remote-cert-tls server: OpenVPN ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಅದು ಏನನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ
ಈ ಸೂಚನೆಯು ಪ್ರತಿಯೊಂದು ಬಾಜುವಿನ ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ ಎನ್ಕೋಡ್ ಆದ ಪಾತ್ರವನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, ಅದರ ಹೆಸರನ್ನಲ್ಲ. ಏನನ್ನಾದರೂ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಮೊದಲು ಪಾತ್ರ, ನಂಬಿಕೆ ಆಂಕರ್ ಮತ್ತು ಹೋಸ್ಟ್ನಾಮ್ ಪರಿಶೀಲನೆಯನ್ನು ಹೋಲಿಸಿ.
OpenVPN ಪ್ರೊಫೈಲ್ನ ಮೂರು ವಿಭಿನ್ನ ಭಾಗಗಳು ಮೂರು ವಿಭಿನ್ನ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ, ಮತ್ತು ಅವುಗಳನ್ನು ಬೆರೆಸುವುದೇ ಜನರು ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡುವುದಕ್ಕೆ ಕಾರಣ. ಪ್ರತಿಯೊಂದು ಬಾಜುವಿನ ಪ್ರಮಾಣಪತ್ರವು ನಾನು ನಂಬುವ ಪ್ರಾಧಿಕಾರದಿಂದ ಸಹಿ ಮಾಡಲ್ಪಟ್ಟಿದೆಯೇ? ಆ ಪ್ರಮಾಣಪತ್ರವು TLS ಸರ್ವರ್ ಪಾತ್ರವನ್ನು ಘೋಷಿಸುತ್ತದೆಯೇ? ಅದು ನಾನು ತಲುಪಲು ಉದ್ದೇಶಿಸಿದ ನಿರ್ದಿಷ್ಟ ಸರ್ವರ್ನೇ? remote-cert-tls server ಮಧ್ಯದ ಪ್ರಶ್ನೆಗೆ ಮಾತ್ರ ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಅದನ್ನು ಪ್ರಮಾಣಪತ್ರದ ಒಳಗಿನ ವಿಸ್ತರಣೆಗಳನ್ನು ಓದುವ ಮೂಲಕ ಮಾಡುತ್ತದೆ.
ತಲೆಯಲ್ಲಿ ಬೆರೆಸಲು ಸುಲಭವಾದ ಮೂರು ಪರಿಶೀಲನೆಗಳು
ನಂಬಿಕೆ ಆಂಕರ್ ca ಸೂಚನೆಯಲ್ಲಿ ಇರುತ್ತದೆ. ಪಾತ್ರ ಪರಿಶೀಲನೆ remote-cert-tls ಸೂಚನೆಗೆ ಸೇರುತ್ತದೆ. ಗುರುತು ಪರಿಶೀಲನೆ verify-x509-name ಸೂಚನೆಗೆ ಸೇರುತ್ತದೆ, ಪ್ರೊಫೈಲ್ ಅದನ್ನು ಬಳಸಿದಾಗ, ಅಥವಾ ನಿಯೋಜನೆ ಸೇರಿಸುವ ಯಾವುದೇ ಹೆಸರು ಪರಿಶೀಲನೆಗೆ.
ಅವು ವಿಭಿನ್ನ ವೈಫಲ್ಯಗಳನ್ನು ಆವರಿಸುತ್ತವೆ:
| Question | Directive | Failure it catches |
|---|---|---|
| Who signed this? | ca | Certificate from an unrelated authority |
| Is this a server? | remote-cert-tls | Client certificate presented by a peer |
| Is this my server? | verify-x509-name | Another valid server from the same CA |
ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಮೂರೂ ಇರಬಹುದು ಮತ್ತು CA ತುಂಬಾ ವಿಶಾಲವಾಗಿ ಹಂಚಿಕೆಯಾಗಿದ್ದರೆ ಇನ್ನೂ ದುರ್ಬಲವಾಗಿರಬಹುದು, ಇದು ಕೀ ನಿರ್ವಹಣೆಯ ಪ್ರಶ್ನೆ, ಸೂಚನೆಯದಲ್ಲ.
ಪಾತ್ರ ಪರಿಶೀಲನೆ ಏನನ್ನು ಓದುತ್ತದೆ
ಸೂಚನೆ ಒಂದು ಮ್ಯಾಕ್ರೋ. ಅದು ಕೀ ಬಳಕೆಯ ಅಗತ್ಯತೆ ಮತ್ತು TLS ವೆಬ್ ಸರ್ವರ್ ಪಾತ್ರವನ್ನು ಹೆಸರಿಸುವ ವಿಸ್ತೃತ ಕೀ ಬಳಕೆಯ ಅಗತ್ಯತೆಗೆ ವಿಸ್ತರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತಿಯೊಂದು ಬಾಜುವಿನ ಪ್ರಮಾಣಪತ್ರವು ಆ ಉದ್ದೇಶವನ್ನು ನಿಜವಾಗಿ ಘೋಷಿಸಬೇಕು. ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣಕ್ಕಾಗಿ ನೀಡಲಾದ ಪ್ರಮಾಣಪತ್ರವು ಅದನ್ನು ಪೂರೈಸುವುದಿಲ್ಲ, ಅದೇ ಪ್ರಾಧಿಕಾರವು ಎರಡನ್ನೂ ಸಹಿ ಮಾಡಿದ್ದರೂ ಸಹ.
ಇದು ಮುಖ್ಯ ಏಕೆಂದರೆ ಹಂಚಿದ CA ಸಣ್ಣ ನಿಯೋಜನೆಗಳಲ್ಲಿ ಸಾಮಾನ್ಯ. ಒಂದು ಪ್ರಾಧಿಕಾರವು ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ಗೆ ಸಹಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಪಾತ್ರ ಪರಿಶೀಲನೆ ಇಲ್ಲದೆ ಆ ಪ್ರಮಾಣಪತ್ರಗಳಲ್ಲಿ ಯಾವುದಾದರೂ ಹ್ಯಾಂಡ್ಶೇಕ್ನ ಸರ್ವರ್ ಭಾಗವನ್ನು ಪೂರ್ಣಗೊಳಿಸಬಹುದಿತ್ತು. ಪರಿಶೀಲನೆ ಆ ಸನ್ನಿವೇಶವನ್ನು ಅಸಾಧ್ಯವಾಗಿಸುವುದಿಲ್ಲ, ಆದರೆ ಅದರ ಕ್ಷುಲ್ಲಕ ಆವೃತ್ತಿಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.
ಸೂಚನೆ ವಿನ್ಯಾಸದಿಂದ ಅಸಮ್ಮಿತವಾಗಿದೆ: ಕ್ಲೈಂಟ್ಗಳು remote-cert-tls server ಹೊಂದಿರುತ್ತವೆ, ಮತ್ತು ಸರ್ವರ್ಗಳು remote-cert-tls client ಹೊಂದಿರುತ್ತವೆ. ಅವುಗಳನ್ನು ಬದಲಾಯಿಸಿ ಮತ್ತು ಪ್ರತಿ ಸಂಪರ್ಕವೂ ಮುರಿದ ಪ್ರಮಾಣಪತ್ರದಂತೆ ಕಾಣುವ ಪಾತ್ರ ದೋಷದಿಂದ ವಿಫಲವಾಗುತ್ತದೆ.
ಹಳೆಯ ಪ್ರೊಫೈಲ್ಗಳು ಕೆಲವೊಮ್ಮೆ ಅದೇ ಉದ್ದೇಶಕ್ಕಾಗಿ ns-cert-type ಬಳಸುತ್ತವೆ. ಪ್ರಸ್ತುತ ಕೈಪಿಡಿ ಪುಟಗಳು ಆ ಆಯ್ಕೆಯನ್ನು ಬದಲಾಯಿಸಲಾದದ್ದು ಎಂದು ಪರಿಗಣಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಇನ್ನೂ ಅದನ್ನು ಅವಲಂಬಿಸಿರುವ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಡೀಬಗ್ ಮಾಡುವ ಬದಲು ಸ್ಥಳಾಂತರಿಸುವುದು ಯೋಗ್ಯ.
ಅದನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಸರಿಪಡಿಸುವಿಕೆಯಂತೆ ಏಕೆ ಭಾಸವಾಗುತ್ತದೆ
ಪಾತ್ರ ಪರಿಶೀಲನೆ ವಿಫಲವಾದಾಗ, ಸಂಪರ್ಕವು ಪರಿಶೀಲನಾ ದೋಷದೊಂದಿಗೆ ನಿಲ್ಲುತ್ತದೆ ಮತ್ತು ಸ್ಪಷ್ಟ ಹೆಜ್ಜೆ ಸಾಲನ್ನು ಅಳಿಸುವುದು. ನಂತರ ಸಂಪರ್ಕವು ಏಳುತ್ತದೆ, ಇದು ಪ್ರಗತಿಯಂತೆ ಭಾಸವಾಗುತ್ತದೆ ಮತ್ತು ವಾಸ್ತವವಾಗಿ ಸೂಚನೆ ತಡೆಯಲು ಇರುವ ವೈಫಲ್ಯ ಮೋಡ್. ಈಗ ನೀವು ಆ ಪಾತ್ರಕ್ಕೆ ಎಂದಿಗೂ ಉದ್ದೇಶಿಸದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೊಂದಿರುವ ಬಾಜುವನ್ನು ಸ್ವೀಕರಿಸುತ್ತೀರಿ.
ಬದಲಿಗೆ ದೋಷವನ್ನು ಓದಿ. ಅದು ವಿಫಲವಾದ ಪರಿಶೀಲನೆಯನ್ನು ಹೆಸರಿಸುತ್ತದೆ, ಮತ್ತು ಇನ್ನೊಂದು ಬದಿಯ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸಿ ಅದು ನಿಜವಾಗಿ ಯಾವ ವಿಸ್ತರಣೆಗಳನ್ನು ಹೊಂದಿದೆ ಎಂದು ನೋಡಬಹುದು. ಎರಡು ನಿಮಿಷಗಳ ಓದು ದೋಷವು ನೀಡುವಿಕೆಯಲ್ಲಿದೆಯೇ ಅಥವಾ ಸಂರಚನೆಯಲ್ಲಿದೆಯೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಊಹಿಸುವುದು ಅರ್ಧ ದಿನ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಸಾಮಾನ್ಯವಾಗಿ ದುರ್ಬಲಗೊಂಡ ಪ್ರೊಫೈಲ್ನೊಂದಿಗೆ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ. ವಿಸ್ತೃತ ಕೀ ಬಳಕೆಯನ್ನು ಕಳೆದುಕೊಂಡ ನವೀಕರಿಸಿದ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವು ನವೀಕರಣದಲ್ಲಿ ನಿಜವಾದ ದೋಷ, ಕ್ಲೈಂಟ್ ಅನ್ನು ಸಡಿಲಗೊಳಿಸುವ ಕಾರಣವಲ್ಲ.
ಹೆಸರು ಪರಿಶೀಲನೆ ಪ್ರತ್ಯೇಕ ಸೂಚನೆ
ಪಾತ್ರ ಪರಿಶೀಲನೆಯನ್ನು ಪೂರೈಸುವುದು ಎಂದರೆ ಬಾಜುವು ನಿಮ್ಮ ಪ್ರಾಧಿಕಾರದಿಂದ ಸಹಿ ಮಾಡಲ್ಪಟ್ಟ ಕೆಲವು ಸರ್ವರ್ ಎಂದು. ಅದು ಯಾವುದು ಎಂಬುದನ್ನು ಏನೂ ಹೇಳುವುದಿಲ್ಲ, ಅದೇ CA ಹಲವು ಗೇಟ್ವೇಗಳಿಗೆ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡಿದಾಗ ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದು ರಾಜಿಯಾದಾಗ ಅಥವಾ ಮರುಬಳಕೆಯಾದಾಗ ಇದು ಮುಖ್ಯ.
verify-x509-name ಪ್ರಮಾಣಪತ್ರದ ವಿಷಯವನ್ನು ನೀವು ಸಂರಚಿಸಿದ ಮೌಲ್ಯದೊಂದಿಗೆ ಹೋಲಿಸುತ್ತದೆ, ನಿಖರ ವಿಷಯ, ಪೂರ್ವಪ್ರತ್ಯಯ ಅಥವಾ ಒಂದೇ ಕ್ಷೇತ್ರಕ್ಕೆ ಹೊಂದಿಕೆ ಮೋಡ್ಗಳೊಂದಿಗೆ. ಗೇಟ್ವೇಯನ್ನು ನಿಜವಾಗಿ ಗುರುತಿಸುವ ಕ್ಷೇತ್ರವನ್ನು ಬಳಸಿ, ಮತ್ತು ಹೆಸರು ಬದಲಾದಾಗ ಅದನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ನವೀಕರಿಸುವ ನಿರೀಕ್ಷೆ ಇರಿಸಿ.
ಎರಡೂ ಸೂಚನೆಗಳು ಉತ್ತಮ ಕೀ ನಿರ್ವಹಣೆಯನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ. ಕ್ಲೈಂಟ್ ಕೀ ಫೈಲ್ ಪ್ರೊಫೈಲ್ನೊಂದಿಗೆ ಇಲ್ಲಿ ಅಲ್ಲಿ ನಕಲಿಸಲ್ಪಟ್ಟರೆ, ಬಾಜುವಿನ ಗುರುತು ವಿತರಣಾ ಪಟ್ಟಿಯಷ್ಟೇ ಬಲವಾಗಿರುತ್ತದೆ.
ಪ್ರೊಫೈಲ್ ಸಂಪಾದಿಸುವ ಮೊದಲು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸಿ
ಬಾಜುವಿನ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕ್ಲೈಂಟ್ ಲಾಗ್ ಅನ್ನು ಆ ಕ್ರಮದಲ್ಲಿ ಓದಿ. ಪ್ರಮಾಣಪತ್ರವು ಯಾವ ಪಾತ್ರಗಳನ್ನು ಘೋಷಿಸುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತದೆ; ಲಾಗ್ ಯಾವ ಪರಿಶೀಲನೆ ಅದನ್ನು ತಿರಸ್ಕರಿಸಿತು ಎಂದು ಹೇಳುತ್ತದೆ.
ಈ ಆದೇಶಗಳು ವಿವರವಾದ ಸಂಪರ್ಕದಿಂದ ಬಳಕೆ-ವಿಸ್ತರಣೆಗಳು ಮತ್ತು ಪರಿಶೀಲನಾ ಸಾಲುಗಳನ್ನು ಮುದ್ರಿಸುತ್ತವೆ:
openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verifyವಿಸ್ತರಣೆಗಳು ಸರ್ವರ್ ಪಾತ್ರವನ್ನು ತೋರಿಸಿದರೆ ಮತ್ತು ಲಾಗ್ ಇನ್ನೂ ಪಾತ್ರ ವೈಫಲ್ಯವನ್ನು ವರದಿ ಮಾಡಿದರೆ, ಪ್ರೊಫೈಲ್ ಕೆಟ್ಟ ಪ್ರಮಾಣಪತ್ರಕ್ಕಿಂತ ತಪ್ಪಾದ ಪ್ರಮಾಣಪತ್ರ ಫೈಲ್ಗೆ ಸೂಚಿಸುತ್ತಿದೆ. ವಿಸ್ತರಣೆಗಳು ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣವನ್ನು ಮಾತ್ರ ತೋರಿಸಿದರೆ, ಕ್ಲೈಂಟ್ ನೋಡುವುದನ್ನು ನಿಲ್ಲಿಸಿ ನೀಡುವಿಕೆಯನ್ನು ಸರಿಪಡಿಸಿ. ಯಾವುದೇ ಸಂದರ್ಭದಲ್ಲಿ, ಸಂಪರ್ಕವನ್ನು ಆರೋಗ್ಯಕರ ಎಂದು ಕರೆಯುವ ಮೊದಲು ಪರಿಶೀಲನೆಯನ್ನು ಮರುಸ್ಥಾಪಿಸಿ, ಏಕೆಂದರೆ ಪರಿಶೀಲನೆಯನ್ನು ತೆಗೆದುಹಾಕಿದ ನಂತರದ ಯಶಸ್ವಿ ಹ್ಯಾಂಡ್ಶೇಕ್ ಅದು ಬದಲಿಸಿದ ದೋಷಕ್ಕಿಂತ ಕಡಿಮೆ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.