Бірдей ca.crt файл атауы, басқа сертификат: нені салыстыру керек

Екі профиль де ca.crt деп аталатын файл әкеледі, бір туннель көтеріледі, екіншісі тізбек қатесімен сәтсіз аяқталады. Екі файлды қатар ашу мұны сирек шешеді, ал тексеруді өшіру оны дұрыс емес бағытта шешеді. Қате шын мәнінде қоятын сұрақ тар: әр процесс қай сертификатты өзінің сенім тірегі ретінде жүктейді және екеуі бір нысан ба? Алдымен соған жауап беріңіз, сонда диагностиканың қалғаны бағыт алады. Файл атауы қаптама жапсырмасы, ал профильде жазылған жол да өкілетті емес, сондықтан бәрі процестің шын мәнінде нені оқитынына байланысты.

Клиент шын мәнінде жүктейтін сертификатты табыңыз

OpenVPN билікті екі нысанда қабылдайды және нысан қай байттардың маңызды екенін анықтайды. Профиль ca арқылы сыртқы файлға сілтеуі мүмкін немесе сертификатты профильдің өзіндегі <ca> блогына кірістіруі мүмкін. Екеуі де болса, кірістірілген блок жеңеді және профильдің жанындағы файл ешқашан ашылмайды.

Сәтсіз профильді оқып, кез келген нәрсені салыстырмас бұрын оның қай нысанды қолданатынын анықтаңыз. Көрші каталогтан немесе екінші профиль келген пакеттен алынған көшірме бұл процестің неге сенетіні туралы ештеңе айтпайды. Дәл сол конфигурациядағы жолға да қатысты: ол клиент іске қосылған жерге қатысты шешіледі, бұл әрдайым сіз қарап отырған каталог емес. Профильді оқыңыз, қалтаны емес.

Сертификаттар мазмұнымен анықталады: ашық кілт, субъект пен эмитент, жарамдылық терезесі және осының бәріне қойылған қолтаңба. Бірдей байттары бар екі файл қалай аталса да бір сертификат, ал бірдей атауы бар екі файл байланысы жоқ органдар болуы мүмкін. Атау қаптама жапсырмасы, жеке басы емес.

Екі көшірменің саусақ ізін openssl-мен алыңыз

Саусақ ізі сертификаттың DER кодтауындағы хэш, қолтаңба қамтитын нысан, сондықтан жол соңдары мен тақырып мәтіні оған әсер ете алмайды. Оны әр файл үшін есептеңіз, сонда қос нүктемен бөлінген екі он алтылық жол аласыз, олар не сәйкес келеді, не жоқ. Салыстыру сұрағына жауап беру үшін сертификатта басқа ештеңе оқудың қажеті жоқ.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl бағдарламасын профильдің өзіне бағыттау азғырарлық, бірақ ол файлда бірінші кездесетін сертификат блогын оқиды, ал профиль әдетте <cert> блогын <ca> блогынан бұрын алып жүреді. Билік блогын шығарып алыңыз, содан кейін шығарылған файлдың саусақ ізін алыңыз, өйткені клиент шын мәнінде қолданатын көшірме сол.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Бірдей саусақ іздері сенім материалы бірдей және тізбек қатесінің басқа себебі бар дегенді білдіреді, бұл басқа тергеу. Әртүрлі саусақ іздері әртүрлі сертификаттарды білдіреді және келесі бөлім дәл сол жерден басталады.

Шабуылды болжамас бұрын сәйкессіздікті оқыңыз

Әртүрлі саусақ іздері әртүрлі сертификаттарды және одан артық ештеңе білдірмейді. Қайта шығару, ротация, аты өзгертілген орган немесе ескірген бума толығымен заңды тарихтары бар әртүрлі файлдар жасайды. Оның қайсысы орналастыруға жататыны операторға немесе орналастыру жазбасына қойылатын сұрақ, файлдың өзгеру уақытына емес. Мұрағаттар уақыт белгілерін көшіреді, сондықтан жаңа файл автоматты түрде дұрыс тірек бола бермейді.

Өзін қол қоятын тамыр қалыпты, сондықтан оны табу мәселенің дәлелі емес. Тексерушінің міндеті — сервер сертификатынан өзіне берілген тірекке дейін жол құру, ал тізбек қатесі әдетте бұл жолды аяқтау мүмкін болмағанын білдіреді.

Сәтсіз профильдің тірегі орналастыру әлі де шығаратын орган ба екенін тексеріңіз. Егер саусақ ізі орналастыру жазбасындағы ештеңемен сәйкес келмесе, профиль жай ғана ескірген, және клиент жағындағы ешбір реттеу оны түзетпейді.

Тексеруді өшірмей сенімді қалпына келтіріңіз

Қысқа мерзімді шешім — тексеруді өшіру немесе тізбектегі әр сертификатты тірек ретінде қосу. Екеуі де хабарламаны жоғалтады және екеуі де клиент осыдан былай қай серверлерді қабылдайтынын өзгертеді. Тексеруді қайта қосыңыз, көзделген тіректі орнатыңыз және қайта сынаңыз.

Егер тізбек енді құрылса, бірақ басқа қате шықса, бұл ілгерілеу: атауды тексеру, жарамдылық күндері және кері қайтару — бөлек хабарламалары бар бөлек тексерулер. Саусақ іздерінің жұбын және бастапқы қате мәтінін тикетте бірге сақтаңыз, келесі адам қай тіректің жүктелгенін және қайсысы күтілгенін көрсін. Саусақ іздерінің жұбы тапсыру жазбасына қоюға жеткілікті кішкентай, ал келесі жағдай сонда түстен кейінгі уақыттың орнына бес минут алады.

Дұрыс органды профильді жеткізген сол аутентификацияланған арна арқылы алыңыз. Субъектісі таныс көрінгендіктен серверден сертификат тартып алу — басқа әрекет және ол клиент сенетін нәрсенің шеңберін үнсіз кеңейтеді.