Бирдей ca.crt файл аты, башка сертификат: эмнени салыштыруу керек

Эки профиль тең ca.crt деп аталган файлды алып келет, бир туннель көтөрүлөт, экинчиси чынжыр катасы менен ишке ашпайт. Эки файлды катар ачуу муну сейрек чечет, ал эми текшерүүнү өчүрүү аны туура эмес багытта чечет. Ката чындыгында койгон суроо тар: ар бир процесс кайсы сертификатты өзүнүн ишеним тиреги катары жүктөйт жана экөө бир объектиби? Адегенде ошого жооп бериңиз, ошондо диагностиканын калганы багыт алат. Файл аты таңгактоо белгиси, ал эми профилде жазылган жол да ыйгарым укуктуу эмес, ошондуктан баары процесстин чындыгында эмнени окуганына байланыштуу.

Клиент чындыгында жүктөгөн сертификатты табыңыз

OpenVPN бийликти эки формада кабыл алат, ал эми форма кайсы байттар маанилүү экенин аныктайт. Профиль ca аркылуу тышкы файлды көрсөтүшү мүмкүн же сертификатты профилдин өзүндөгү <ca> блогына киргизиши мүмкүн. Экөө тең болсо, киргизилген блок жеңет жана профилдин жанындагы файл эч качан ачылбайт.

Ишке ашпаган профилди окуп, бир нерсени салыштырмай туруп, ал кайсы форманы колдонорун аныктаңыз. Кошуна каталогдон же экинчи профиль келген пакеттен алынган көчүрмө бул процесстин эмнеге ишенерин тууралуу сизге эч нерсе айтпайт. Ошол эле конфигурациядагы жолго да тиешелүү: ал клиент ишке киргизилген жерге карата чечилет, бул ар дайым сиз карап турган каталог эмес. Профилди окуңуз, папканы эмес.

Сертификаттар мазмуну менен аныкталат: ачык ачкыч, субъект жана чыгарган орган, жарактуулук терезеси жана ошонун баарына коюлган кол тамга. Бирдей байттары бар эки файл кандай аталбасын бир сертификат, ал эми бирдей аталыштагы эки файл байланышы жок органдар болушу мүмкүн. Ат таңгактоо белгиси, инсандык эмес.

Эки көчүрмөнүн бармак изин openssl менен алыңыз

Бармак изи сертификаттын DER коддолушуна салынган хэш, кол тамга камтыган форма, ошондуктан саптын аяктары жана аталыш тексти ага таасир эте албайт. Аны ар бир файл үчүн эсептеңиз, ошондо кош чекит менен бөлүнгөн эки он алтылык сап аласыз, алар же дал келет, же жок. Салыштыруу суроосуна жооп берүү үчүн сертификаттан башка эч нерсе окуунун кереги жок.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl программасын профилдин өзүнө багыттоо азгырат, бирок ал файлда биринчи кездешкен сертификат блогун окуйт, ал эми профиль адатта <cert> блогун <ca> блогынан мурун алып жүрөт. Бийлик блогун чыгарып алыңыз, анан чыгарылган файлдын бармак изин алыңыз, анткени клиент чындыгында колдоно турган көчүрмө ошол.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Бирдей бармак издер ишеним материалы бирдей жана чынжыр катасынын башка себеби бар дегенди билдирет, бул башка иликтөө. Ар башка бармак издер ар башка сертификаттарды билдирет жана кийинки бөлүм ушундан башталат.

Чабуулду болжолдон мурун дал келбестикти окуңуз

Ар башка бармак издер ар башка сертификаттарды жана андан ашык эч нерсени билдирбейт. Кайра чыгаруу, ротация, аты өзгөртүлгөн орган же эскирген топтом толугу менен мыйзамдуу тарыхтары бар ар башка файлдарды жаратат. Алардын кайсынысы жайгаштырууга таандык экени операторго же жайгаштыруу жазуусуна берилүүчү суроо, файлдын өзгөрүү убактысына эмес. Архивдер убакыт белгилерин көчүрөт, ошондуктан жаңыраак файл автоматтык түрдө туура тирек эмес.

Өзүнө кол койгон тамыр кадимки, ошондуктан аны табуу маселенин далили эмес. Текшерүүчүнүн милдети — сервер сертификатынан өзүнө берилген тирекке чейин жол куруу, ал эми чынжыр катасы адатта бул жолду аяктоо мүмкүн болбогонун билдирет.

Ишке ашпаган профилдин тиреги жайгаштыруу дагы чыгарган органбы, текшериңиз. Эгер бармак изи жайгаштыруу жазуусундагы эч нерсеге дал келбесе, профиль жөн гана эскирген, жана клиент тараптагы эч кандай жөндөө аны оңдобойт.

Текшерүүнү өчүрбөстөн ишенимди калыбына келтириңиз

Кыска мөөнөттүү чечим — текшерүүнү өчүрүү же чынжырдагы ар бир сертификатты тирек катары кошуу. Экөө тең билдирүүнү жоготуп, экөө тең клиент мындан ары кайсы серверлерди кабыл аларын өзгөртөт. Текшерүүнү кайра күйгүзүңүз, көздөлгөн тиректи орнотуңуз жана кайра сынаңыз.

Эгер чынжыр эми курулса, бирок башка ката чыкса, бул илгерилөө: атты текшерүү, жарактуулук даталары жана жокко чыгаруу — өзүнчө билдирүүлөрү бар өзүнчө текшерүүлөр. Бармак издердин жупун жана баштапкы ката текстин тикетте чогуу сактаңыз, кийинки адам кайсы тирек жүктөлгөнүн жана кайсынысы күтүлгөнүн көрсүн. Бармак издердин жубу өткөрүп берүү жазуусуна чаптоого жетиштүү кичинекей, ал эми кийинки учур ошондо жарым күндүн ордуна беш мүнөт алат.

Туура органды профилди жеткирген ошол эле аутентификацияланган канал аркылуу алыңыз. Субъектиси тааныш көрүнгөндүктөн серверден сертификат тартып алуу башка аракет жана ал клиент ишене турган нерсенин чөйрөсүн үнсүз кеңейтет.