Оны түрлендірмес бұрын: SSH кілті және OpenVPN сертификаты

Импорт сертификат қатесімен сәтсіз аяқталады, сондықтан айқын қадам түрлендіру болып көрінеді. Бұл түйсік адамдарды файл кеңейтімі өзгеретін, ал бас тарту дәл сол күйінде қалатын жолға салады. authorized_keys ішіндегі ssh-ed25519 жолы мен OpenVPN клиенттік сертификаты — бөлек тіркелгі деректері нысандары, олардың шығарушылары, кодтаулары және кері қайтару жолдары әртүрлі. Осы тексерулерді ретімен өтсеңіз, түрлендіру жалпы көмектесе ала ма, соны бір минутта білесіз.

Сізде нақты қандай нысан бар?

Адамдар кілт деп атайтын бес нәрсе бар, және солардың тек біреуі ғана TLS профилі қалайтын нәрсе. SSH ашық кілті — тип префиксі мен base64 жүктемесі бар бір жол мәтін. OpenSSH сертификаты — сол кілтке қолтаңба, principals және опциялар қосылған нұсқа, оны ssh-keygen өзінің кішкентай CA ретінде әрекет етіп шығарады. X.509 сертификаты — мүлде басқа құрылым: субъект, жарамдылық терезесі, кеңейтімдер және сертификат органының қолтаңбасын алып жүреді. Жеке кілт — құпия жартысы, ал шығарылған бума әдетте бір файлда сертификат, оның тізбегі және жеке кілт.

Бірінші сынақ бір пәрмен тұрады. openssl-ді файлға бағыттап, сертификат құрылымын талдауды сұраңыз:

openssl x509 -in client.crt -noout -subject -issuer

Егер бұл жүктеу мүмкін емес немесе PEM қатесімен сәтсіз болса, файл қандай атау берсеңіз де X.509 сертификаты емес. Атауды өзгерту ішіндегі ASN.1-ді қайта жазбайды, ашық кілт жолын PEM тақырып мәтініне орау да оны жасамайды.

Профиль сертификатты мүлде сұрай ма?

Клиенттік сертификаттар бірнеше аутентификация әдісінің бірі, және жұмыс істейтін TLS профильдерінің көбі оны ешқашан сұрамайды. Сервер қолданушыларды плагин, пайдаланушы аты мен құпиясөз немесе токендік бэкенд арқылы аутентификациялай алады, бірақ клиенттен сервердің жеке басын тексеруді талап етеді. Профильде клиенттік сертификат директивасы болмаса, ешқашан сертификат сұралмайды, және ешбір түрлендіру шлюзді оны сұрауға мәжбүрлей алмайды.

Ескі статикалық кілт конфигурациялары — үшінші жағдай. Олар TLS қол алысуынан бұрын пайда болған және алдын ала ортақ құпия файлын күтеді, сондықтан сол өріске ашық кілтті қою да жұмыс істемейді. Тіркелгі деректері дұрыс емес деп шешпес бұрын профильдің шын мәнінде не сұрайтынын оқыңыз.

Қайта кодтау не істей алады және не істей алмайды

Жеке кілттердің заңды балама контейнерлері шын мәнінде бар. Сол RSA немесе EC кілтін дәстүрлі PEM, PKCS#8 немесе PKCS#12 бумасының ішінде жазуға болады, және құралдар олардың арасында қуана түрлендіреді. Ашық кілттердің де ұқсас тарихы бар: ssh-keygen SSH кілтінің RFC 4716 пішінін шығара алады, ал OpenSSH өзінің сертификат форматын да түсінеді. Мұның бәрі — ұсыну, ал ұсыну сенім емес.

Түрлендіру жасай алмайтын нәрсе — сіздің кілтіңізді ешқашан көрмеген сертификат органының қолтаңбасын жасау. Сертификат — шығарушының белгілі бір ашық кілттің белгілі бір субъектіге белгілі бір мақсат үшін тиесілі екендігі туралы мәлімдемесі. Қайта кодтау кілттің байттарын сақтайды және мәлімдемені жоқ күйінде қалдырады, сондықтан шлюздің өз сенім қоймасына қарсы тексеретін ештеңесі жоқ.

Бұл — көптеген әрекеттің үнсіз сәтсіз болатын қадамы: файл енді .crt-пен аяқталады, клиент оны шағымсыз оқиды, ал қол алысу бәрібір үзіледі, өйткені қарсы тарап сенімді шығарушыға дейін тізбек құра алмайды.

Сертификат органы суретке қай жерде кіреді

Нағыз тіркеу сіз басқаратын кілт жұбынан және оператор күтетін субъектіні алып жүретін сертификатқа қол қою сұранысынан басталады. Оператор құқықты тексереді, сұранысқа CA кілтімен қол қояды және шығарылған сертификатты клиент ұсынуы тиіс кез келген аралық тізбекпен бірге қайтарады. Содан кейін клиентке оған қол қойған CA сертификаты қажет, өйткені дәл сол оған өзі сөйлесіп отырған сервердің сол орналастыруға тиесілі екенін растауға мүмкіндік береді.

Соңғы файлды ұмыту оңай, ал ауыстыру мүмкін емес. CA-ның қол қою кілтінің өзі ешқашан клиент конфигурациясына тиесілі емес, және ешбір жергілікті түрлендіру сіз алуыңыз тиіс тізбекті шығармайды.

SSH кілтін қайта пайдалану сізге не тұрады

Түрлендіру шынымен қолайлы нәрсе шығарды дейік. Бір кілт жұбын SSH рұқсаты мен VPN аутентификациясы үшін қайта пайдалану әлі де екі тәуелсіз қауіпсіздік шешімін байланыстырады. authorized_keys жазбасын жою SSH кірулерін тоқтатады, ал сол ашық кілт үшін VPN CA әлдеқашан шығарған сертификатқа ештеңе істемейді. VPN жағы өз механизмімен кері қайтарылады, яғни сертификаттарды кері қайтару тізімі немесе оператордың тіркеу жазбасы арқылы.

Сондықтан тексеру тізімі айламен емес, тоқтау шартымен аяқталады. Егер openssl файлды сертификат ретінде талдамаса, түрлендіруді тоқтатып, сізде не бар екенін айтыңыз: SSH кілті, SSH сертификаты, X.509 сертификаты, жеке кілт немесе бума. Егер профиль клиенттік сертификатты сұрамаса, тоқтап, сервер қандай аутентификация әдісін күтетінін сұраңыз. Екі жауап та X.509-ға нұсқағанда ғана тіркеу келесі қадамға айналады, және бірінші сөйлемде дұрыс зат есім болса, бұл әңгіме әлдеқайда жылдам жүреді.