ಸ್ವಯಂ-ಸಹಿ ಮಾಡಿದ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ? VPN ಸರ್ವರ್ ಇನ್ನೂ ಅದನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ

ನಿರ್ವಾಹಕರು ವಿಳಾಸ ಮತ್ತು ಬಳಕೆದಾರಹೆಸರನ್ನು ಕಳುಹಿಸುತ್ತಾರೆ, ಕ್ಲೈಂಟ್ CA ಫೈಲ್, ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕೀಲಿಯನ್ನು ಕೇಳುತ್ತದೆ. ಈ ಮೂರನ್ನು ಸ್ಥಳೀಯವಾಗಿ ರಚಿಸುವುದು ಮುಂದಿನ ಸ್ಪಷ್ಟ ಹೆಜ್ಜೆ ಎನಿಸುತ್ತದೆ. ಇದರಿಂದ ನಿಮ್ಮ ಸ್ವಂತ ಯಂತ್ರ ಮಾತ್ರ ನಂಬುವ ಪ್ರಮಾಣಪತ್ರ ಸಿಗುತ್ತದೆ. ಸರ್ವರ್ನ ವಿಶ್ವಾಸವು ನೀವು ನಿಯಂತ್ರಿಸದ CA ನಲ್ಲಿ ನೆಲೆಗೊಂಡಿದೆ, ಆದ್ದರಿಂದ ಕೈಜೋಡಣೆ ಪ್ರಾರಂಭವಾಗುವ ಮೊದಲೇ ಮುಗಿಯುತ್ತದೆ.

ವಿಶ್ವಾಸ ಸರ್ವರ್ನಲ್ಲಿದೆ, ನಿಮ್ಮ ಪ್ರೊಫೈಲ್ನಲ್ಲಿಲ್ಲ

ಪ್ರಮಾಣಪತ್ರ ದೃಢೀಕರಣವು ಒಂದು ಹೋಲಿಕೆ. ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ; ಗೇಟ್ವೇ ಅದನ್ನು ತನ್ನ ಸಂರಚನೆಯಲ್ಲಿನ ಒಂದು CA ಸಹಿ ಮಾಡಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸುತ್ತದೆ.

ನಿಮ್ಮ ಪ್ರೊಫೈಲ್ ಸರ್ವರ್ ಪರಿಶೀಲಿಸಲು ಕ್ಲೈಂಟ್ ಬಳಸಬೇಕಾದ CA ಫೈಲ್ ಅನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಸರ್ವರ್ ನಿಮ್ಮನ್ನು ಪರಿಶೀಲಿಸಲು ಬಳಸಬೇಕಾದ CA ಅನ್ನು ಅದು ಹೆಸರಿಸಲಾಗದು. ಸಂರಚನೆಯ ಆ ಅರ್ಧ ನಿಮ್ಮದಲ್ಲ.

ನೀವೇ ಮಾಡಿದ ಪ್ರಮಾಣಪತ್ರವು ತಾಂತ್ರಿಕವಾಗಿ ಪರಿಪೂರ್ಣವಾಗಿದ್ದರೂ ಈ ಹೋಲಿಕೆಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ. ಅದಕ್ಕೆ ಮಾನ್ಯ ಸಹಿ, ವಿಷಯ ಮತ್ತು ದಿನಾಂಕಗಳಿವೆ, ಆದರೆ ನೀಡುವವರು ಗೇಟ್ವೇ ಎಂದೂ ಕೇಳದ CA. ದೋಷವು ಕೈಜೋಡಣೆಯ ಸಮಯದಲ್ಲಿ, ಸರ್ವರ್ ಈಗಾಗಲೇ ಪ್ರಮಾಣಪತ್ರ ಕೇಳಿದ ನಂತರ ಕಾಣಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಯಾವುದೂ ಉತ್ತರವನ್ನು ಬದಲಿಸಲಾಗದು.

ಸ್ವಯಂ-ಸಹಿ ಪ್ರಮಾಣಪತ್ರವು ಅದನ್ನು ಏಕೆ ಬದಲಿಸಲಾಗದು

ಸ್ವಯಂ-ಸಹಿ ಪ್ರಮಾಣಪತ್ರವು ತನ್ನದೇ ಕೀಲಿಯಿಂದ ಸಹಿ ಮಾಡಲ್ಪಡುತ್ತದೆ. ಸಹಿಯನ್ನು ಅದೇ ಫೈಲ್ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ, ಇದು ಅದನ್ನು ಸ್ವ-ಸ್ಥಿರವಾಗಿಸಿ ಬೇರೊಬ್ಬರ ಗೇಟ್ವೇಗೆ ರುಜುವಾತಾಗಿ ನಿಷ್ಪ್ರಯೋಜಕವಾಗಿಸುತ್ತದೆ.

ಗೇಟ್ವೇ ಪ್ರಮಾಣಪತ್ರವು ಆಂತರಿಕವಾಗಿ ಸ್ಥಿರವೇ ಎಂದು ಕೇಳುವುದಿಲ್ಲ. ವಿಶ್ವಾಸಾರ್ಹ ನೀಡುವವರು ಅದನ್ನು ಸಹಿ ಮಾಡಿದರೇ ಎಂದು ಕೇಳುತ್ತದೆ.

ಅದಕ್ಕೇ ದೋಷ ಸಂದೇಶಗಳು ಗೊಂದಲಮಯ. ಕ್ಲೈಂಟ್ ಸರ್ವರ್ ಸಮಸ್ಯೆಯಂತೆ ಕೇಳಿಸುವ ಪರಿಶೀಲನಾ ವೈಫಲ್ಯವನ್ನು ವರದಿ ಮಾಡಬಹುದು, ಆದರೆ ಸರ್ವರ್ ಅಜ್ಞಾತ ನೀಡುವವರನ್ನು ದಾಖಲಿಸುತ್ತದೆ. ಎರಡೂ ಒಂದೇ ಹೊಂದಾಣಿಕೆಯನ್ನು ವಿರುದ್ಧ ತುದಿಗಳಿಂದ ವಿವರಿಸುತ್ತವೆ.

CSR ಮಾರ್ಗ ನಿಮ್ಮ ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಉಳಿಸುತ್ತದೆ

ನೀವು ಇನ್ನೂ ಹೆಚ್ಚಿನ ಕೆಲಸವನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಮಾಡಬಹುದು. ಕೀಲಿ ಜೋಡಿ ರಚಿಸಿ, ಸಾರ್ವಜನಿಕ ಅರ್ಧದ ಸುತ್ತ ಪ್ರಮಾಣಪತ್ರ ಸಹಿ ವಿನಂತಿ ನಿರ್ಮಿಸಿ ಮತ್ತು ಆ ವಿನಂತಿಯನ್ನು ನಿರ್ವಾಹಕರಿಗೆ ಕಳುಹಿಸಿ. ನಿಮ್ಮ ಯಂತ್ರದಿಂದ ವಿನಂತಿ ಮಾತ್ರ ಹೊರಹೋಗುತ್ತದೆ. ಖಾಸಗಿ ಅರ್ಧವು ನೀವು ರಚಿಸಿದಲ್ಲೇ ಉಳಿಯುತ್ತದೆ.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

ನಿರ್ವಾಹಕರು ತಮ್ಮ CA ಯಿಂದ ವಿನಂತಿಗೆ ಸಹಿ ಮಾಡಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತಾರೆ. ನಿಮ್ಮ ಖಾಸಗಿ ಕೀಲಿ ಎಂದೂ ಪ್ರಯಾಣಿಸಿಲ್ಲ, ಮತ್ತು ಫಲಿತಾಂಶವು ಗೇಟ್ವೇ ನಂಬುವ ಆಧಾರಕ್ಕೆ ಸರಪಳಿಯಾಗುತ್ತದೆ.

ನಿರ್ವಹಿತ ಸೇವೆಗಳು ಸಾಮಾನ್ಯವಾಗಿ CSR ಬಿಟ್ಟು ಇಡೀ ಬಂಡಲ್ ನೀಡುತ್ತವೆ. ಅದೇ ಪೂರೈಕೆದಾರರು ಈಗಾಗಲೇ ಸುರಂಗವನ್ನು ಕೊನೆಗೊಳಿಸಿ CA ಹೊಂದಿದ್ದರೆ ಅದು ಸಮಂಜಸ ವಿನಿಮಯ. ಕೀಲಿಯನ್ನು ಇಟ್ಟುಕೊಳ್ಳುವುದರಿಂದ ಅದರ ಪಾಲನೆ ಸುಧಾರಿಸುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಪೂರೈಕೆದಾರರು ಯಾವಾಗಲಾದರೂ ಹೊಸದನ್ನು ಮಾಡಬಹುದು.

ಬಂಡಲ್ಗಳನ್ನು ಆಮದು ಮಾಡಲಾಗುತ್ತದೆ, ಸ್ಥಾಪಿಸಲಾಗುವುದಿಲ್ಲ

ಸುರಕ್ಷತೆಯಂತೆ ಕೇಳಿಸುವ ಹೆಸರಿನ ಮಾರಾಟಗಾರರ ಬಂಡಲ್ಗಳು ಸಾಮಾನ್ಯವಾಗಿ OpenVPN ಪ್ರೊಫೈಲ್ಗಳು. ಅವು ಸಂರಚನೆ ಮತ್ತು ಕೆಲವೊಮ್ಮೆ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹೊಂದಿರುತ್ತವೆ, ಮತ್ತು ಏನನ್ನೂ ಸ್ಥಾಪಿಸುವುದಿಲ್ಲ. ಪ್ರೋಟೋಕಾಲ್ ಮಾತನಾಡುವ ಕ್ಲೈಂಟ್ಗೆ ಫೈಲ್ ಆಮದು ಮಾಡಿ, ಸಂಪರ್ಕ ಸಂರಚಿತವಾಗುತ್ತದೆ.

ನಿರ್ವಹಣೆ ನಿಯಮವು ವಿಷಯದಿಂದ ಬರುತ್ತದೆ. ಪ್ರೊಫೈಲ್ ಖಾಸಗಿ ಕೀಲಿ ಹೊಂದಿದ್ದರೆ, ಅದು ರುಜುವಾತು ಮತ್ತು ಗುಪ್ತಪದದಂತೆಯೇ ಕಾಳಜಿ ಅರ್ಹ. ಇಮೇಲ್ ಇಲ್ಲ, ಸಂಗ್ರಹ ಇಲ್ಲ, ಹಂಚಿದ ಡೌನ್ಲೋಡ್ ಫೋಲ್ಡರ್ ಇಲ್ಲ. ನಿರ್ವಾಹಕರು ca.crt, client.crt ಮತ್ತು client.key ಪ್ರತ್ಯೇಕವಾಗಿ ನೀಡಿದಾಗ, ಅವುಗಳನ್ನು ನಿರ್ಬಂಧಿತ ಅನುಮತಿಗಳೊಂದಿಗೆ ಒಟ್ಟಿಗೆ ಇರಿಸಿ ಮತ್ತು ಪ್ರೊಫೈಲ್ ಅನ್ನು ಅವುಗಳತ್ತ ತೋರಿಸಿ.

ನಿರ್ವಾಹಕರು ಬಿಟ್ಟಿರಬಹುದಾದ ಪರಿಶೀಲನೆಗಳನ್ನು ಸೇರಿಸಿ

ರೌಟರ್ ರಚಿಸಿದ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಕೆಲವೊಮ್ಮೆ ಪೀರ್ ಪರಿಶೀಲನೆ ಇರುವುದಿಲ್ಲ. remote-cert-tls server ಪೀರ್ ಪ್ರಮಾಣಪತ್ರವು ಸರ್ವರ್ ದೃಢೀಕರಣ ಉದ್ದೇಶವನ್ನು ಹೊಂದಿರಬೇಕು ಎಂದು ಒತ್ತಾಯಿಸುತ್ತದೆ, ಇದರಿಂದ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸರ್ವರ್ ಆಗಿ ಮತ್ತೆ ಆಡಲಾಗದು. ಆ ಒಂದು ಸಾಲು ಸ್ಪಷ್ಟ ಸಮರ್ಥನೆಯಿರುವ ಸಣ್ಣ ಬದಲಾವಣೆ.

verify-x509-name ನಿರ್ವಾಹಕರು ನಿರೀಕ್ಷಿತ ವಿಷಯ ಅಥವಾ SAN ಹೆಸರಿಸಬಲ್ಲಾಗ ಮತ್ತಷ್ಟು ಮುಂದೆ ಹೋಗುತ್ತದೆ. ಎರಡೂ ಪ್ರೊಫೈಲ್ಗೆ ಸಣ್ಣ ಸೇರ್ಪಡೆಗಳು, ಮತ್ತು ಎರಡೂ ಸಮರ್ಥನೀಯ. ಆಮದು ಮಾಡುವ ಮೊದಲು ನೀವು ಪಡೆದದ್ದನ್ನು ಪರಿಶೀಲಿಸಿ.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

ಪರಿಶೀಲನಾ ಸೆಟ್ಟಿಂಗ್ಗಳು ಮುರಿದ ಸರಪಳಿಯ ದುರಸ್ತಿಯಲ್ಲ. ನೀಡುವವರು ತಪ್ಪಾಗಿದ್ದರೆ, ಉತ್ತರ ಸರಿಯಾದ CA ಯಿಂದ ಪ್ರಮಾಣಪತ್ರ, ಪರಿಶೀಲನೆ ಆಫ್ ಮಾಡುವ ಫ್ಲ್ಯಾಗ್ ಅಲ್ಲ. ಪರಿಶೀಲನೆ ಆಫ್ ಮಾಡುವುದು ದೃಢೀಕರಣ ವೈಫಲ್ಯವನ್ನು ಗುರುತಿಸಲಾಗದ ವೈಫಲ್ಯವಾಗಿ ಬದಲಿಸುತ್ತದೆ.

ಒಂದು ಬಂಡಲ್ ಕೇಳಿ: PEM ರೂಪದಲ್ಲಿ ಪ್ರಾಧಿಕಾರದ ಪ್ರಮಾಣಪತ್ರ, ಆ ಪ್ರಾಧಿಕಾರ ಸಹಿ ಮಾಡಿದ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ, ನೀವು ರಚಿಸಿದ ಅಥವಾ ನೀವು ನಂಬುವ ಮಾರ್ಗದಿಂದ ಬಂದ ಕೀಲಿ, ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಪ್ರಸ್ತುತಪಡಿಸಬೇಕಾದ ನಿಖರ ಸರ್ವರ್ ಹೆಸರು. ಅದೇ ಸಂದೇಶದಲ್ಲಿ ಅವಧಿ ಮುಗಿಯುವ ದಿನಾಂಕವನ್ನು ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಅವಧಿ ಮೀರಿದ ಪ್ರಮಾಣಪತ್ರವು ತಿಂಗಳುಗಳ ನಂತರ ಜಾಲದ ದೋಷದಂತೆ ಕಾಣುತ್ತದೆ.