OpenVPN ನ CA ಸಹಿ ಕೀಲಿಯನ್ನು /etc/openvpn ಹೊರಗೆ ಇರಿಸಿ

ಟ್ಯುಟೋರಿಯಲ್‌ನಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುವ ಎರಡು ಡೈರೆಕ್ಟರಿಗಳು ಸಂಪೂರ್ಣ ಬೇರೆ ಕೆಲಸ ಮಾಡುತ್ತವೆ. ಒಂದು ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರವನ್ನು ಇಡುತ್ತದೆ: ಅದರ ಖಾಸಗಿ ಕೀಲಿ, ಅದರ ಕ್ರಮಸಂಖ್ಯೆ ಎಣಿಕೆ ಮತ್ತು ಅದು ಸಹಿ ಮಾಡಿದ ಎಲ್ಲದರ ದಾಖಲೆ. ಇನ್ನೊಂದು ಡೀಮನ್ ಆರಂಭವಾಗಲು ಮತ್ತು ಕ್ಲೈಂಟ್‌ಗಳಿಗೆ ಸೇವೆ ನೀಡಲು ಬೇಕಾದದ್ದನ್ನು ಇಡುತ್ತದೆ. ಎರಡನ್ನೂ ಒಂದೇ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಒಂದೇ ಖಾತೆಯ ಅಡಿಯಲ್ಲಿ ಇಡುವುದು ಒಂದು ಮಧ್ಯಾಹ್ನಕ್ಕೆ ಅನುಕೂಲ ಮತ್ತು ನಿಯೋಜನೆಯ ಉಳಿದ ಜೀವಿತಾವಧಿಗೆ ದುಬಾರಿ, ಏಕೆಂದರೆ ಆಗ ಡೀಮನ್ ಯಾವುದೇ ಗುರುತನ್ನು ಸೃಷ್ಟಿಸಬಲ್ಲ ಏಕೈಕ ಕೀಲಿಯ ಪಕ್ಕದಲ್ಲಿ ಚಲಿಸುತ್ತದೆ.

CA ಕಾರ್ಯಕ್ಷೇತ್ರದಲ್ಲಿ ಏನಿದೆ

PKI ಡೈರೆಕ್ಟರಿ ನೀಡುವವರ ಸ್ಥಿತಿ, ಸಂರಚನೆ ಅಲ್ಲ. ಅದರಲ್ಲಿ CA ಯ ಖಾಸಗಿ ಕೀಲಿ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ, ಕ್ರಮಸಂಖ್ಯೆ ಫೈಲ್, ನೀಡಿದ ಪ್ರಮಾಣಪತ್ರಗಳ ಸೂಚಿ, ಮತ್ತು ಅವುಗಳಿಂದ ರೂಪುಗೊಂಡ ಪ್ರತಿ ಗುರುತಿನ ಸಾಮಗ್ರಿ ಇರುತ್ತದೆ.

ವಿನಂತಿಗೆ ಸಹಿ ಮಾಡುವುದು ಆ ಸ್ಥಿತಿಯನ್ನು ಬದಲಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಕಾರ್ಯಕ್ಷೇತ್ರವು VPN ಸೇವೆ ಚಾಲನೆಯಲ್ಲಿಲ್ಲದ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ನಿರ್ವಾಹಕ ನಿಯಂತ್ರಿತ ಖಾತೆಗೆ ಸೇರಿದೆ. CA ಯ ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಓದಬಲ್ಲವರು ಸರ್ವರ್ ನಂಬುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀಡಬಹುದು, ಆದ್ದರಿಂದ ಕೀಲಿಯ ರಕ್ಷಣೆಯೇ ಒಂದು ಫೈಲಿನಲ್ಲಿನ ಪೂರ್ಣ ನಂಬಿಕೆ ಮಾದರಿ. ಒಂದು ಹೆಜ್ಜೆ ಉಳಿಸಲು ಅದನ್ನು ಎರಡನೇ ಸ್ಥಳಕ್ಕೆ ನಕಲಿಸುವುದು ರಕ್ಷಿಸಲು ಎರಡನೇ ವಸ್ತುವನ್ನೂ ಮರೆಯಲು ಎರಡನೇ ವಸ್ತುವನ್ನೂ ಸೃಷ್ಟಿಸುತ್ತದೆ. ಪ್ರತಿ ಸಹಿ ಕ್ರಮಸಂಖ್ಯೆಯನ್ನು ಹೆಚ್ಚಿಸಿ ಸೂಚಿಗೆ ನಮೂದು ಸೇರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಕಾರ್ಯಕ್ಷೇತ್ರವು ಫೈಲುಗಳ ಕಡತದ ಬದಲು ಸ್ಥಿತಿಯ ಒಂದು ಪ್ರತಿ.

ಸಾರ್ವಜನಿಕ CA ಪ್ರಮಾಣಪತ್ರ ಬೇರೆ. ಅದು ವಿತರಣೆಗಾಗಿ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಹಾಗೂ ಸರ್ವರ್‌ಗಳು ಪರಸ್ಪರ ಪರಿಶೀಲಿಸಲು ಅದನ್ನೇ ಬಳಸುತ್ತವೆ.

ಡೀಮನ್ ಆರಂಭವಾದಾಗ ಏನನ್ನು ಓದುತ್ತದೆ

ಚಾಲನೆಯಲ್ಲಿರುವ ಸರ್ವರ್ ಸಣ್ಣ ಗುಂಪನ್ನು ಬಳಸುತ್ತದೆ: ತನ್ನ ಪ್ರಮಾಣಪತ್ರ, ತನ್ನ ಖಾಸಗಿ ಕೀಲಿ, ಸಹಚರರ ಪರಿಶೀಲನೆಗೆ CA ಪ್ರಮಾಣಪತ್ರ, ಮತ್ತು ಆಯ್ಕೆ ಮಾಡಿದ ಕ್ರಮಕ್ಕೆ ಬೇಕಾದ ಕೀಲಿ ಸಾಮಗ್ರಿ. ಆ ಮಾರ್ಗಗಳನ್ನು ಆರಂಭದಲ್ಲಿ ಮತ್ತು ಮತ್ತೆ ಮರುಲೋಡ್‌ನಲ್ಲಿ ಓದುತ್ತದೆ.

ಮಾಲೀಕತ್ವವನ್ನು ನಿಜವಾಗಿ ಆರಂಭಿಸುವ ಘಟಕಕ್ಕೆ ಹೋಲಿಸಿ ಮೌಲ್ಯಮಾಪನ ಮಾಡಬೇಕು, ಸಂವಾದಾತ್ಮಕ root ಶೆಲ್‌ಗೆ ಅಲ್ಲ. ಘೋಷಿತ ಸ್ಯಾಂಡ್‌ಬಾಕ್ಸಿಂಗ್ ಫೈಲ್‌ಸಿಸ್ಟಂನ ಭಾಗವನ್ನು ಓದಲು-ಮಾತ್ರ ಅಥವಾ ಅಗೋಚರವಾಗಿಸಬಹುದು, root ಆಗಿ ಕೈಯಿಂದ ಮಾಡಿದ ಪರೀಕ್ಷೆ ಯಶಸ್ವಿಯಾದರೂ.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

ಮೂರನೇ ಸಾಲು ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಸಾಲು. ಅದು ಡೀಮನ್‌ನ ಸ್ವಂತ ಖಾತೆಗೆ ಕೀಲಿ ಓದಲು ಸಾಧ್ಯವೇ ಎಂದು ಕೇಳುತ್ತದೆ, ಮತ್ತು ಸವಲತ್ತು ಬಿದ್ದ ಮೇಲೆ ಪ್ರಶ್ನೆಯ ಏಕೈಕ ಅರ್ಥಪೂರ್ಣ ರೂಪ ಅದೇ. root ಆಗಿ ಶೂನ್ಯ ನಿರ್ಗಮನ ಸವಲತ್ತು ಬಿದ್ದ ಮೇಲೆ ಏನಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ಏನೂ ಹೇಳುವುದಿಲ್ಲ.

ಯಾವುದೇ ಅನುಮತಿ ಬದಲಿಸುವ ಮೊದಲು ಎರಡು ವೈಫಲ್ಯ ಮಾರ್ಗಗಳನ್ನು ಬೇರ್ಪಡಿಸುವುದು ಯೋಗ್ಯ. ಸಹಿ ವೈಫಲ್ಯ PKI ಡೈರೆಕ್ಟರಿ, ಅದರ ಮೂಲ ಡೈರೆಕ್ಟರಿಗಳ ಹುಡುಕಾಟ ಅನುಮತಿ ಮತ್ತು ನೀಡುವವರನ್ನು ಚಲಾಯಿಸುವ ಖಾತೆಯತ್ತ ಸೂಚಿಸುತ್ತದೆ. ಆರಂಭ ವೈಫಲ್ಯ ಘಟಕ, ಅದರ ಕೆಲಸದ ಡೈರೆಕ್ಟರಿ ಮತ್ತು ಸರ್ವರ್ ಸಂರಚನೆಯಲ್ಲಿ ಹೆಸರಿಸಿದ ಮಾರ್ಗಗಳತ್ತ ಸೂಚಿಸುತ್ತದೆ. ಇಡೀ ವೃಕ್ಷವನ್ನು ಎಲ್ಲರಿಗೂ ಓದಲು ಸಾಧ್ಯವಾಗಿಸುವುದು ಇವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಸರಿಪಡಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಎರಡೂ ಅವಲಂಬಿಸಿರುವ ಗಡಿಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

CA ಕೀಲಿಯನ್ನು ಸರ್ವರ್‌ಗೆ ನಕಲಿಸುವುದು ನಂತರ ಏಕೆ ವಿಫಲವಾಗುತ್ತದೆ

ನಕಲು ಸಾಮಾನ್ಯವಾಗಿ ಡೀಬಗ್ ಮಾಡುವ ಹೆಜ್ಜೆಯಾಗಿ ಆರಂಭವಾಗುತ್ತದೆ: ಯಾರಿಗೋ VPN ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಕ್ಲೈಂಟ್ ನವೀಕರಿಸಬೇಕು, ಆದ್ದರಿಂದ CA ಕೀಲಿ /etc/openvpn ಗೆ ಸೇರುತ್ತದೆ ಮತ್ತು ನವೀಕರಣ ನಡೆಯುತ್ತದೆ. ತಕ್ಷಣದ ಕೆಲಸ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ, ಗಡಿ ಹೋಗುತ್ತದೆ.

ನಂತರ ಸರ್ವರ್ ಬ್ಯಾಕಪ್ ಆಗುತ್ತದೆ, ಸಹಿ ಪ್ರಾಧಿಕಾರ ಬ್ಯಾಕಪ್‌ಗಳಿಗೆ ಸೇರುತ್ತದೆ. ಸ್ನ್ಯಾಪ್‌ಶಾಟ್, ಬೆಂಬಲ ಬಂಡಲ್ ಅಥವಾ ಸಂರಚನೆ ಡೈರೆಕ್ಟರಿಯ ಪ್ರತಿ ಈಗ CA ಮಾನ್ಯವಾಗಿರುವವರೆಗೆ ವಿಶ್ವಾಸಾರ್ಹ ಗುರುತುಗಳನ್ನು ನೀಡುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಹೊತ್ತಿದೆ. ಆ ಪ್ರತಿಯನ್ನು ಹೊಂದಿರುವವರು ಸರ್ವರ್ ಸ್ವೀಕರಿಸುವ ಯಾವುದೇ ಹೆಸರಿಗೆ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸೃಷ್ಟಿಸಬಹುದು, ಎಂದೂ ನೀಡದ ಹೆಸರುಗಳೂ ಸೇರಿದಂತೆ. ಆ ನೀಡಿಕೆಯ ಏಕೈಕ ದಾಖಲೆ ಅವರು ಇಟ್ಟುಕೊಳ್ಳಲು ಆಯ್ಕೆ ಮಾಡಿದ್ದು.

ಅಂತಹ ಸ್ಥಿತಿಯಿಂದ ಚೇತರಿಸಿಕೊಳ್ಳುವುದು ಫೈಲ್ ಅಳಿಸುವ ವಿಷಯವಲ್ಲ. ಕೀಲಿ ಬಯಲಾಗಿದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸಬೇಕು, ಆಗಿದ್ದರೆ CA ತಿರುಗಿಸಬೇಕು, ಮತ್ತು ಪ್ರತಿ ಸಹಚರರಿಗೆ ನಂಬಿಕೆಯನ್ನು ಮತ್ತೆ ಹಂಚಬೇಕು. ಪ್ರತ್ಯೇಕ ಕಾರ್ಯಕ್ಷೇತ್ರ ಆ ಸಂಭಾಷಣೆಯನ್ನೇ ತಪ್ಪಿಸುತ್ತದೆ.

ಖಾತೆಗಳು, ಡೈರೆಕ್ಟರಿಗಳು, ಬ್ಯಾಕಪ್‌ಗಳು

ನೀಡುವವರಿಗೆ ಸ್ವಂತ ಖಾತೆ ಮತ್ತು ಮನೆ ಡೈರೆಕ್ಟರಿ ನೀಡಿ, ಸಾಧ್ಯವಾದಲ್ಲಿ VPN ಹೋಸ್ಟ್‌ನಿಂದ ದೂರ ಇರಿಸಿ. ಡೀಮನ್‌ಗೆ ಬೇರೆ ಖಾತೆ ನೀಡಿ, ನಿಯೋಜಿತ ಸಾಮಗ್ರಿಯ ಮೇಲೆ ಓದುವ ಹಕ್ಕು ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ನೀಡುವ ಯಾವುದಕ್ಕೂ ಬರೆಯುವ ಹಕ್ಕು ಇಲ್ಲದೆ. ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹೊರಕ್ಕೆ ನಕಲಿಸಿ ನಿಯೋಜಿಸಿ, ಖಾಸಗಿ ನೀಡುವವರ ಸ್ಥಿತಿಯನ್ನು ಎಂದೂ ಒಳಕ್ಕೆ ಎಳೆಯಬೇಡಿ. ಎರಡೂ ಪಾತ್ರಗಳ ಬ್ಯಾಕಪ್ ಪ್ರತ್ಯೇಕವಾಗಿ ಮಾಡಿ, ಏಕೆಂದರೆ ಅವುಗಳ ಸೂಕ್ಷ್ಮತೆ ಮತ್ತು ಮರುಸ್ಥಾಪನೆಯ ಕಥೆಗಳು ಬೇರೆ.

ರದ್ದತಿಯ ನಂತರ ಸರ್ವರ್ ಸಂರಚನೆ ಹೆಸರಿಸುವ CRL ಫೈಲ್ ನವೀಕರಿಸಿ, ನಂತರ ಹೊಸ ಸಂಪರ್ಕಗಳು ಅದನ್ನು ಓದಲು ಸೇವೆಯನ್ನು ಮರುಲೋಡ್ ಮಾಡಿ. Easy-RSA ದಾಖಲೆ ಕಾರ್ಯಕ್ಷೇತ್ರದ ಜೋಡಣೆ ಮತ್ತು ಸಹಿ ಹರಿವನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ; ಅದರ ಸುತ್ತಲಿನ ಮಾಲೀಕತ್ವ ನಿಯಮಗಳು ನಿಮ್ಮ ಹೋಸ್ಟ್ ಬಗ್ಗೆ ನಿರ್ಧಾರವೇ ಉಳಿಯುತ್ತವೆ. ಸೇವೆ ಏನನ್ನು ಲೋಡ್ ಮಾಡಿತು ಎಂಬುದನ್ನು openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate ನಿಂದ ಖಚಿತಪಡಿಸಿ, ಮರುಲೋಡ್ ಅದನ್ನು ತೆಗೆದುಕೊಂಡಿತು ಎಂದು ಊಹಿಸುವ ಬದಲು.

ವಿಭಜನೆಯನ್ನು ಸಾಬೀತುಪಡಿಸುವ ಪರೀಕ್ಷೆ

ಕೆಲಸ ಮಾಡುವ ಪ್ರಕರಣವನ್ನು ಮಾತ್ರವಲ್ಲ, ಋಣಾತ್ಮಕ ಪ್ರಕರಣವನ್ನೂ ಪರಿಶೀಲಿಸಿ. ವಿನ್ಯಾಸದಂತೆ ನೀಡುವವರ ಖಾತೆಯಿಂದ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಸಹಿ ಮಾಡಿ, ನಂತರ ಅದೇ ಖಾತೆ ಸೇವೆಯನ್ನು ಆರಂಭಿಸಲಾಗದು ಅಥವಾ ಸರ್ವರ್‌ನ ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಓದಲಾಗದು ಎಂದು ಖಚಿತಪಡಿಸಿ. ನಂತರ ಡೀಮನ್‌ನ ಖಾತೆ CA ಯ ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಓದಲಾಗದು ಎಂದು ಖಚಿತಪಡಿಸಿ.

ಆ ಮೂರು ಪರಿಶೀಲನೆಗಳು ಕೆಲವು ನಿಮಿಷ ತೆಗೆದುಕೊಳ್ಳುತ್ತವೆ ಮತ್ತು ಸಿಬ್ಬಂದಿ ಬದಲಾದರೂ ಉಳಿಯುತ್ತವೆ, ಏಕೆಂದರೆ ಅವು ಅಭ್ಯಾಸದ ಬಗ್ಗೆ ಅಲ್ಲ, ಅನುಮತಿಗಳ ಬಗ್ಗೆ ಹೇಳಿಕೆಗಳು. ಫಲಿತಾಂಶವನ್ನು ಅದು ಆವರಿಸಿದ ಮಾರ್ಗಗಳು ಮತ್ತು ಖಾತೆಗಳೊಂದಿಗೆ, ಮತ್ತು ಅವನ್ನು ಚಲಾಯಿಸಿದ ದಿನಾಂಕದೊಂದಿಗೆ ಬರೆಯಿರಿ. ಇಲ್ಲದಿದ್ದರೆ ಈ ನಿಯೋಜನೆಯನ್ನು ಉತ್ತರಾಧಿಕಾರವಾಗಿ ಪಡೆಯುವ ಮುಂದಿನ ವ್ಯಕ್ತಿ ಗಡಿಯೇ ಇಲ್ಲದ ಟ್ಯುಟೋರಿಯಲ್‌ನಿಂದ ಗಡಿಯನ್ನು ಮತ್ತೆ ಪಡೆಯುತ್ತಾನೆ. ದಿನಾಂಕವಿರುವ ದಾಖಲೆಯೇ ಮುಂದಿನ ಪರಿಶೀಲನೆಯನ್ನು ಮಧ್ಯಾಹ್ನದ ಬದಲು ಕೆಲವು ನಿಮಿಷಗಳಾಗಿಸುತ್ತದೆ.