Hvaða CA-skrá fer í OpenVPN-snið með aðeins lykilorði?

Farðu í gegnum fjórar spurningar í röð og CA-glugginn hættir að vera tvíræður. Hvaða efni gaf rekstraraðilinn í raun út, hvað inniheldur sniðið þegar, hvaða reitur spyr og hvað gerist eftir að skráin hefur verið hlaðin? Stoppaðu við fyrstu spurninguna sem þú getur ekki svarað út frá leiðbeiningum rekstraraðilans sjálfs, því að giska fram hjá henni er einmitt leiðin sem opinbert CA-vottorð endar í pari við einkalykil sem aldrei átti að yfirgefa netþjóninn.

Röðin skiptir máli: síðustu tvær spurningarnar hafa aðeins merkingu þegar þú veist hvaða efni á að vera til.

Byrjaðu á því sem sniðið hefur þegar að geyma

Opnaðu sniðið í textaritli og leitaðu að ca blokki áður en þú leitar að skrá. Innbyggt ca blokk með opinberu CA rekstraraðilans þýðir að sniðið stendur undir sér, og biðlari sem enn biður um CA-skrá er kannski að lesa annað snið eða ófullkomna innflutningu. Ef sniðið hefur í staðinn ca línu sem bendir á slóð, er sú slóð afstæð miðað við vinnuskrá biðlarans í sumum samþættingum og algild í öðrum. Skráðu hvort formið þú hefur áður en þú breytir einhverju.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Athugaðu afhenta pakkann fyrir skrárnar sem sniðið vísar á: CA-vottorð, stundum aðskilið biðlaravottorð og lykil, og ef til vill tls-auth eða tls-crypt skrá. Snið sem vísar á fjórar skrár en kemur með tvær er ófullkomið, og enginn fjöldi bendinga á reiti lagar það. Biddu rekstraraðilann um hlutinn sem vantar í stað þess að setja í staðinn vottorð sem þú átt fyrir tilviljun.

Aðskildu fjórar tegundir efnis

CA-vottorð er opinbert efni sem notað er til að staðfesta auðkenni netþjónsins. Biðlaravottorð auðkennir notandann eða tækið fyrir netþjóninum. Einkalykill er leyndi helmingurinn af því biðlaravottorði og má aldrei vera undirritunarlykill CA eða netþjónslykill. Efni tls-auth eða tls-crypt er sérstakt sameiginlegt leyndarmál sem verndar stjórnrásina. Þessi fjögur eru ekki skiptanleg og að beina CA-reitnum að biðlaravottorði veldur staðfestingarbilun sem lítur út eins og traustsvandamál.

Auðkenning með aðeins lykilorði breytir því hvert af fjórum þú þarft, ekki hvað þau þýða. Með auth-user-pass og remote-cert-tls server staðfestir biðlarinn netþjóninn enn gagnvart CA, þess vegna birtist CA-reiturinn jafnvel þótt ekkert biðlaravottorð sé til. Stefna rekstraraðilans ræður því hvort biðlaravottorð sé einnig krafist og enginn gluggi getur sagt þér það.

Beindu biðlaranum að traustskránni

Veldu sjálfa CA-vottorðsskrána, ekki möppuna sem inniheldur hana og ekki .p12 pakka sem inniheldur auðkenni biðlara. Í Windows haga slóðarsetning og skráarvalið sér öðruvísi en Linux-dæmin í flestum leiðarvísum, svo notaðu það sem uppsetti biðlarinn samþykkir og staðfestu að skráin sé læsileg fyrir reikninginn sem keyrir hana. Heimildavandamál og skrá sem vantar líta eins út í glugganum en gefa mismunandi logglínur. Eftir valið skaltu opna sniðsstillingarnar aftur til að staðfesta að biðlarinn hafi haldið valinu.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Ef biðlarinn styður innbyggð blokkir skaltu velja innbyggt snið rekstraraðilans fram yfir handsett snið. Innbyggt efni fer með sniðinu og lifir endurinnflutning, en algild slóð brotnar um leið og sniðið flyst á aðra vél.

Lestu næstu villu, ekki sömu

Tilgangurinn með réttu CA er að breyta villunni, ekki að láta hana hverfa. Bilun í auðkenni netþjóns eftir að CA er hlaðið þýðir að vottorðið passaði ekki við vænt nafn eða væntingu remote-cert-tls, sem er önnur viðgerð en höfnun lykilorðs. Höfnun lykilorðs þýðir að TLS-lagið tókst og skírteinin eru röng. Haltu fyrstu nýju skilaboðunum; þau eru gagnlegu.

Biðlari sem tengist en nær engu hefur farið algjörlega fram hjá trausti og stendur nú frammi fyrir spurningu um leiðsögn eða DNS.

Slökktu aldrei á staðfestingu til að komast fram hjá þeim glugga. Biðlari sem samþykkir hvaða vottorð sem er hefur enga ástæðu til að biðja um CA og göngin sem hann byggir eru ekki þau sem rekstraraðilinn ætlaði.