OpenVPN профилинде үч сертификат блогу бар: кайсынысы жашыруун?

Бир сапты өзгөртүү үчүн .ovpn файлын ачасыз жана баары кирүү маалыматтарына окшогон үч base64 блогун көрөсүз. Бирөөнү жарыялоо коопсуз, экинчиси сырсөздөй сезимтал, үчүнчүсү болсо жуптугу менен эч нерсеге кол коюлбаса эч нерсени билдирбеген ачык ачкыч. Блоктор бири-бирин алмаштырса болот деп көрүнгөндүктөн адамдар бүт файлды колдоо темасына жабыштырат, ошентип кардар ачкычы ачык архивде калат. Кайсы блок эмне кылаарын ажыратуу бул профилдердин айланасындагы баш аламандыктын көбүн түшүндүрөт жана кайсы бузулууларды өзүңүз оңдошуңуз керектигин да айтат.

Бир файл, үч блок, башкача иштер

Кадимки профиль BEGIN жана END белгилеринин ортосуна ca блогун, cert блогун жана key блогун салат же ошол үчөөнү өзүнчө файл катары көрсөтөт. Айрым профилдер tls-auth же tls-crypt ачкычы үчүн төртүнчү блокту кошот, ал сертификат эмес, жалпы сыр. Кардар ар бир блокту аны атаган директива боюнча окуйт, ошондуктан белгилер алардын пайда болуу тартибинен маанилүү.

Куралган профилди ичине чындап көз салганга чейин сезимтал деп караңыз. Ачык сертификат менен жеке ачкыч бир файлда бир нече сап аралыкта болушу мүмкүн, ал эми аталышты камтыган скриншот экөөнү тең камтышы мүмкүн. Көрүнгөн base64-тү кол менен жабуу да ишенимсиз, анткени жарым блок да жайгаштырууңузду атаган сертификат метаберилиштерин агызат. Үч директиваны маанилери жок көчүрүү адатта пайдалуу суроо берүүгө жетет.

Блоктордун айланасындагы директивалар алардын кантип колдонулаарын чечет. ca-ны өзгөртсөңүз, кардар башка органга ишенет; key-ди өзгөртпөй cert-ти өзгөртсөңүз, кол алышуу ишенимге эч кандай тиешеси жок дал келбестик менен ийгиликсиз болот.

CA блогу ачык, CA ачкычы эч качан

Сертификат органы ачык ачкычты инсанга байланыштырган сертификаттарга кол коёт, ал эми анын өз сертификаты кардар чынжырдын ишенимдүүлүгүн чечкен тирек. Бул сертификат долбоор боюнча ачык: аны ар бир профилдин ичинде жөнөтүү кадимки, ошондуктан өзүнө кол койгон жайгаштыруу коммерциялык органсыз иштей алат.

Кардар профилинде эч качан көрүнбөшү керек нерсе — органдын жеке кол коюу ачкычы. Кардар аны эч нерсени текшерүү үчүн колдонбойт, ал эми анын болушу профилди кармаган ар ким бүт жайгаштыруу үчүн жаңы инсандарды жарата алаарын билдирет.

Органга ишенүү да угулганынан тар. CA кол койгон ар кандай сертификатты кабыл алган кардар ошол эле CAдагы башка кызматка берилген сертификатты да кабыл алат. Күтүлгөн сервер ролун же атын бекитүүчү опциялар ошол кемтикти жабат, ал эми TLS опцияларынын маалымдамасы муну кылган текшерүү директиваларын тизмелейт.

Сервер жана кардар сертификаттары карама-каршы багытка көрсөтөт

Сервер сертификаты — кардар туура акыркы чекитке жеткенин ырастоо үчүн текшерип көрө турган нерсе. Сиздин кардар сертификатыңыз тескерисинче иштейт: сервер аны ушул түзмөк же колдонуучу өзү каттаган адам экенин чечүү үчүн колдонот. Форматы бирдей, ишеним багыты карама-каршы.

Дарек инсан эмес. Туура IP-ге жетүү ким жооп бергенин эч нерсе далилдебейт, ошондуктан хост атын же сертификат атын текшерүү дагы эле профилге таандык. Каттоо эсебинин сырсөзү да талап кылынган кардар сертификатын үнсүз алмаштырбайт, анткени экөө ар башка баскычта текшерилет жана жайгаштыруу экөөнү тең талап кылышы мүмкүн.

Кардардын жеке ачкычы жашыруун бойдон калышы керек болгон бөлүк. Эгер ал ачылып калган болушу мүмкүн болсо, файлды ноутбугуңуздан өчүрүү серверде эч нерсени өзгөртпөйт, сервер тиешелүү сертификатты оператор аны жокко чыгарганга чейин кабылдай берет. Оператордон ошол инсанды алмаштырууну же жокко чыгарууну суроо — сиз менен бирге жүргөн жалгыз чечим.

Бирдей көрүнгөн, бирок бирдей эмес эки суроо

Шифрленген түрдө сакталган ачкыч кардар аны колдонушу үчүн сырсөз айкалышын сурайт. VPN кызматы каттоо эсебинин сырсөзин өзүнчө сурашы мүмкүн, ал эми эки суроо бир нече секунд айырма менен дээрлик бирдей сөздөр менен чыгышы мүмкүн. Айкалыш дисктеги файлды коргойт; сырсөз серверге каттоо эсебин далилдейт. Аларды аралаштыруу адамдарды жардам бере албаган сырсөз кайра коюуларга жиберет.

Бир нерсени кайра коюудан мурун суроону окуңуз. Каттоо эсебинин сырсөзин кайра коюу унутулган ачкыч айкалышына, жокко чыгарылган же мөөнөтү бүткөн сертификатка эч нерсе кылбайт, ал эми бузулуу сертификатты текшерүү болгондо сырсөздү кайра коюу эки мүнөттүк оңдоону колдоо ишине айландырат. Даттануу жарактуулук күндөрүн атаса, адегенде түзмөктүн саатын, андан кийин аталган сертификаттын өз терезесин текшериңиз.

Сертификат чындап мөөнөтү бүтсө, алмаштыруу аны берген тараптан келиши керек. Башкага таандык ачкыч жаңыртуу жолу эмес, кесиптештен иштеп турган профилди карызга алуу да андай эмес.

Таза кол алышуу эмнени далилдейт, эмнени далилдебейт

Аякталган TLS кол алышууга жетүү конфигурацияланган инсандык мамиле сакталганын билдирет: сервер сертификаты сиздин CAга чынжырланды жана сертификатыңыз кабыл алынды. Бул оператордун журнал жүргүзүү саясаты жөнүндө эч нерсе айтпайт, туннель көтөрүлгөндөн кийин колдонмолоруңуз иштейби, аны да айтпайт.

Маршруттар жана DNS туташуунун кийинки баскычтары, ошондуктан ийгиликтүү киргенден кийин жеткиликсиз интранет хосту сертификат эмес, туташуу маселеси. Кирүү маалыматтарын алмаштыруунун ордуна ошол катмар менен иштеңиз жана профилди бирөөгө бергенде анын келип чыгышын, жеке материалын жана инсан текшерүүлөрүн бирге кармаңыз.