თვითნაწერი კლიენტის სერტიფიკატი? VPN სერვერი მაინც უარყოფს მას

ოპერატორი აგზავნის მისამართსა და მომხმარებლის სახელს, კლიენტი კი ითხოვს CA ფაილს, სერტიფიკატსა და გასაღებს. ამ სამის ლოკალურად შექმნა შემდეგ ცხად ნაბიჯად ჩანს. შედეგად მიიღება სერტიფიკატი, რომლის სჯერა მხოლოდ თქვენს მანქანას. სერვერის ნდობა ჩაჭედილია CA-ში, რომელსაც თქვენ არ აკონტროლებთ, ამიტომ ხელის ჩამორთმევა დასრულდება სანამ დაიწყება.

ნდობა სერვერზე ცხოვრობს, არა თქვენს პროფილში

სერტიფიკატით ავთენტიფიკაცია შედარებაა. კლიენტი წარადგენს სერტიფიკატს; კარიბჭე ამოწმებს, ხელი მოაწერა თუ არა მას მის კონფიგურაციაში არსებულმა ერთ-ერთმა CA-მ.

თქვენი პროფილი ასახელებს CA ფაილს, რომელიც კლიენტმა უნდა გამოიყენოს სერვერის შესამოწმებლად. ის ვერ დაასახელებს CA-ს, რომელიც სერვერმა უნდა გამოიყენოს თქვენი შესამოწმებლად. კონფიგურაციის ეს ნახევარი თქვენი არ არის.

თქვენ მიერ შექმნილი სერტიფიკატი ამ შედარებაში ვარდება მაშინაც, როცა ის ტექნიკურად უნაკლოა. მას აქვს ვალიდური ხელმოწერა, სუბიექტი და თარიღები, მაგრამ გამომცემელია CA, რომლის შესახებაც კარიბჭეს არასოდეს გაუგია. შეცდომა ჩნდება ხელის ჩამორთმევის დროს, მას შემდეგ რაც სერვერმა უკვე მოითხოვა სერტიფიკატი. კლიენტის პროფილში ვერაფერი შეცვლის პასუხს.

რატომ ვერ შეცვლის თვითნაწერი სერტიფიკატი

თვითნაწერი სერტიფიკატი ხელმოწერილია საკუთარი გასაღებით. ხელმოწერა მოწმდება იმავე ფაილის მიმართ, რაც მას თვითშეთანხმებულს და უსარგებლოს ხდის სხვისი კარიბჭისთვის რწმუნებულების სახით.

კარიბჭე არ კითხულობს, შიდად შეთანხმებულია თუ არა სერტიფიკატი. ის კითხულობს, ხელი მოაწერა თუ არა მას სანდო გამომცემელმა.

ამიტომ შეცდომის შეტყობინებები დამაბნეველია. კლიენტმა შეიძლება მოახსენოს შემოწმების წარუმატებლობა, რომელიც სერვერის პრობლემას ჰგავს, მაშინ როცა სერვერი უცნობ გამომცემელს რეგისტრირდება. ორივე ერთსა და იმავე შეუსაბამობას საპირისპირო ბოლოებიდან აღწერს.

CSR გზა ინახავს თქვენს პირად გასაღებს

თქვენ კვლავ შეგიძლიათ სამუშაოს უმეტესობა ლოკალურად შეასრულოთ. შექმენით გასაღების წყვილი, ააგეთ სერტიფიკატის ხელმოწერის მოთხოვნა საჯარო ნახევრის ირგვლივ და გაუგზავნეთ ის ოპერატორს. მხოლოდ მოთხოვნა ტოვებს თქვენს მანქანას. პირადი ნახევარი რჩება იქ, სადაც შექმენით.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

ოპერატორი ხელს აწერს მოთხოვნას თავისი CA-ით და აბრუნებს სერტიფიკატს. თქვენი პირადი გასაღები არასოდეს გამგზავრებულა, და შედეგი მიჯაჭვულია იმ ღუზაზე, რომელსაც კარიბჭე ენდობა.

მართვადი სერვისები ხშირად გამოტოვებენ CSR-ს და გასცემენ მთელ პაკეტს. ეს გონივრული გაცვლაა, როცა იგივე პროვაიდერი უკვე ასრულებს გვირაბს და ფლობს CA-ს. გასაღების შენახვა არ უმჯობესდება მისი შენახვით, რადგან პროვაიდერს ნებისმიერ დროს შეუძლია ახლის მოჭრა.

პაკეტები იმპორტირდება, არა ინსტალირდება

უსაფრთხოდ მჟღერი სახელების მქონე მომწოდებლის პაკეტები ხშირად OpenVPN პროფილებია. ისინი შეიცავს კონფიგურაციას და ზოგჯერ სერტიფიკატებს და არაფერს აყენებენ. შემოიტანეთ ფაილი კლიენტში, რომელიც პროტოკოლს ლაპარაკობს, და კავშირი კონფიგურირებულია.

მოპყრობის წესი შიგთავსიდან გამომდინარეობს. თუ პროფილი შეიცავს პირად გასაღებს, ეს რწმუნებულებაა და პაროლივით ზრუნვას იმსახურებს: არავითარი ელფოსტა, არავითარი რეპოზიტორია, არავითარი საზიარო ჩამოტვირთვის საქაღალდე. როცა ოპერატორი აწვდის ca.crt, client.crt და client.key ცალ-ცალკე, შეინახეთ ისინი ერთად შემზღუდავი უფლებებით და მიუთითეთ პროფილი მათკენ.

დაამატეთ ის შემოწმებები, რომლებიც ოპერატორმა შეიძლება გამოტოვა

როუტერის მიერ შექმნილ პროფილს ზოგჯერ აკლია თანაბარი სუბიექტის შემოწმება. remote-cert-tls server მოითხოვს, რომ თანაბარი სუბიექტის სერტიფიკატს ჰქონდეს სერვერის ავთენტიფიკაციის დანიშნულება, რათა კლიენტის სერტიფიკატი ვერ იქნას გამეორებული როგორც სერვერი. ის ერთი ხაზი მცირე ცვლილებაა მკაფიო დასაბუთებით.

verify-x509-name უფრო შორს მიდის, როცა ოპერატორს შეუძლია დაასახელოს მოსალოდნელი სუბიექტი ან SAN. ორივე მცირე დანამატია პროფილისთვის და ორივე დასაცავია. შეამოწმეთ, რა მიიღეთ, სანამ შემოიტანთ.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

შემოწმების პარამეტრები გატეხილი ჯაჭვის შეკეთება არ არის. თუ გამომცემელი არასწორია, პასუხია სერტიფიკატი სწორი CA-დან და არა დროშა, რომელიც შემოწმებას თიშავს. შემოწმების გამორთვა ავთენტიფიკაციის მარცხს შეუმჩნეველ მარცხად აქცევს.

მოითხოვეთ ერთი პაკეტი: ორგანოს სერტიფიკატი PEM-ით, ამ ორგანოს მიერ ხელმოწერილი კლიენტის სერტიფიკატი, თქვენ მიერ შექმნილი ან სანდო არხით მოსული გასაღები, და ზუსტი სერვერის სახელი, რომელიც სერტიფიკატმა უნდა წარადგინოს. ჩაწერეთ ვადის გასვლის თარიღი იმავე შეტყობინებაში, რადგან ვადაგასული სერტიფიკატი თვეების შემდეგ ქსელის ხარვეზად გამოიყურება.