remote-cert-tls server: hvað það athugar í OpenVPN-sniði

Þremur mismunandi spurningum er svarað af þremur mismunandi hlutum OpenVPN-sniðs, og að sameina þær er hvernig fólk endar á að slökkva á athugun sem virkaði. Er vottorð mótaðilans undirritað af því yfirvaldi sem ég treysti? Segir vottorðið til um TLS-þjónshlutverkið? Er það nákvæmlega sá þjónn sem ég ætlaði að ná til? remote-cert-tls server svarar aðeins miðspurningunni, og gerir það með því að lesa viðbætur inni í vottorðinu.

Þrjár athuganir sem auðvelt er að sameina í höfðinu

Traustríkjufestan býr í tilskipuninni ca. Hlutverkaathugunin tilheyrir remote-cert-tls. Auðkennaathugunin tilheyrir verify-x509-name, þegar snið notar hana, eða hvaða nafnaathugun sem uppsetningin bætir við.

Þær ná yfir mismunandi bilana:

Snið getur haft allar þrjár og verið samt veikt ef CA er deilt of vítt, sem er spurning um lyklastjórnun en ekki tilskipun.

Hvað hlutverkaathugunin les

Tilskipunin er fjölvaskipun. Hún stækkar í kröfu um lykilanotkun og kröfu um útvíkkaða lykilanotkun sem nefnir TLS-vefþjónshlutverkið, svo vottorð mótaðilans verður í raun að lýsa þeim tilgangi. Vottorð sem gefið er út fyrir auðkenningu biðlara uppfyllir það ekki, jafnvel þótt sama yfirvaldið hafi undirritað bæði.

Það skiptir máli vegna þess að deilt CA er algengt í litlum uppsetningum. Eitt yfirvald undirritar hvern biðlara og þjóninn, og án hlutverkaathugunar gæti hvert þessara vottorða lokið þjónshlið handabandsins. Athugunin gerir það atburðarás ekki ómögulegt, en hún fjarlægir fánýta útgáfu þess.

Tilskipunin er ósamhverf að hönnun: biðlarar bera remote-cert-tls server, og þjónar bera remote-cert-tls client. Skiptið á þeim og hver tenging mistekst með hlutverkavillu sem lítur út eins og brotið vottorð.

Eldri snið nota stundum ns-cert-type í sama tilgangi. Núverandi handbókarsíður líta á þann valkost sem úreltan, svo snið sem enn treystir á hann er þess virði að flytja frekar en að aflúsa.

Af hverju að slökkva á því virkar eins og lagfæring

Þegar hlutverkaathugunin mistekst stöðvast tengingin með sannprófunarvillu og augljósa ráðið er að eyða línunni. Tengingin kemur þá upp, sem virkar eins og framfarir og er í raun sú bilunargerð sem tilskipunin er til að koma í veg fyrir. Þið samþykkið nú mótaðila sem vottorð hans var aldrei ætlað fyrir það hlutverk.

Lesið villuna í staðinn. Hún nefnir athugunina sem mistókst, og hægt er að skoða vottorðið hinum megin til að sjá hvaða viðbætur það ber í raun. Tvær mínútur af lestri ákvarða hvort gallinn sé í útgáfunni eða stillingunum. Að giska kostar síðdegi og endar venjulega með veiku sniði. Endurnýjað þjónsvottorð sem missti útvíkkaða lykilanotkun er raunverulegur galli í endurnýjuninni, ekki ástæða til að slaka á biðlaranum.

Nafnaathugunin er sér tilskipun

Að uppfylla hlutverkaathugunina segir að mótaðilinn sé einhver þjónn undirritaður af yfirvaldi þínu. Hún segir ekkert um hvaða, sem skiptir máli þegar sama CA gefur út vottorð fyrir nokkrar gáttir og ein þeirra er í hættu eða endurnýtt.

verify-x509-name ber saman viðfang vottorðsins við gildi sem þú stillir, með samsvörunargerðum fyrir nákvæmt viðfang, forskeyti eða eitt svið. Notaðu sviðið sem auðkennir gáttina í raun, og reiknaðu með að uppfæra það viljandi þegar nafnið breytist.

Hvorug tilskipunin kemur í stað góðrar lyklameðferðar. Ef biðlaralyklaskráin er afrituð víða með sniðinu er auðkenni mótaðilans aðeins eins sterkt og dreifingarlistinn.

Skoðið vottorðið áður en þið breytið sniðinu

Lesið vottorð mótaðilans og biðlaraloggið, í þeirri röð. Vottorðið segir hvaða hlutverk það lýsir; loggið segir hvaða athugun hafnaði því.

Þessar skipanir prenta notkunarviðbæturnar og sannprófunarlínurnar úr ítarlegri tengingu:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Ef viðbæturnar sýna þjónshlutverkið og loggið greinir enn frá hlutverkabilun er sniðið líklega að vísa á rangri vottorðaskrá fremur en slæmt vottorð. Ef viðbæturnar sýna aðeins auðkenningu biðlara, hættið að horfa á biðlarann og lagaðu útgáfuna. Hvort sem er, endurheimtið athugunina áður en þið kallið tenginguna heilbrigða, því árangursríkt handaband eftir að sannprófun er fjarlægð sannar minna en villan sem það kom í staðinn fyrir.