OpenVPN профилінде үш сертификат блогы бар: қайсысы құпия?

Бір жолды өзгерту үшін .ovpn файлын ашасыз да, барлығы тіркелгі деректеріне ұқсайтын үш base64 блогын көресіз. Біреуін жариялау қауіпсіз, екіншісі құпиясөздей сезімтал, ал үшіншісі жұбымен бірдеңеге қол қойылмаса, ештеңе білдірмейтін ашық кілт. Адамдар блоктар бір-бірін алмастыратын сияқты көрінгендіктен бүкіл файлды қолдау тақырыбына қояды, солай клиент кілті ашық мұрағатта қалады. Қай блок не істейтінін ажырату осы профильдер төңірегіндегі шатасудың көбін түсіндіреді және қай ақауларды өзіңіз түзетуіңіз керектігін де айтады.

Бір файл, үш блок, түрлі жұмыс

Әдеттегі профиль BEGIN және END белгілерінің арасына ca блогын, cert блогын және key блогын салады немесе сол үшеуіне жеке файл ретінде сілтейді. Кейбір профильдер tls-auth немесе tls-crypt кілті үшін төртінші блокты қосады, ол сертификат емес, ортақ құпия. Клиент әр блокты оны атайтын директива бойынша оқиды, сондықтан белгілер олардың пайда болу ретінен маңыздырақ.

Жинақталған профильді ішіне шынымен қарағанша сезімтал деп қараңыз. Ашық сертификат пен жеке кілт бір файлда бірнеше жол қашықтықта болуы мүмкін, ал тақырыпшаны қамтитын скриншот екеуін де көрсетуі мүмкін. Көрінетін base64-ті қолмен бүркеу де сенімсіз, өйткені жартылай блок та орналастыруыңызды атайтын сертификат метадеректерін ағызады. Үш директиваны мәндерінсіз көшіру әдетте пайдалы сұрақ қоюға жетеді.

Блоктардың айналасындағы директивалар олардың қалай қолданылатынын шешеді. ca-ны өзгертсеңіз, клиент басқа органға сенеді; key-ді өзгертпей cert-ті өзгертсеңіз, қол алысу сенімге қатысы жоқ сәйкессіздікпен сәтсіз аяқталады.

CA блогы ашық, CA кілті ешқашан

Сертификат органы ашық кілтті жеке басымен байланыстыратын сертификаттарға қол қояды, ал оның өз сертификаты клиент тізбектің сенімділігін шешетін тірек. Бұл сертификат жобасы бойынша ашық: оны әр профильдің ішінде жіберу қалыпты, сондықтан өзіне қол қойған орналастыру коммерциялық органсыз жұмыс істей алады.

Клиент профилінде ешқашан көрінбеуі тиіс нәрсе — органның жеке қол қою кілті. Клиент оны ештеңені тексеру үшін қолданбайды, ал оның болуы профильді ұстаған кез келген адам бүкіл орналастыру үшін жаңа жеке бастар жасай алатынын білдіреді.

Органға сену де естілгеннен тар. CA қол қойған кез келген сертификатты қабылдайтын клиент сол CA-дағы басқа қызметке берілген сертификатты да қабылдайды. Күтілетін сервер рөлін немесе атын бекітетін опциялар сол олқылықты жабады, ал TLS опцияларының анықтамасы мұны жасайтын тексеру директиваларын тізіп береді.

Сервер және клиент сертификаттары қарама-қарсы бағытқа көрсетеді

Сервер сертификаты — клиент дұрыс соңғы нүктеге жеткенін растау үшін тексеретін нәрсе. Сіздің клиент сертификатыңыз керісінше жұмыс істейді: сервер оны осы құрылғы немесе пайдаланушы өзі тіркеген адам екенін шешу үшін қолданады. Пішімі бірдей, сенім бағыты қарама-қарсы.

Мекенжай жеке бас емес. Дұрыс IP-ге жету кім жауап бергені туралы ештеңе дәлелдемейді, сондықтан хост атын немесе сертификат атын тексеру әлі де профильге жатады. Тіркелгі құпиясөзі де талап етілетін клиент сертификатын үнсіз алмастырмайды, өйткені екеуі әртүрлі кезеңде тексеріледі және орналастыру екеуін де талап етуі мүмкін.

Клиенттің жеке кілті құпия болып қалуы тиіс бөлік. Егер ол әшкереленген болуы мүмкін болса, файлды ноутбугіңыздан жою серверде ештеңені өзгертпейді, сервер сәйкес сертификатты оператор оны қайтарып алғанша қабылдай береді. Оператордан сол жеке басты ауыстыруды немесе қайтарып алуды сұрау — сізбен бірге жүретін жалғыз шешім.

Бірдей көрінетін, бірақ бірдей емес екі сұрау

Шифрланған түрде сақталған кілт клиент оны қолданбас бұрын құпиясөз тіркесін сұрайды. VPN қызметі тіркелгі құпиясөзін бөлек сұрауы мүмкін, ал екі сұрау бірнеше секунд айырмашылықпен, дерлік бірдей сөздермен шығуы мүмкін. Тіркес дискіңіздегі файлды қорғайды; құпиясөз серверге тіркелгіні дәлелдейді. Оларды шатастыру адамдарды көмектесе алмайтын құпиясөзді қалпына келтіруге жібереді.

Бірдеңені қалпына келтіру алдында сұрауды оқыңыз. Тіркелгі құпиясөзін қалпына келтіру ұмытылған кілт тіркесіне, қайтарып алынған немесе мерзімі біткен сертификатқа ештеңе істемейді, ал ақау сертификатты тексеру болғанда құпиясөзді қалпына келтіру екі минуттық түзетуді қолдау ісіне айналдырады. Шағым жарамдылық күндерін атаса, алдымен құрылғы сағатын, содан кейін аталған сертификаттың өз терезесін тексеріңіз.

Сертификат шынымен мерзімі біткенде, ауыстыру оны берген жақтан келуі керек. Біреуге тиесілі кілт жаңарту жолы емес, әріптестен жұмыс істеп тұрған профильді қарызға алу да олай емес.

Таза қол алысу нені дәлелдейді, нені дәлелдемейді

Аяқталған TLS қол алысуға жету конфигурацияланған жеке бас қатынасы сақталғанын білдіреді: сервер сертификаты CA-ға тізбектелді және сертификатыңыз қабылданды. Бұл оператордың журнал жүргізу саясаты туралы ештеңе айтпайды, туннель көтерілгеннен кейін қосымшаларыңыз жұмыс істей ме, оны да айтпайды.

Маршруттар мен DNS қосылымның кешірек кезеңдері, сондықтан сәтті кіргеннен кейін қолжетімсіз интранет хосты сертификат емес, байланыс мәселесі. Тіркелгі деректерін алмастырудың орнына сол қабатпен жұмыс істеңіз және профильді біреуге бергенде оның шығу тегін, жеке материалын және жеке басын тексерулерін бірге ұстаңыз.