Hvernig OpenVPN leysir vottorðið og lykilinn: innfellt PEM eða slóð

Skilaboðin segja að OpenVPN geti ekki hlaðið innfellt vottorð, og skráarnafnið sem þú geymir í höfðinu segir hið gagnstæða. Það sem þáttarinn fékk skiptir meira máli en það sem skráakerfið inniheldur, því tilskipunin cert tekur við tveimur gjörólíkum tegundum gildis. Önnur er slóð sem hún opnar; hin er PEM-texti sem barst inni í stillingunni. Þar til þú veist hvaða mynd keyrandi biðlarinn fékk er hver lagfæring ágiskun.

Tvær geymslumyndir, ein tilskipun

Tilskipanirnar cert, key og ca taka hver um sig við slóð eða innfelldri blokk. Þegar gildið er slóð opnar OpenVPN þá skrá og les hlutinn af disknum. Þegar stillingin inniheldur blokk sem afmörkuð er með cert-merkjum eyðir sama tilskipun í staðinn efninu á milli þeirra merkja, og engin sérstök skrá kemur við sögu.

Báðar myndir framleiða að lokum sömu tegund hlutar, þess vegna getur virk uppsetning færst á milli þeirra án nokkurrar annarrar breytingar. Prófíll sem ber innfellt biðlaravottorð og einkanlegan lykil er sjálfstæður, og að afrita hann á aðra vél virkar án þess að afrita líka vottorðamöppu.

Hið gagnstæða er ekki satt. Að leggja client.crt við hlið prófíls sem felur eigin gögn inn breytir engu, því ekkert í stillingunni vísar á þá skrá. Þetta er algengasta ástæðan fyrir því að skrá sem augljóslega er til virðist vera hunsuð.

Hvernig innfelld blokk verður að hlut

Innfelldu efni er dregið út úr stillingunni og afhent PEM-þáttaranum sem texti. Sá þáttari ætlast til venjulegu markanna: BEGIN-línu, base64-hleðslu og samsvarandi END-línu. Ef blokkin var stytt af misheppnuðu afriti, vafin í HTML af niðurhalssíðu eða opnuð í ritli sem normalíseraði bandstrikin, mistekst þáttarinn á efni sem virðist vera til staðar.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

Þess vegna er orðalag villunnar líka villandi. Orðið innfellt lýsir því hvar hlaðarinn leit, ekki því sem hann fann þar. Skrá sem nefnd er í stillingu og hlutur sem felldur er inn í hana geta framleitt sömu kvörtunina þegar undirliggjandi bætin eru ónothæf.

Athugaðu hvaða mynd hlaðni prófíllinn notar í raun, ekki hvaða skrá ritillinn þinn opnaði fyrir tilviljun:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

Hvernig slóðartilvísun er leyst

Slóðargildi er opnað miðað við vinnumöppu biðlarans, ekki möppuna sem inniheldur stillinguna. Undir systemd er sú vinnumappa það sem einingin setur, og gagnvirk keyrsla úr skelinni þinni erfir eitthvað allt annað. Þess vegna getur sama stillingarskráin virkað þegar þú prófar hana handvirkt og mistekist sem þjónusta.

Afstæðar slóðir erfa sömu tvíræðnina. Þegar þú sér beran skráarnafn skaltu spyrja hver núverandi mappa ferlisins er í framleiðslu í stað þess að gera ráð fyrir að hún passi við flugstöðina þína.

Fyrir vottorð sem geymt er sérstaklega staðfestir ótengd þáttun hlutinn áður en þú kembir nokkurn hlut fyrir ofan hann:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

Þessar skipanir sanna að skrárnar eru læsilegar og gildar að uppbyggingu. Þær sanna ekki að jafninginn treysti útgefandanum, að vottorðið sé enn innan gildistímabils síns eða að lykillinn tilheyri því.

Hvað þáttunarvillan getur og getur ekki sagt þér

Þáttunarmistök staðsetja vandann í eitt inntak og eitt stig. Hún segir þér ekki hvora af tveimur geymslumyndunum biðlarinn notaði, og hún segir þér ekki hvort hluturinn hefði verið samþykktur. Það eru aðskildar spurningar með aðskildum sönnunargögnum.

Þegar þáttunin tekst tilheyrir næsta mistök síðara stigi. Höfnun trausts, misræmi í tilgangi eða misræmi í lykli er tilkynnt af jafningnum eða af TLS-laginu, ekki af hlaðaranum. Að skipta um sömu skrá aftur og aftur hreyfir ekki þá villu.

Haltu viðkvæma helmingnum utan opinberra skýrslna á meðan þú rannsakar. Deildu nöfnum tilskipananna, villutextanum og uppbyggingu blokkarinnar, með lykilefninu og hverri auðkennandi hleðslu fjarlægðri. Handbókin openvpn(8) skjalfestir báðar myndir skráartilskipananna og hegðun vinnumöppunnar sem liggur að baki.