Бұл жарияланған OpenVPN кілті — CA, серіктес кілті немесе tls-auth па?

Біреу VPN кілтінің жария екенін хабарлайды, және бұл сөйлем мүлде басқа үш жағдайды жасырады. Ол әр клиентте болуы тиіс CA сертификаты, ешқашан бір машинадан шықпауы тиіс жеке сәйкестендіру кілті немесе екі жақ та ұстауы тиіс ортақ басқару арнасының құпиясы болуы мүмкін. Түзету, шұғылдық және залал ауқымы әр жағдайда әртүрлі, сондықтан бірінші міндет — әрекет емес, жіктеу. Санатты қате анықтасаңыз, келесі әрбір қадам босқа кеткен еңбек.

Файл атынан емес, директивадан бастаңыз

Белсенді конфигурацияны оқып, қай директиваның қажетті материалға нұсқайтынын табыңыз. OpenVPN-нің TLS опциялары сенімді сертификат материалы үшін ca, жергілікті серіктес сертификаты үшін cert және оған тиесілі жеке кілт үшін key қолданады.

Файл аттары ештеңені дәлелдемейді. key.pem деп аталатын файлда сертификат болуы мүмкін, ал профильдегі кірістірілген блок дискідегі бөлек файлмен дәл бірдей нысанды қамтуы мүмкін. Атауға сенудің орнына файлды ашып, оның тақырыбын қараңыз. Осы бір тексеру есептегі белгісіздіктің көбін жояды.

Егер профиль PKCS#12 бумасы болса, оның шын мәнінде не қамтитынын көру үшін оны бақыланатын жерде ашыңыз. Бір бума сертификатты, оның тізбегін және жеке кілтті алып жүруі мүмкін, яғни буманың ағуы — үшеуінің ағуы.

Біреу файлды өзгертпес бұрын жіктеуді жазып қойыңыз: нысан, директива, оны қай серіктестер ұстайды және кім оқи алады. Жауаптың қалған бөлігі осы сөйлемге байланысты.

CA сертификаты бөлісуге арналған

Ашық CA сертификаты — сенім материалы. Клиенттерге ол серверді тексеру үшін қажет, ал оны тарату қалыпты жағдай, оқиға емес. Оны жариялау CA-ның жеке қолтаңба кілтін жарияламайды, ал шабуылдаушыға жаңа сәйкестендірулер жасауға мүмкіндік беретін нысан — дәл сол.

Бұл айырмашылықты билетте анық жазуға тұрарлық, өйткені екеуі үнемі шатастырылады. Жауап беру керек сұрақ: аққан файл — сертификат па, әлде қолтаңба кілті ме, және файл мазмұнына жылдам көз жүгірту оны шешеді. Сертификатта ашық кілт пен қолтаңба болады; қолтаңба кілті онда мүлде көрінбейді.

Тарату әлі де ұқыптылықты қажет етеді. Клиенттер сертификатты бекітілген профиль жеткізу жолымен алуы керек, қою сайтынан емес, ал сенімсіз жолмен келген сертификат жолда ауыстырылуы мүмкін.

Серіктес кілті мен tls-auth құпиясы бір емес

Серіктестің жеке кілті — сәйкестендіру материалы. Ол көшірілгеннен кейін сервер көзделген құрылғыны көшірмесі бар кез келгеннен ажырата алмайды, өйткені дәлелденіп жатқан қасиет — айрықша иелену еді. Авторизацияны жалғастыру мен ауыстыру — VPN иесінің шешімі, файлды тапқан адамның емес.

tls-auth құпиясы — үшінші нәрсе. Ол басқару арнасының пакеттерінің айналасына HMAC аутентификациясын қосады, сондықтан дұрыс аутентификацияланбаған пакеттер TLS алмасуына дейін тасталады, және ол серіктестің жеке кілті де емес, қолданба деректерін шифрлайтын кілт те емес.

Егер сол ортақ құпия жария болса, оның берген кедергісі оны ұстағандардың бәрі үшін жоғалды. Бұдан әр ұстаушы оның артындағы сертификат пен пайдаланушы тексерістерінен өтеді деген қорытынды шықпайды, сондықтан жіктеу дабыл деңгейінен маңыздырақ. Қай кедергі құлағанын айтыңыз және қайсылары қалғанын айтыңыз.

Аққан рөлді түзетіңіз, көршісін емес

Ортақ құпияны файл атын өзгерту немесе жүктеу сілтемесін жасыру арқылы қайтадан жеке ету мүмкін емес. Ауыстыру дегеніміз жаңа мән жасап, оны үйлестірілген өзгерісте әр серіктеске тарату, ал тек бір жақты ауыстыру ескі мәнді әлі ұстағандардың бәріне келісімді бұзады.

Егер серіктестің сәйкестендіруі әшкереленсе, сол сәйкестендіру үшін оператордың қайтарып алу және қайта тіркеу процесін қолданыңыз. Байланыссыз тіркелгінің құпия сөзін өзгерту көшірілген сертификатты жарамсыз етпейді, tls-auth файлын ауыстыру да етпейді.

Осылардың кез келгеніне сенбес бұрын орналастырылған сервердің шын мәнінде нені орындайтынын растаңыз. Жаңартылмайтын қайтарып алу тізімі немесе үзіліс кезінде өшірілген рөл тексерісі жауапты мүлде өзгертеді. Қойма көшірмесін емес, жұмыс істеп тұрған конфигурацияны оқыңыз.

Өткен трафикті өз шарттарымен бағалаңыз

Әшкереленген файл бұрын ұсталған сессиялардың шифрын ашуға болатынын өзі айтпайды. Бұл кілт орнату әдісіне, әшкереленген материалға және қандай жазбалар бар екеніне байланысты, ал «бүкіл трафик жоғалды» мен «ештеңе болмады» — осы фактілерсіз болжам.

Кредиттің қай санатқа жататынын сұрап жатқанда оның тағы бір көшірмесін жарияламаңыз. Оның орнына директива атаулары мен құпия емес метадеректерді бекітілген қолдау жолымен бөлісіңіз.

Пайдалы қорытынды нысанды, оның рөлін, жоғалған қорғанысты және қажетті үйлестірілген әрекетті атайды. Бұдан қысқа кез келген нәрсе — тақырып, бағалау емес.