Клиент сертификаты жок OpenVPN: сервер саясаты, профиль эмес

Сиз сертификат жана ачкыч саптарын өчүрөсүз, профилди өткөрүп бересиз, бирок туташуу дагы эле сертификат катасы менен ийгиликсиз болот. Профиль эч качан бул талапты аткарган нерсе эмес. Кардар сертификаты милдеттүүбү же жокпу, сервер чечет жана кардар тараптагы эч кандай өзгөртүү аны сүйлөшүү менен жок кыла албайт. Ошондуктан оңдоо — бул сервер саясатын атайын өзгөртүү, ага көз каранды болгондун баары ошол эле өтүүдө жаңыртылат.

Профиль — саясат эмес

Community OpenVPN 2.6 кардар сертификаттары милдеттүү түрдө келет, анткени verify-client-cert демейки боюнча require. Аны none маанисине коюу сертификат талабын токтотуп, кардардын аутентификациясын сервер мурдатан жүргүзүп жаткан колдонуучу аты жана сырсөз тартибине өткөрүп берет. Эски колдонмолор ошол эле идеянын эскирген жазылышы болгон client-cert-not-required-ке кайрылышат, ошондуктан орнотулган версияңыз документтештирген директиваны колдонуңуз. Кандай болбосун, өзгөртүү серверде болот жана эч бир кардар профили аны аткара албайт.

Төмөнкү үзүндү — сервер тараптагы толук өзгөртүү жана ал өзүнчө иштеген аутентификация конфигурациясы эмес. verify-client-cert none сертификат талабын алып салат, ал эми username-as-common-name аккаунттун атын кийинки чакыруулар жана ар бир кардардын файлдары көргөн инсандыкка айландырат. Эки саптын бири да сырсөздү текшербейт, ошондуктан текшерүүчү дагы эле болушу керек.

verify-client-cert none
username-as-common-name

Ошол текшерүүчү — auth-user-pass-verify аркылуу башкарылуучу плагин же скрипт жана жогорку саптардын кайсынысы болбосун мааниге ээ болушунан мурун ордунда болушу керек. Тартипти тескери бурсаңыз, сервер сертификат талап кылбаган жана аккаунтту текшербеген терезе пайда болот.

Серверди дагы эмне текшерет

Кардар сертификатынан баш тартуу TLSтен баш тартуу эмес. Сервер өзүнүн сертификатын жана ачкычын сактайт, ал эми кардар CA ишенимин жана хост атынын текшерүүлөрүн сактайт, алар аны алдамчы менен сүйлөшүүгө жол бербейт. Кардарда сертификат жок болгондуктан remote-cert-tls server же CA топтомун өчүрүү кеңири таралган жана олуттуу туура эмес окуу, жана 2.6 шилтемеси эки багыт көз карандысыз экенин так айтат. Бирөө серверди кардарга далилдейт, экинчиси кардарды серверге далилдейт.

Профилде tls-auth же tls-crypt блогу да болушу мүмкүн. Бул өзүнүн таратуу жана айландыруу цикли бар жалпы башкаруу каналынын ачкычы, ошондуктан сертификат же ачкыч саптары жок файл автоматтык түрдө жарыялоо үчүн коопсуз эмес. Аны окуганга чейин сыр катары мамиле кылыңыз.

Иштеп жаткан профилден көчүрүлгөн сертификат файлы өзүнчө эч нерсени далилдебейт; ээлик ага дал келген жеке ачкычты кармоону билдирет, муну сертификат менен аутентификацияланган жайгаштыруу текшерет. Сертификаты бар файл — аны менен аутентификация жасоого боло турган файл эмес.

Текшерүүчү эмне кылышы керек

Сертификат талабы алынып салынгандан кийин баары текшерүүчүгө таянат: плагин же auth-user-pass-verify аркылуу башкарылуучу скрипт. Ал жараксыз каттоо маалыматтарын четке кагуусу, өчүрүлгөн же жараксыз аккаунттарды четке кагуусу жана өзүнүн backendине жете албаганда жабык түрдө ийгиликсиз болушу керек. username-as-common-name көбүнчө жанында күйгүзүлөт жана кийинки чакыруулар менен ар бир кардардын конфигурация файлдары көргөн инсандыкты өзгөртөт. Ал сырсөздү текшербейт жана жараксыз аккаунтту жарактуу кылбайт. Булар өзүнчө иштер жана аларды аралаштыруу — миграциянын бактылуу жол сынагынан өтүп, биринчи реалдуу окуясында ийгиликсиз болушунун жолу.

Терс учурларды оң учур сыяктуу эле кылдат сынаңыз. Сырсөз суроосун көрсөткөн профиль кардар суроону тарта аларын гана далилдейт, ал эми туура эмес сырсөздү кабыл алган сервер андан да жаманыраак нерсени далилдейт. Сыноо топтомуна жаман сырсөз гана эмес, өчүрүлгөн аккаунт жана мөөнөтү бүткөн каттоо маалыматтарын кошуңуз.

Саясатты, профилди жана карталоону бирге өзгөртүңүз

Үч нерсени шайкештештириңиз: сервер директивасын, кардар профилин жана ар бир кардардын инсандык карталоосун. Аларды өзүнчө өзгөртсөңүз, кардарлар текшерүүгө чейин ийгиликсиз болот же администратор күтпөгөн ат менен туташат, бул андан жаман, анткени ийгиликке окшош. Туура эмес инсандык астында ийгиликтүү туташууну ийгиликсиз болгонго караганда байкоо кыйын.

Бул жол үчүн эки сыноо аккаунтун кармаңыз, бири жарактуу, бири белгилүү жаман, жана текшерүүчүгө ар кандай өзгөртүүдөн кийин экөөнү тең колдонуңуз. Жарактуу аккаунт бактылуу жолду жана инсандык карталоону далилдейт; жаман аккаунт четке кагуу дагы эле иштешин далилдейт. Эки сынак тең сизге жарактуулук эрежелери жөнүндө эч нерсе айтпайт, ошондуктан жайгаштырууда ушундай эрежелер болсо, саясий себептер менен четке кагылышы керек аккаунтту кошуңуз. Ар бир өзгөртүүдөн кийин үчөөнү тең иштетиңиз, анткени баарын кабыл ала баштаган текшерүүчү иштеп жаткан кирүүгө так окшош.

Сервер иш жүзүндө кайсы аутентификация ыкмаларын кабыл аларын жазып алыңыз, профиль сунуш кылгандарын эмес. Бул жазуу адамдар дайыма берген суроого жооп берет, башкача айтканда бул кызматка ким туташа алат. Ал ошондой эле кийинки администратордон узак жашайт, ал болбосо аны пакеттерди кармоодон кайра ачат.