Тек сырсөз менен иштеген OpenVPN профилине кайсы CA файлы кирет?

Төрт суроону ирети менен өткөрүңүз, ошондо CA диалогу эки маанилүү болбой калат. Оператор чындыгында кандай материал чыгарды, профилде эмне бар, кайсы талаа сурап жатат жана файл жүктөлгөндөн кийин эмне болот? Оператордун өз нускамаларынан жооп бере албаган биринчи суроодо токтогула, анткени андан ары божомолдоо — ачык CA сертификатынын серверден эч качан чыкпоосу керек болгон жеке ачкыч менен түгөйлөшүүнүн дал ошол жолу.

Ирет маанилүү: акыркы эки суроо кайсы материал болушу керектигин билгенден кийин гана мааниге ээ.

Профилде мурунтан эмне бар экенинден баштаңыз

Профилди тексттик редактордо ачып, файл издөөдөн мурун ca блогун издеңиз. Оператордун ачык CA-сын камтыган ички ca блогу профилдин өзүн-өзү камсыздай турганын билдирет, ал эми дагы эле CA файлын сурап жаткан клиент башка профилди же толук эмес импортту окуп жатышы мүмкүн. Профилде анын ордуна жолго көрсөткөн ca сабы болсо, бул жол айрым интеграцияларда клиенттин жумуш каталогуна салыштырмалуу, башкаларында абсолюттук. Бир нерсени өзгөртүүдөн мурун кайсы формада экенин жазып алыңыз.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Профил шилтеме кылган файлдар үчүн жеткирилген пакетти текшериңиз: CA сертификаты, кээде өзүнчө клиент сертификаты жана ачкычы, жана балким tls-auth же tls-crypt файлы. Төрт файлга шилтеме кылып, экөө менен келген профил толук эмес, жана талааларга көрсөтүүнүн эч кандай өлчөмү аны оңдобойт. Кокустан колуңузда бар сертификатты алмаштыруунун ордуна оператордон жетишпеген бөлүгүн сураңыз.

Материалдын төрт түрүн ажыратыңыз

CA сертификаты — сервердин инсандыгын текшерүү үчүн колдонулган ачык материал. Клиент сертификаты колдонуучуну же түзмөктү серверге тааныштырат. Жеке ачкыч — ошол клиент сертификатынын жашыруун жарымы, жана ал эч качан CAнын кол коюу ачкычы же сервер ачкычы болбошу керек. tls-auth же tls-crypt материалы башкаруу каналын коргогон өзүнчө жалпы сыр. Бул төртөө өз ара алмашылбайт, жана CA талаасын клиент сертификатына багыттоо ишеним көйгөйүнө окшош текшерүү ишке ашпоосуна алып келет.

Тек сырсөз менен аутентификация төртөөнүн кайсынысы керек экенин өзгөртөт, алардын маанисин эмес. auth-user-pass жана remote-cert-tls server менен клиент серверди дагы эле CAга каршы текшерет, ошондуктан клиент сертификаты жок болсо да CA талаасы көрүнөт. Клиент сертификаты да талап кылынабы, аны оператордун саясаты чечет, жана эч бир диалог муну сизге айта албайт.

Клиентти ишеним файлына багыттаңыз

CA сертификат файлынын өзүн тандаңыз, аны камтыган папканы эмес жана клиенттик инсандыкты камтыган .p12 топтомун эмес. Windowsта жол синтаксиси жана файл тандагыч көптөгөн колдонмолордогу Linux мисалдарынан башкача иштейт, ошондуктан орнотулган клиент кабыл алганды колдонуңуз жана файлды аны иштеткен эсеп окуй аларын тастыктаңыз. Уруксат маселеси жана жок файл диалогдо бирдей көрүнөт, бирок ар башка журнал саптарын берет. Тандагандан кийин клиент тандоону сактаганын тастыктоо үчүн профиль жөндөөлөрүн кайра ачыңыз.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Эгер клиент ички блокторду колдосо, кол менен курулган профилдин ордуна оператордун ички профилин тандаңыз. Ички материал профил менен бирге жүрөт жана кайра импорттоодон аман калат, ал эми абсолюттук жол профиль башка машинага көчкөн учурда бузулат.

Ошол эле катаны эмес, кийинки катаны окуңуз

Туура CA берүүнүн максаты — катаны өзгөртүү, аны жоготуу эмес. CA жүктөлгөндөн кийинки сервер инсандыгынын ишке ашпоосу сертификат күтүлгөн атка же remote-cert-tls күтүүсүнө туура келбегенин билдирет, бул сырсөздөн баш тартуудан башка оңдоо. Сырсөздөн баш тартуу TLS катмары ийгиликтүү өткөнүн жана эсептик маалыматтар туура эмес экенин билдирет. Биринчи жаңы билдирүүнү сактап калыңыз; пайдалуусу ошол.

Тутанган, бирок эч жерге жетпеген клиент ишенимден толук өтүп кетти жана эми маршруттоо же DNS суроосуна туш болот.

Ошол диалогдон өтүү үчүн текшерүүнү эч качан өчүрбөңүз. Каалаган сертификатты кабыл алган клиенттин CA суроого себеби жок, жана ал курган туннель оператор ойлогон туннель эмес.