Өзі қол қойған клиент сертификаты? VPN сервері әлі де оны қабылдамайды

Оператор мекенжай мен пайдаланушы атын жібереді, ал клиент CA файлын, сертификат пен кілтті сұрайды. Осы үшеуін жергілікті жерде жасау келесі айқын қадам сияқты көрінеді. Нәтижесінде тек өз машинаңыз сенетін сертификат пайда болады. Сервердің сенімі сіз бақыламайтын CA-ға бекітілген, сондықтан қол алысу басталмай жатып аяқталады.

Сенім серверде тұрады, профиліңізде емес

Сертификатпен аутентификациялау — салыстыру. Клиент сертификат ұсынады; қақпа оның конфигурациясындағы CA-лардың бірі қол қойғанын тексереді.

Профиліңіз клиент серверді тексеру үшін пайдалануы керек CA файлын атайды. Ол сервердің сізді тексеруі үшін пайдалануы керек CA-ны атай алмайды. Конфигурацияның сол жартысы сіздікі емес.

Өзіңіз жасаған сертификат техникалық тұрғыдан мінсіз болса да бұл салыстырудан өтпейді. Оның жарамды қолтаңбасы, субъектісі мен күндері бар, бірақ шығарушы — қақпа ешқашан естімеген CA. Қате қол алысу кезінде, сервер сертификатты сұрап үлгергеннен кейін пайда болады. Клиент профилінде ештеңе жауапты өзгерте алмайды.

Неге өзі қол қойған сертификат оны алмастыра алмайды

Өзі қол қойған сертификат өз кілтімен қол қойылады. Қолтаңба сол файлға қарсы тексеріледі, бұл оны өзімен үйлесімді және басқаның қақпасы үшін тіркелгі ретінде пайдасыз етеді.

Қақпа сертификаттың іштей үйлесімді екенін сұрамайды. Ол сенімді шығарушының оған қол қойғанын сұрайды.

Сондықтан қате хабарламалары шатастырады. Клиент сервер ақауына ұқсайтын тексеру сәтсіздігі туралы хабарлауы мүмкін, ал сервер белгісіз шығарушыны жазады. Екеуі де сол сәйкессіздікті қарама-қарсы жақтан сипаттайды.

CSR жолы жеке кілтіңізді сақтайды

Жұмыстың көп бөлігін әлі де жергілікті орындай аласыз. Кілт жұбын жасаңыз, ашық жартысының айналасында сертификатқа қол қою сұранысын құрып, сол сұранысты операторға жіберіңіз. Машинаңыздан тек сұраныс шығады. Жеке жартысы жасаған жерінде қалады.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Оператор сұранысқа өз CA-сымен қол қойып, сертификат қайтарады. Жеке кілтіңіз ешқашан сапар шекпеді, ал нәтиже қақпа сенетін якорьге тізбектеледі.

Басқарылатын қызметтер CSR-ды жиі өткізіп жіберіп, бүкіл буманы шығарады. Бұл сол провайдер туннельді аяқтап, CA-ны ұстап тұрғанда орынды айырбас. Кілтті сақтау оны ұстаумен жақсармайды, өйткені провайдер кез келген уақытта жаңасын соғуы мүмкін.

Бумалар импортталады, орнатылмайды

Қауіпсіздікке ұқсайтын атаулары бар өнім беруші бумалары көбіне OpenVPN профильдері. Оларда конфигурация және кейде сертификаттар болады, олар ештеңе орнатпайды. Файлды протоколды сөйлейтін клиентке импорттаңыз, сонда қосылым конфигурацияланады.

Өңдеу ережесі мазмұннан туындайды. Егер профиль жеке кілтті қамтыса, бұл тіркелгі және құпия сөздей күтімді қажет етеді: электрондық пошта жоқ, репозиторий жоқ, ортақ жүктеу қалтасы жоқ. Оператор ca.crt, client.crt және client.key бөлек бергенде, оларды шектеулі рұқсаттармен бірге сақтаңыз және профильді соларға бағыттаңыз.

Оператор өткізіп жіберуі мүмкін тексерулерді қосыңыз

Маршрутизатор жасаған профильде кейде теңдестік тексеруі жоқ. remote-cert-tls server теңдестік сертификатында серверді аутентификациялау мақсаты болуын талап етеді, сондықтан клиент сертификатын сервер ретінде қайта ойнату мүмкін емес. Сол бір жол айқын негіздемесі бар шағын өзгеріс.

verify-x509-name оператор күтілетін субъектіні немесе SAN-ды атай алғанда әрі қарай жүреді. Екеуі де профильге шағын қосымшалар және екеуі де қорғауға болады. Импорттамас бұрын алғаныңызды қарап шығыңыз.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Тексеру параметрлері сынған тізбекті жөндеу емес. Егер шығарушы қате болса, жауап дұрыс CA-дан алынған сертификат, тексеруді өшіретін жалауша емес. Тексеруді өшіру аутентификация сәтсіздігін байқалмайтын сәтсіздікке айналдырады.

Бір буманы сұраңыз: органың сертификаты PEM түрінде, сол орган қол қойған клиент сертификаты, сіз жасаған немесе сіз сенетін арна арқылы келген кілт, және сертификат ұсынуы тиіс сервердің нақты атауы. Сол хабарламада жарамдылық мерзімін жазып қойыңыз, өйткені мерзімі өткен сертификат айлар өткен соң желі ақауына ұқсайды.