VPN клиентіңіз сертификатқа сенбес бұрын нені тексереді

VPN клиентіңіз сертификатты тексеру мүмкін болмағанын хабарлайды, және диалог сонда тоқтайды. Файл бар, сервер жұмыс істеп тұр, сол профиль өткен айда басқа ноутбукте жұмыс істеген. Сол бір жолды ескертудің астында клиент әріптес сертификатын төрт қақпадан өткізді: сіз конфигурациялаған сертификат беруші орган қолтаңба жолына кепілдік береді, бұл жол органға жетеді, әріптес атауы сіз сұраған атау, және сертификат қазір осы мақсат үшін жарамды. Жабылған қақпаны табыңыз, ал жөндеу әдетте бір файл; бұл қадамды өткізіп жіберсеңіз, түстен кейін пакеттерді қайта импорттайсыз.

Профильді өңдеу алдында диалогты оқыңыз

Сертификат қателерінің мәтінін астындағы кітапхана қалыптастырады, сіз орнатқан VPN өнімі емес, сондықтан нақты жол — бірінші дәлеліңіз. «Жергілікті шығарушының сертификатын алу мүмкін емес» жолды немесе сенім тірегін көрсетеді. «Сертификаттың мерзімі біткен немесе әлі жарамды емес» уақытты көрсетеді. «Сертификаттың мақсаты қолдау көрсетілмейді» кеңейтілген кілт қолданысын көрсетеді. Атау сәйкессіздігі оның қандай атауды қалағанын айтады. Төртеуінің ешқайсысы клиентті қайта орнатумен түзелмейді.

Бірдеңені өзгерту алдында журнал деңгейін көтеріңіз. OpenVPN оны --verb 4-пен іске қосқанда қол алысу төңірегінде тексеру сәтсіздігін хабарлайды, ал strongSwan өзінің жеке бас және тізбек шешімдерін charon журналына жазады. Содан кейін қай сертификатты тексеріп жатқаныңызды растаңыз, өйткені адамдар әдетте дискідегі файлды тексереді, ал профиль ескі көшірмені ішіне салады. Профиль PEM блоктарын ішіне салғанда, тексерілетін сертификат — ішіне салынған сертификат.

Сертификат беруші орган жеке басты, ал рұқсаттарды емес, қол қояды

Орган атау мен қолтаңба кілтін ұстайды. Ол өз саясаты бойынша ашық кілтті сол атауға байланыстыратын сертификаттар береді, оларға жарамдылық терезесі мен пайдалану шектеулері қоса тіркеледі. Клиентіңізге шығарушыны тану үшін тек орган сертификаты қажет; оған қолтаңба кілті ешқашан қажет емес, ал бұл кілтті клиенттерге жіберу оларға орналастыру сенетін кез келген жеке басты жасау мүмкіндігін берер еді.

Органға сену оның қол қойған әрбір сертификатын кандидат етеді, дұрыс әріптесті емес. Сол ішкі CA-ның веб-сервер сертификаты да кандидат. Сондықтан атау мен мақсат қақпалары бар, және сондықтан бұзылған CA кілті кез келген жеке серверден маңыздырақ: ол органның бұрын-соңды берген әрбір жеке басына жетеді. Клиент сертификаттарын әр құрылғыға бөлек беріңіз, сонда жоғалған ноутбук бүкіл орналастырудың кілтін қайта жасау емес, бір кері қайтару болады.

Клиент құруға тырысқан жолды қайта құрыңыз

Жол әріптес сертификатынан басталып, нөл немесе одан да көп аралық сертификаттар арқылы сенім қоймаңыздағы түбірге жетеді. Жетіспейтін аралық сертификат — ең жиі тізбек ақауы, және клиент жағынан ол сенімсіз түбір сияқты көрінеді. Алдымен парақты оқыңыз, содан кейін OpenSSL жібермекші материалдан жолды құрсын.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Шығу күйі нөл болса, жол сол файлдардан құрылды; сәтсіздік жете алмаған сертификатты атайды. Егер openssl verify сәтті болып, клиент әлі де бас тартса, айырмашылық сервердің нақты жіберетінінде немесе профиль жүктейтін сенім файлында. OpenVPN-де аралық сертификаттар сервер сертификатының файлымен бірге жүре алады немесе --extra-certs-пен бөлек беріледі, ал бір субъект атауының астында жазылған екі түбірі бар бума клиенттеріңіздің бірін қате тармаққа жібереді.

Атау мен мақсат — бөлек қақпалар

Тізбек құру ешқашан атаудың сіздікі екенін сұрамайды. OpenVPN оны тек профиль --verify-x509-name орнатқанда тексереді, ал тек ортақ атауды сәйкестендіру әдеті жеке басы subjectAltName-де тұратын сертификаттарда бұзылады. IKEv2 орналастырулары конфигурацияланған жеке басты SAN жазбаларымен немесе айрықша атаумен сәйкестендіреді, клиентке қарай, ал wildcard немесе %any мәні сіз бар деп ойлаған салыстыруды үнсіз өшіреді.

Содан кейін уақыт пен мақсат келеді. Сағаты бірнеше сағат алда жүретін ноутбук әлі жарамды емес сертификатты қабылдамайды, ал мерзімі біткен аралық сертификат парақ жарамды болса да жолды істен шығарады. Мақсат ақаулары кеңейтілген кілт қолданысында serverAuth жоқ сертификаттан немесе қол алысу қолтаңбасына рұқсат бермейтін keyUsage-тен келеді, оны OpenSSL қолдау көрсетілмейтін сертификат мақсаты ретінде хабарлайды. Дұрыс үлгіден қайта шығарыңыз; бұл хабарламада тексеруді өшіруге ешқандай себеп жоқ.

Кері қайтару тек оны біреу конфигурацияласа ғана жұмыс істейді

CRL немесе OCSP жауабы автоматты түрде қаралмайды. OpenVPN серверінде клиент сертификаттары тізіммен тек --crl-verify оны көрсеткенде салыстырылады. Сервер сертификатын клиент жағынан тексеру іске асыруға байланысты және көбіне жоқ. strongSwan әріптес үшін CRL-ге қарамас бұрын өзінің кері қайтару плагині мен саясатын қажет етеді.

Бұл соңында алатын билетті түсіндіреді: кері қайтарылған клиент сертификаты әлі де қосылады, және бәрі кері қайтару бұзылған деп қорытындылайды. Ештеңе тексермей жатқан. CRL-ді жариялап, жаңартыңыз, немесе клиент сертификаттарын ескірген кері қайтару қысқа уақыт қана маңызды болатындай қысқа мерзімді ұстаңыз, және оқиға кезінде қажет болмай тұрып кері қайтару жолын зертханалық сертификатта жаттықтырыңыз.

Тексеруді қосулы ұстайтын жөндеу тәртібі

Файлдарға тимес бұрын белгі бойынша сұрыптаңыз, өйткені кестенің әр жолы сізді басқа нысанға жібереді.

Тізімді бір өтумен орындаңыз: профиль жүктейтін файлды растаңыз, жолды өзіңіз құрыңыз, сервер аралық сертификатты жіберетінін тексеріңіз, сағатты салыстырыңыз, SAN-ды оқыңыз, EKU-ды оқыңыз, содан кейін қайта қосылып, сол журнал жолының жоғалып бара жатқанын бақылаңыз. Егер құрылғыға CA мүлдем берілмейтін болса, бекіту адал балама, өйткені OpenVPN 2.6 --peer-fingerprint-ті қабылдап, тексеруді алып тастаудың орнына сенімді бір кілтке тарылтады. RFC 5280 — осы өрістердің әрқайсысы нені білдіретінінің анықтамасы.