OpenVPN сертификат менен ачкычты кантип чечет: ичине камтылган PEM же жол

Билдирүү OpenVPN ичине камтылган сертификатты жүктөй албайт дейт, ал эми башыңыздагы файл аты тескерисин айтат. Талдоочу эмнени алганы файл системасында эмне бар экенинен маанилүүрөөк, анткени cert директивасы таптакыр башка эки түрдөгү маанини кабыл алат. Бири — ал ачкан жол; экинчиси — конфигурациянын ичинде келген PEM тексти. Иштеп жаткан кардар кайсы форманы алганын билмейинче, ар бир оңдоо божомол гана.

Эки сактоо формасы, бир директива

cert, key жана ca директиваларынын ар бири жолду же ичине камтылган блокту кабыл алат. Маани жол болгондо, OpenVPN ошол файлды ачып, объектини дисктен окуйт. Конфигурацияда cert тегдери менен чектелген блок болсо, ошол эле директива анын ордуна ошол тегдердин ортосундагы мазмунду колдонот, жана өзүнчө файл катышпайт.

Эки форма тең акырында бирдей типтеги объект чыгарат, ошондуктан иштеп жаткан жайгаштыруу башка өзгөртүүсүз алардын ортосунда өтө алат. Ичине камтылган кардар сертификаты менен жеке ачкычты алып жүргөн профиль өзүн-өзү камсыздайт, аны башка машинага көчүрүү сертификат каталогун да көчүрбөстөн иштейт.

Тескериси туура эмес. Өз маалыматтарын ичине камтыган профилдин жанына client.crt салуу эч нерсени өзгөртпөйт, анткени конфигурацияда эч нерсе ошол файлга шилтемейт. Ачык бар файлдын этибарга алынбай жаткандай көрүнүшүнүн эң көп кездешкен себеби ушул.

Ичине камтылган блок кантип объектке айланат

Ичине камтылган мазмун конфигурациядан алынып, PEM талдоочусуна текст катары берилет. Ал талдоочу адаттагы чектерди күтөт: BEGIN сабы, base64 жүгү жана дал келүүчү END сабы. Эгер блок ийгиликсиз көчүрмөдөн кесилип калса, жүктөө барагы аны HTMLге ороп койсо же сызыкчаларды нормалдаштырган редактордо ачылса, талдоочу бар болуп көрүнгөн мазмунда ийгиликсиз болот.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

Ошондуктан катанын сүрөттөлүшү да жаңылтат. Ичине камтылган деген сөз жүктөөчүнүн кайдан караганын сүрөттөйт, ал жерден эмнени тапканын эмес. Конфигурацияда аталган файл менен ага камтылган объект негизги байттар жараксыз болгондо бирдей нааразылык жаратышы мүмкүн.

Жүктөлгөн профиль чындыгында кайсы форманы колдонорун текшериңиз, редакторуңуз кокустан кайсы файлды ачканын эмес:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

Жол шилтемеси кантип чечилет

Жол мааниси кардардын жумуш каталогуна карата ачылат, конфигурацияны камтыган каталогго карата эмес. systemd астында бул жумуш каталогу — юнит белгилеген нерсе, ал эми сиздин кабыгыңыздан интерактивдүү иштетүү таптакыр башка нерсени мураска алат. Ошондуктан бир эле конфигурация файлы кол менен сынаганда иштеп, кызмат катары ийгиликсиз болушу мүмкүн.

Салыштырмалуу жолдор ошол эле бүдөмүктүктү мураска алат. Жаңы файл атын көргөндө, терминалыңызга дал келет деп божомолдобой, өндүрүштө процесстин учурдагы каталогу кайсы экенин сураңыз.

Өзүнчө сакталган сертификат үчүн офлайн талдоо объектини анын үстүндө бир нерсени оңдоодон мурун ырастайт:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

Бул буйруктар файлдардын окуларын жана структуралык жактан жарактуу экенин далилдейт. Алар өнөктөштүн чыгаруучуга ишенээрин, сертификаттын дагы эле жарактуулук терезесинде экенин же ачкычтын ошого таандык экенин далилдебейт.

Талдоочунун катасы эмнени айта алат жана эмнени айта албайт

Талдоо ийгиликсиздиги маселени бир кирүүгө жана бир баскычка чектейт. Ал кардар эки сактоо формасынын кайсынысын колдонгонун айтпайт жана объект кабыл алынар беле, аны да айтпайт. Булар өзүнчө далилдери бар өзүнчө суроолор.

Талдоо ийгиликтүү болгондон кийин, кийинки ийгиликсиздик кийинки баскычка таандык. Ишенимден баш тартууну, максаттын дал келбестигин же ачкычтын дал келбестигин жүктөөчү эмес, өнөктөш же TLS катмары билдирет. Бир эле файлды кайра-кайра алмаштыруу ошол катаны жылдырбайт.

Текшерүү учурунда сезимтал жарымын ачык отчеттордон тышкары кармаңыз. Директива аттарын, ката текстин жана блоктун структурасын бөлүшүңүз, ачкыч материалын жана ар кандай идентификациялоочу жүктү алып салыңыз. openvpn(8) колдонмосу файл директиваларынын эки формасын тең жана алардын артындагы жумуш каталогунун жүрүм-турумун документтештирет.