რომელი CA ფაილი ხვდება მხოლოდ პაროლის მქონე OpenVPN პროფილში?
CA ველი ამოწმებს სერვერს და არა მომხმარებელს. ნახეთ, რა აქვს პროფილს უკვე, გამოყავით მასალის ოთხი ტიპი და წაიკითხეთ შემდეგი შეცდომა.
ოთხი კითხვა თანმიმდევრობით გაიარეთ და CA დიალოგი აღარ იქნება ორაზროვანი. რა მასალა გამოსცა ოპერატორმა სინამდვილეში, რას შეიცავს პროფილი უკვე, რომელი ველი სვამს კითხვას და რა ხდება ფაილის ჩატვირთვის შემდეგ? გაჩერდით პირველ კითხვაზე, რომელზეც ოპერატორის საკუთარი ინსტრუქციებიდან ვერ უპასუხებთ, რადგან მისი გადაჭარბებული გამოცნობა სწორედ ის გზაა, რომლითაც საჯარო CA სერტიფიკატი ისეთ კერძო გასაღებს უწყვილდება, რომელიც სერვერი არასოდეს უნდა დაეტოვებინა.
თანმიმდევრობა მნიშვნელოვანია: ბოლო ორ კითხვას მხოლოდ მაშინ აქვს აზრი, როცა იცით, რა მასალა უნდა არსებობდეს.
დაიწყეთ იმით, რაც პროფილს უკვე აქვს
გახსენით პროფილი ტექსტურ რედაქტორში და ფაილის ძებნამდე მოძებნეთ ca ბლოკი. ოპერატორის საჯარო CA-ს შემცველი ჩაშენებული ca ბლოკი ნიშნავს, რომ პროფილი თვითკმარია, ხოლო კლიენტი, რომელიც კვლავ CA ფაილს ითხოვს, შესაძლოა სხვა პროფილს ან არასრულ იმპორტს კითხულობდეს. თუ პროფილში სამაგიეროდ არის ბილიკზე მიმთითებელი ca ხაზი, ეს ბილიკი ზოგ ინტეგრაციაში კლიენტის სამუშაო დირექტორიის მიმართ ფარდობითია, ზოგში კი აბსოლუტური. ჩაიწერეთ, რომელი ფორმა გაქვთ, სანამ რამეს შეცვლით.
ca /absolute/path/operator-ca.crt auth-user-pass remote-cert-tls server
შეამოწმეთ მიწოდებული პაკეტი იმ ფაილებზე, რომლებზეც პროფილი მიუთითებს: CA სერტიფიკატი, ზოგჯერ ცალკე კლიენტის სერტიფიკატი და გასაღები, და შესაძლოა tls-auth ან tls-crypt ფაილი. პროფილი, რომელიც ოთხ ფაილზე მიუთითებს და ორით მოდის, არასრულია, და ველებზე მითითების არც ერთი რაოდენობა ამას არ ასწორებს. სთხოვეთ ოპერატორს დაკარგული ნაწილი იმის ნაცვლად, რომ შემთხვევით ხელთ არსებული სერტიფიკატით ჩაანაცვლოთ.
გამოყავით მასალის ოთხი ტიპი
CA სერტიფიკატი საჯარო მასალაა, რომელიც სერვერის იდენტობის დასადასტურებლად გამოიყენება. კლიენტის სერტიფიკატი მომხმარებელს ან მოწყობილობას სერვერის წინაშე იდენტიფიცირებს. კერძო გასაღები ამ კლიენტის სერტიფიკატის საიდუმლო ნახევარია და არასოდეს უნდა იყოს CA-ის ხელმოწერის გასაღები ან სერვერის გასაღები. tls-auth ან tls-crypt მასალა ცალკე საერთო საიდუმლოა, რომელიც საკონტროლო არხს იცავს. ეს ოთხი ურთიერთშემცვლელი არ არის, და CA ველის კლიენტის სერტიფიკატზე მიმართვა წარმოქმნის დადასტურების ჩავარდნას, რომელიც ნდობის პრობლემას ჰგავს.
მხოლოდ პაროლით ავთენტიფიკაცია ცვლის იმას, თუ ოთხიდან რომელი გჭირდებათ, და არა მათ მნიშვნელობას. auth-user-pass და remote-cert-tls server პირობებში კლიენტი კვლავ ამოწმებს სერვერს CA-ს მიმართ, ამიტომ CA ველი ჩნდება მაშინაც, როცა კლიენტის სერტიფიკატი არ არსებობს. ოპერატორის პოლიტიკა წყვეტს, საჭიროა თუ არა კლიენტის სერტიფიკატიც, და ვერც ერთი დიალოგი ვერ გეტყვით ამას.
მიმართეთ კლიენტი ნდობის ფაილზე
აირჩიეთ თავად CA სერტიფიკატის ფაილი, და არა მისი შემცველი საქაღალდე და არა კლიენტის იდენტობის შემცველი .p12 პაკეტი. Windows-ზე ბილიკის სინტაქსი და ფაილის ამრჩევი სხვაგვარად იქცევა, ვიდრე გიდების უმეტესობის Linux მაგალითებში, ამიტომ გამოიყენეთ ის, რასაც დაყენებული კლიენტი იღებს, და დაადასტურეთ, რომ ფაილი მისი გამშვები ანგარიშისთვის წაკითხვადია. ნებართვის პრობლემა და დაკარგული ფაილი დიალოგში ერთნაირად გამოიყურება, მაგრამ სხვადასხვა ჟურნალის სტრიქონებს იძლევა. არჩევის შემდეგ ხელახლა გახსენით პროფილის პარამეტრები, რომ დაადასტუროთ, კლიენტმა არჩევანი შეინახა.
<ca> -----BEGIN CERTIFICATE----- ...operator-provided public CA... -----END CERTIFICATE----- </ca>
თუ კლიენტი ჩაშენებულ ბლოკებს მხარს უჭერს, უპირატესობა მიანიჭეთ ოპერატორის ჩაშენებულ პროფილს ხელით აწყობილის წინაშე. ჩაშენებული მასალა პროფილთან ერთად მოძრაობს და გადაურჩება ხელახალ იმპორტს, ხოლო აბსოლუტური ბილიკი იმ წამს იშლება, როცა პროფილი სხვა მანქანაზე გადადის.
წაიკითხეთ შემდეგი შეცდომა და არა იგივე
სწორი CA-ს მიწოდების მიზანი შეცდომის შეცვლაა და არა მისი გაქრობა. CA-ს ჩატვირთვის შემდეგ სერვერის იდენტობის ჩავარდნა ნიშნავს, რომ სერტიფიკატი არ ემთხვეოდა მოსალოდნელ სახელს ან remote-cert-tls მოლოდინს, რაც პაროლის უარყოფისგან განსხვავებული შეკეთებაა. პაროლის უარყოფა ნიშნავს, რომ TLS ფენა წარმატებით დასრულდა და მონაცემები არასწორია. შეინახეთ პირველი ახალი შეტყობინება; ის არის სასარგებლო.
კლიენტი, რომელიც უკავშირდება, მაგრამ ვერსად აღწევს, ნდობას მთლიანად გადასცდა და ახლა მარშრუტიზაციის ან DNS კითხვის წინაშე დგას.
არასოდეს გამორთოთ დადასტურება იმ დიალოგის გასავლელად. კლიენტს, რომელიც ნებისმიერ სერტიფიკატს იღებს, CA-ს თხოვნის მიზეზი არ აქვს, და გვირაბი, რომელსაც ის აშენებს, არ არის ის, რაც ოპერატორს ჰქონდა მხედველობაში.