Hvað VPN-viðskiptavinurinn þinn athugar áður en hann treystir vottorði

VPN-viðskiptavinurinn þinn segir að ekki hafi verið hægt að sannreyna vottorðið, og glugginn stöðvast þar. Skráin er til staðar, netþjónninn er í gangi, og sama sniðið virkaði á annarri fartölvu í síðasta mánuði. Undir þeirri einnar línu viðvörun lét viðskiptavinurinn jafningjavottorðið fara í gegnum fjögur hlið: vottorðayfirvald sem þú stilltir ábyrgist undirskriftarleiðina, leiðin nær til yfirvaldsins, jafningjanafnið er það sem þú baðst um, og vottorðið er nú nothæft fyrir þennan tilgang. Finndu hliðið sem lokaðist og viðgerðin er yfirleitt ein skrá; slepptu því skrefi og þú flytur inn búnt aftur allan síðdegis.

Lestu gluggann áður en þú breytir sniðinu

Vottorðavillur eru orðaðar af bókasafninu fyrir neðan, ekki af VPN-vörunni sem þú settir upp, þannig að nákvæm strengur er fyrsta sönnunargagnið þitt. „Næ ekki vottorði staðbundins útgefanda“ bendir á leiðina eða á traustsanker. „Vottorð er runnið út eða er ekki enn gilt“ bendir á tímann. „Óstuddur vottorðstilgangur“ bendir á útvíkkaða lyklanotkun. Nafnafrávik segir þér hvaða nafn það vildi. Ekkert af fjórum er lagað með því að setja viðskiptavininn upp aftur.

Auðguðu skráninguna áður en þú breytir einhverju. OpenVPN tilkynnir sannreyningarbrestinn í kringum handabandið þegar þú keyrir það með --verb 4, og strongSwan skráir auðkennis- og keðjuákvarðanir sínar í charon-skrána. Staðfestu svo hvaða vottorð þú ert að skoða, því fólk prófar venjulega skrána á diskinum á meðan sniðið felur inn eldri eintak. Þegar sniðið felur inn PEM-blokkir er innfellt vottorðið það sem er prófað.

Vottorðayfirvald undirritar auðkenni, ekki heimildir

Yfirvaldið heldur nafni og undirskriftarlykli. Það gefur út vottorð sem binda opinberan lykil við það nafn samkvæmt eigin stefnu, með gildistíma og notkunartakmörkunum. Viðskiptavinurinn þinn þarf aðeins vottorð yfirvaldsins til að þekkja útgefandann; hann þarf aldrei undirskriftarlykilinn, og að senda þann lykil til viðskiptavina myndi gefa þeim getu til að búa til hvaða auðkenni sem uppsetningin treystir á.

Traust á yfirvaldi gerir hvert vottorð sem það undirritaði að kosti, ekki rétta jafningjanum. Vottorð vefþjóns frá sama innra CA er líka kostur. Þess vegna eru nafna- og tilgangshliðin til, og þess vegna skiptir máli meira að CA-lykill sé brotinn en hvaða einn netþjónn sem er: hann nær til hvers auðkennis sem yfirvaldið hefur nokkurn tíma gefið út. Gefðu út viðskiptavinavottorð fyrir hvert tæki, svo týnd fartölva verði ein afturköllun í stað lyklaskipta fyrir alla uppsetninguna.

Endurbyggðu leiðina sem viðskiptavinurinn er að reyna að byggja

Leiðin liggur frá jafningjavottorðinu, í gegnum núll eða fleiri millivottorð, að rót í traustageymslunni þinni. Vantandi millivottorð er algengasta keðjubilunin, og frá hlið viðskiptavinarins lítur hún nákvæmlega út eins og ótraust rót. Lestu blaðið fyrst og láttu OpenSSL svo byggja leiðina úr efninu sem þú ætlar að senda.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Útgöngustaða núll þýðir að leiðin var byggð úr þessum skrám; bilun nefnir vottorðið sem ekki náðist til. Ef openssl verify tekst á meðan viðskiptavinurinn neitar enn liggur munurinn í því sem netþjónninn sendir í raun eða í því hvaða traustsskrá sniðið hleður. Í OpenVPN geta millivottorð fylgt vottorðsskrá netþjónsins eða verið gefin sérstaklega með --extra-certs, og búnt með tveimur rótum undir sama viðfangsefnanafni sendir einn viðskiptavina þinna niður rangar greinar.

Nafn og tilgangur eru aðskilin hlið

Keðjubygging spyr aldrei hvort nafnið sé þitt. OpenVPN athugar það aðeins þegar sniðið setur --verify-x509-name, og eldri venjan að passa aðeins algenga nafnið brestur á vottorðum þar sem auðkennin lifa í subjectAltName. IKEv2-uppsetningar passa stillta auðkennið við SAN-færslur eða við aðgreint nafn, eftir viðskiptavininum, og villikorts- eða %any-gildi slokkir hljóðlega þeirri samanburði sem þú hélt að þú hefðir.

Næst koma tími og tilgangur. Fartölva þar sem klukkan er nokkrum klukkustundum á undan hafnar vottorði sem er ekki enn gilt, og útrunnið millivottorð fellir leiðina á meðan blaðið er gilt. Tilgangsbrestir koma frá vottorði án serverAuth í útvíkkaðri lyklanotkun, eða með keyUsage sem leyfir ekki handabandssundirskriftina, sem OpenSSL tilkynnir sem óstuddan vottorðstilgang. Gefðu út aftur úr réttu sniðmáti; ekkert í þeim skilaboðum er ástæða til að slökkva á sannreyningu.

Afturköllun gengur aðeins ef einhver stillti hana

CRL eða OCSP-svar er ekki skoðað sjálfkrafa. Á OpenVPN-netþjóni eru viðskiptavinavottorð borin saman við lista aðeins þegar --crl-verify bendir á einn. Athugun netþjónsvottorðsins á hlið viðskiptavinarins fer eftir útfærslunni og er oft ekki til staðar. strongSwan þarf afturköllunarviðbót sína og stefnu áður en það lítur á CRL fyrir jafningja.

Það útskýrir miðann sem þú færð að lokum: afturkallað viðskiptavinavottorð tengist enn, og allir álykta að afturköllunin sé biluð. Ekkert var að athuga. Birtu og endurnýjaðu CRL-ið, eða hafðu viðskiptavinavottorðin nógu skammlíf til að úrelt afturköllun skipti stuttu máli, og æfðu afturköllunarleiðina á rannsóknarstofuvottorði áður en þú þarfnast hennar í atviki.

Viðgerðarröð sem heldur sannreyningu á

Raðaðu eftir einkennum áður en þú snertir skrár, því hver röð í töflunni sendir þig á annan hlut.

Farðu í gegnum listann í einni umferð: staðfestu skrána sem sniðið hleður, byggðu leiðina sjálf, athugaðu að netþjónninn sendi millivottorðið, bera saman klukkuna, lestu SAN-ið, lestu EKU-ið, tengstu svo aftur og fylgstu með sama logglínunni hverfa. Ef tæki getur alls ekki fengið CA er pinnun heiðarlegi valkosturinn, því OpenVPN 2.6 tekur við --peer-fingerprint og þrengir traust að einum lykli í stað þess að fjarlægja athugunina. RFC 5280 er tilvísunin fyrir merkingu hvers þessara reita.