման ցանկը, իսկ WireGuard տեղաբաշխումը հեռացնում է զուգընկերոջ գրառումը սերվերի կարգավորումից։ Այս գործողություններից ոչ մեկը չի փոխում դարպասի սեփական բանալին։

Պահեք թողարկման գրառումը, այլապես չեք իմանա, թե որ ինքնությունը հետ կանչել։ Աղյուսակը բավարար է, պայմանով, որ նշի մարդուն, սարքը, սերիական համարը կամ հանրային բանալին և ամսաթիվը, և պայմանով, որ այն կառուցող մարդու հեռանալուց հետո ինչ-որ մեկը հոգա դրա մասին։

Ստորև բերված հրամանները ստուգում են հաճախորդի վկայականը, ապա չեղարկում այն OpenSSL ոճի հեղինակության միջոցով, ինչը հենց այն հոսքն է, որը փաթաթում է easy-rsa-ն՝

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Հրապարակեք նոր ցանկը այնտեղ, որտեղ հաճախորդները ստուգում են այն, այլապես չեղարկումը գրառում է ֆայլում, որը ոչինչ չի փոխում։ Եթե ձեր դարպասը ընդունում է հաճախորդի վկայականներ՝ չհետաքրքրվելով չեղարկման ցանկով, ասեք դա բացահայտ՝ չեղարկման աշխատելու ակնարկի փոխարեն։

Պահեք պահուստային պատճենները գաղտնիքների պես առանձին

Վերակառուցման արխիվը օրինականորեն պարունակում է դարպասի բանալին և CA նյութը, որովհետև առանց դրանց վերականգնումը չի կարող վերարտադրել ծառայությունը։ Հաճախորդի տեղադրման փաթեթը չպետք է պարունակի, և երկուսը չպետք է պահվեն միասին։ Նշեք յուրաքանչյուր արխիվ ըստ այն բանի, թե ով կարող է պահել այն, ոչ թե ստեղծման ամսաթվով։ Այդ պիտակն է, որ հոգնած ադմինիստրատորը կարդում է գիշերվա ժամը երկուսին։

Այդ տարբերությունը նաև որոշում է, թե ով կարող է ստանալ յուրաքանչյուրը։ Դարպասի կառավարումը, օգտատերերի ինքնությունների թողարկումը և պահուստային պատճենների ընթերցումը երեք տարբեր լիազորություններ են, և ով կարիք ունի մեկին, ինքնաբերաբար կարիք չունի մյուսներին։ Գրեք այդ թույլտվությունները, ապա ստուգեք դրանք այն բանի դեմ, ինչ ձեր պահոցն իրականում թույլ է տալիս, որովհետև պանակների ժառանգումը լուռ տալիս է ավելին, քան նախատեսում է քաղաքականությունը։