OpenVPN án biðlara-skírteinis: stefna netþjóns, ekki snið

Þú eyðir skírteinis- og lyklalínum, afhendir sniðið, og tengingin mistekst enn með skírteinisvillu. Sniðið var aldrei það sem knúði þá kröfu. Netþjónninn ákveður hvort biðlara-skírteini sé skylda, og engin breyting á biðlarahlið samsemur það burt. Því er lagfæringin breyting á stefnu netþjóns, gerð viljandi, með öllu sem af henni er háð uppfært í sömu lotu.

Sniðið er ekki stefnan

Community OpenVPN 2.6 kemur með skyldum biðlara-skírteinum, því verify-client-cert er sjálfgefið require. Að setja það á none er það sem stöðvar kröfuna um skírteini og felur auðkenningu biðlarans því notandanafns- og lykilorðsfyrirkomulagi sem netþjónninn keyrir þegar. Eldri leiðarvísar grípa til client-cert-not-required, eldri stafsetningar sömu hugmyndar, svo notaðu þá tilskipun sem uppsetta útgáfan þín skjalfestir. Hvort sem er, breytingin verður á netþjónnum, og ekkert biðlara-snið getur framkvæmt hana.

Brotinn hér að neðan er öll breytingin á netþjónshlið, og eitt og sér er það ekki virk auðkenningarstilling. verify-client-cert none fjarlægir skírteiniskröfuna, en username-as-common-name gerir reikningsheitið að þeirri auðkenni sem síðari köll og skrár hvers biðlara sjá. Engin lína prófar lykilorð, svo sannprófari verður samt að vera til.

verify-client-cert none
username-as-common-name

Sá sannprófari er viðbót eða skrifta sem auth-user-pass-verify stýrir, og hún verður að vera til staðar áður en einhver línanna hér að ofan þýðir nokkuð. Að snúa röðinni gefur þér glugga þar sem netþjónninn biður um ekkert skírteini og prófar engan reikning.

Hvað sannprófar netþjóninn enn

Að sleppa biðlara-skírteininu er ekki að sleppa TLS. Netþjónninn heldur skírteini sínu og lykli, og biðlarinn heldur CA-traustinu og hýsilnafnsprófunum sem koma í veg fyrir að hann talar við svikara. Að fjarlægja remote-cert-tls server eða CA-vöndulinn af því að biðlarinn hefur ekki lengur skírteini er algengur og alvarlegur misskilningur, og 2.6 tilvísunin er skýr um að báðar áttirnar eru óháðar. Önnur sannar netþjóninn fyrir biðlaranum; hin sannar biðlarann fyrir netþjónnum.

Snið getur líka borið tls-auth eða tls-crypt blokk. Það er sameiginlegur lykill stjórnrásar með eigin dreifingar- og snúningsferli, svo skrá án skírteinis- eða lyklalína er ekki sjálfkrafa örugg til birtingar. Meðhöndlaðu hana sem leyndarmál þar til þú hefur lesið hana.

Skírteinisskrá sem afrituð er úr virku sniði sannar ekkert eitt og sér; eign merkir að halda einkalyklinum sem passar við hana, sem uppsetning með skírteinisauðkenningu prófar. Skrá sem inniheldur skírteini er ekki skrá sem hægt er að auðkenna sig með.

Hvað sannprófarinn verður að gera

Þegar skírteiniskrafan er fjarlægð hvílir allt á sannprófaranum: viðbót, eða skrifta sem auth-user-pass-verify stýrir. Hún verður að hafna ógildum skilríkjum, hafna óvirkum eða óhæfum reikningum og mistakast lokað þegar hún nær ekki bakendanum sínum. username-as-common-name er oft virkjað við hliðina, og það breytir auðkenninu sem síðari köll og stillingaskrár hvers biðlara sjá. Það sannprófar ekki lykilorð og gerir óhæfan reikning ekki hæfan. Þetta eru aðskilin verk, og að rugla þeim saman er leiðin sem flutningur stenst hamingjusama slóðarprófið og mistekst í fyrsta raunverulega atvikinu sínu.

Prófaðu neikvæðu tilfellin jafn vandlega og það jákvæða. Snið sem sýnir lykilorðsbeiðni sannar aðeins að biðlarinn geti teiknað beiðni, en netþjónn sem tekur við röngu lykilorði sannar eitthvað mun verra. Bættu óvirkum reikningi og útrunnum skilríkjum við prófunarsettið, ekki bara slæmu lykilorði.

Breyttu stefnu, sniði og vörpun saman

Samræmdu þrjá hluti: tilskipun netþjóns, snið biðlarans og vörpun auðkennis hvers biðlara. Breyttu þeim í sundur og biðlarar mistakast fyrir sannprófun, eða tengjast undir nafni sem stjórnandinn bjóst ekki við, sem er verra því það lítur út eins og árangur. Tenging sem tekst undir röngu auðkenni er erfiðari að taka eftir en sú sem mistekst.

Haltu tveimur prófunarreikningum fyrir þessa slóð, einum gildum og einum þekkt-slæmum, og notaðu báða eftir hverja breytingu á sannprófaranum. Gildi reikningurinn sannar hamingjusömu slóðina og auðkennisvörpunina; sá slæmi sannar að höfnun virki enn. Hvort próf segir þér ekkert um hæfisreglur, svo bættu við reikningi sem ætti að hafna af stefnufræðilegum ástæðum ef uppsetningin hefur slíkar. Keyrðu öll þrjú eftir hverja breytingu, því sannprófari sem byrjar að samþykkja allt lítur nákvæmlega út eins og virk innskráning.

Skráðu hvaða auðkenningaraðferðir netþjónninn samþykkir í raun, ekki hverjar sniðið bendir á. Þessi skrá svarar spurningunni sem fólk heldur áfram að spyrja, það er hver getur tengst þessari þjónustu. Hún lifir einnig lengur en næsti stjórnandi, sem myndi annars enduruppgötva hana úr pakkaskráningu.