Тек құпиясөзбен жұмыс істейтін OpenVPN профиліне қай CA файлы кіреді?

Төрт сұрақты ретімен өткізіңіз, сонда CA диалогы екіұшты болудан қалады. Оператор шынымен қандай материал шығарды, профильде не бар, қай өріс сұрап тұр және файл жүктелгеннен кейін не болады? Оператордың өз нұсқаулығынан жауап бере алмайтын бірінші сұрақта тоқтаңыз, өйткені одан әрі болжау — жария CA сертификатының серверден ешқашан шықпауы керек жеке кілтпен жұптасуының дәл сол жолы.

Реті маңызды: соңғы екі сұрақ қандай материал болуы керектігін білгеннен кейін ғана мағыналы.

Профильде әлдеқашан бар нәрседен бастаңыз

Профильді мәтіндік редакторда ашып, файл іздеуден бұрын ca блогын іздеңіз. Оператордың жария CA-сын қамтитын кіріктірілген ca блогы профильдің өзін-өзі қамтамасыз ететінін білдіреді, ал әлі CA файлын сұрап отырған клиент басқа профильді немесе толық емес импортты оқып жатқан болуы мүмкін. Егер профильде оның орнына жолға сілтейтін ca жолы болса, бұл жол кейбір интеграцияларда клиенттің жұмыс каталогына қатысты салыстырмалы, басқаларында абсолютті. Бірдеңені өзгертуден бұрын қай пішінде екенін жазып қойыңыз.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Профиль сілтейтін файлдар үшін жеткізілген пакетті тексеріңіз: CA сертификаты, кейде бөлек клиент сертификаты мен кілті, және мүмкін tls-auth немесе tls-crypt файлы. Төрт файлға сілтеп, екеуімен келген профиль толық емес, және өрістерге сілтеудің ешбір мөлшері оны түзетпейді. Кездейсоқ қолыңызда бар сертификатты қоюдың орнына оператордан жетіспейтін бөлігін сұраңыз.

Материалдың төрт түрін ажыратыңыз

CA сертификаты — сервердің жеке басын тексеру үшін қолданылатын жария материал. Клиент сертификаты пайдаланушыны немесе құрылғыны серверге танытады. Жеке кілт — сол клиент сертификатының құпия жартысы, және ол ешқашан CA-ның қолтаңба кілті немесе сервер кілті болмауы керек. tls-auth немесе tls-crypt материалы басқару арнасын қорғайтын бөлек ортақ құпия. Бұл төртеуі өзара алмастырылмайды, ал CA өрісін клиент сертификатына бағыттау сенім мәселесіне ұқсайтын тексеру сәтсіздігін туғызады.

Тек құпиясөзбен аутентификация төртеуінің қайсысы керек екенін өзгертеді, олардың мағынасын емес. auth-user-pass және remote-cert-tls server кезінде клиент серверді әлі де CA-ға қарсы тексереді, сондықтан клиент сертификаты болмаса да CA өрісі көрінеді. Клиент сертификаты да талап етіле ме, оны оператордың саясаты шешеді, және ешбір диалог мұны сізге айта алмайды.

Клиентті сенім файлына бағыттаңыз

CA сертификат файлының өзін таңдаңыз, оны қамтитын қалтаны емес және клиенттік сәйкестендіруді қамтитын .p12 бумасын емес. Windows-та жол синтаксисі мен файл таңдаушысы көптеген нұсқаулықтардағы Linux мысалдарынан өзгеше әрекет етеді, сондықтан орнатылған клиент қабылдайтынын пайдаланыңыз және файлды оны іске қосатын тіркелгі оқи алатынын растаңыз. Рұқсат мәселесі мен жоқ файл диалогта бірдей көрінеді, бірақ әртүрлі журнал жолдарын береді. Таңдағаннан кейін клиент таңдауды сақтағанын растау үшін профиль параметрлерін қайта ашыңыз.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Егер клиент кіріктірілген блоктарды қолдаса, қолмен жиналған профильдің орнына оператордың кіріктірілген профилін қалаңыз. Кіріктірілген материал профильмен бірге жүреді және қайта импорттаудан аман қалады, ал абсолютті жол профиль басқа машинаға көшкен сәтте сынады.

Бірдей қатені емес, келесі қатені оқыңыз

Дұрыс CA берудің мақсаты — қатені өзгерту, оны жоғалту емес. CA жүктелгеннен кейінгі сервер сәйкестігінің сәтсіздігі сертификаттың күтілетін атауға немесе remote-cert-tls күтуіне сай келмегенін білдіреді, бұл құпиясөзден бас тартудан өзгеше жөндеу. Құпиясөзден бас тарту TLS қабатының сәтті өткенін және тіркелгі деректерінің қате екенін білдіреді. Бірінші жаңа хабарды сақтап қалыңыз; пайдалысы сол.

Қосылатын, бірақ еш жерге жете алмайтын клиент сенімнен толық өтіп кетті және енді маршруттау немесе DNS сұрағына тап болады.

Сол диалогтан өту үшін тексеруді ешқашан өшірмеңіз. Кез келген сертификатты қабылдайтын клиенттің CA сұрауға себебі жоқ, және ол салатын туннель оператор ойлаған туннель емес.