Бул жарыяланган OpenVPN ачкычы CA, шерик ачкычы же tls-auth беле?

Бирөө VPN ачкычы ачык экенин билдирет, жана бул сүйлөм такыр башка үч кырдаалды жашырат. Ал ар бир кардарда болушу керек CA сертификаты, эч качан бир машинадан чыкпашы керек болгон жеке инсандык ачкыч же эки тарап тең сакташы керек болгон жалпы башкаруу каналынын сыры болушу мүмкүн. Оңдоо, шашылыш жана зыяндын көлөмү ар бир учурда башкача, ошондуктан биринчи милдет — аракет эмес, классификация. Категорияны туура эмес аныктасаңыз, кийинки ар бир кадам текке кеткен эмгек.

Файл атынан эмес, директивадан баштаңыз

Активдүү конфигурацияны окуп, кайсы директива тиешелүү материалды көрсөтүп жатканын табыңыз. OpenVPN'дин TLS параметрлери ишенимдүү сертификат материалы үчүн ca, жергиликтүү шерик сертификаты үчүн cert жана ага тиешелүү жеке ачкыч үчүн key колдонот.

Файл аттары эч нерсени далилдебейт. key.pem деп аталган файлда сертификат болушу мүмкүн, ал эми профилдеги киргизилген блок дискидеги өзүнчө файл менен так ушундай эле объектини камтышы мүмкүн. Атка ишенүүнүн ордуна файлды ачып, анын аталышын караңыз. Ушул бир текшерүү отчёттогу белгисиздиктин көбүн жок кылат.

Эгер профиль PKCS#12 топтому болсо, анын чындыгында эмнени камтыганын көрүү үчүн көзөмөлдөнгөн жерде ачыңыз. Бир топтом сертификатты, анын тизмегин жана жеке ачкычты алып жүрүшү мүмкүн, башкача айтканда топтомдун агып кетиши — үчөөнүн тең агып кетиши.

Бирөө файлды өзгөртүүдөн мурун классификацияны жазып коюңуз: объект, директива, аны кайсы шериктер сактайт жана ким окуй алат. Жооптун калган бөлүгү ушул сүйлөмгө байланыштуу.

CA сертификаты бөлүшүү үчүн түзүлгөн

Ачык CA сертификаты — ишеним материалы. Кардарларга ал серверди текшерүү үчүн керек, ал эми аны таратуу кадимки учур, окуя эмес. Аны жарыялоо CA'нын жеке кол тамга ачкычын жарыялабайт, ал эми чабуулчуга жаңы инсандыктарды түзүүгө мүмкүндүк бере турган объект — дал ошол.

Бул айырманы билетке ачык жазууга татыктуу, анткени экөө тынымсыз чаташтырылат. Жооп берилиши керек суроо: агып кеткен файл сертификатпы же кол тамга ачкычыбы, жана файлдын мазмунуна тез көз чаптыруу аны чечет. Сертификатта ачык ачкыч жана кол тамга болот; кол тамга ачкычы анда такыр көрүнбөйт.

Таратуу дагы деле этияттыкты талап кылат. Кардарлар сертификатты бекитилген профиль жеткирүү жолу менен алышы керек, чаптоо сайтынан эмес, ал эми ишенимсиз жол менен келген сертификат жолдо алмаштырылышы мүмкүн.

Шерик ачкычы жана tls-auth сыры бир эмес

Шериктин жеке ачкычы — инсандык материалы. Ал көчүрүлгөндөн кийин сервер көздөлгөн түзмөнү көчүрмөсү бар ар кимден ажырата албайт, анткени далилденип жаткан касиет — өзгөчө ээлик. Авторизацияны улантуу жана алмаштыруу — VPN ээсинин чечими, файлды тапкан адамдын эмес.

tls-auth сыры — үчүнчү нерсе. Ал башкаруу каналынын пакеттеринин айланасына HMAC аутентификациясын кошот, ошондуктан туура эмес аутентификацияланган пакеттер TLS алмашууга чейин ыргытылат, жана ал шериктин жеке ачкычы да эмес, колдонмо маалыматтарын шифрлаган ачкыч да эмес.

Эгер ал жалпы сыр ачык болсо, анын берген тосмоосу ага ээ болгондордун баары үчүн жоголду. Бул ар бир ээ анын артындагы сертификат жана колдонуучу текшерүүлөрүнөн өтөт дегенди билдирбейт, ошондуктан классификация кошуна деңгээлинен маанилүүрөөк. Кайсы тосмоо кулаганын айтыңыз жана кайсылары калганын айтыңыз.

Агып кеткен ролду оңдоңуз, кошунасын эмес

Жалпы сырды файлдын атын өзгөртүү же жүктөө шилтемесин жашыруу менен кайра жеке кылуу мүмкүн эмес. Алмаштыруу дегенибиз жаңы маани түзүп, аны координацияланган өзгөртүүдө ар бир шерикке таратуу, ал эми бир тарапты гана алмаштыруу эски маанини али сактагандардын баарына келишимди бузат.

Эгер шериктин инсандыгы ачылып калса, ошол инсандык үчүн оператордун жокко чыгаруу жана кайра каттоо процессин колдонуңуз. Байланышсыз эсептин сырсөзүн өзгөртүү көчүрүлгөн сертификатты жараксыз кылбайт, tls-auth файлын алмаштыруу да кылбайт.

Ушулардын кайсынысына болбосун таянганга чейин жайгаштырылган сервер чындыгында эмнени аткарып жатканын ырастаңыз. Жаңыртылбаган жокко чыгаруу тизмеси же үзгүлтүк учурунда өчүрүлгөн ролду текшерүү жоопту таптакыр өзгөртөт. Кампанын көчүрмөсүн эмес, иштеп жаткан конфигурацияны окуңуз.

Өткөн трафикти өз шарттары менен баалаңыз

Ачылып калган файл мурун кармалган сессиялардын шифрин чечүүгө болор-болбосун өзү айтпайды. Бул ачкыч орнотуу ыкмасына, ачылган материалга жана кандай жазуулар бар экенине байланыштуу, ал эми «бүт трафик жоголду» менен «эч нерсе болгон жок» — бул фактыларсыз божомол.

Кредитал кайсы категорияга кирерин сурап жатканда анын дагы бир көчүрмөсүн жарыялабаңыз. Анын ордуна директива аттарын жана жашыруун эмес метаберилиштерди бекитилген колдоо жолу аркылуу бөлүшүңүз.

Пайдалуу корутунду объектини, анын ролун, жоголгон коргоону жана талап кылынган координацияланган аракетти атайт. Мындан кыска нерсе — аталыш, баалоо эмес.