SECLEVEL=0 симптомду айыктырат, сертификатты эмес

OpenVPN байланышы ишке ашпайт, бирөө SECLEVEL=0 кошкон бир саптык оңдоону табат, жана туннель көтөрүлөт. Өзгөргөн нерсе сертификат да, шифрлер топтому да эмес; китепкана деңгээлиндеги кабыл алуу чеги жылды, жана процесстин андан кийинки кылганынын баары жаңы чекти мурастайт. Ошол эле сап чөйрөнүн ар бир профилине көчүрүлүүдөн мурун муну түшүнүүгө татыктуу.

Кайсы китепкана жана кайсы саясат күчүндө экенин аныктаңыз

SECLEVEL — OpenSSL түшүнүгү, ошондуктан биринчи суроо: сиздин курулушуңуз OpenSSL колдонору. OpenVPN бирден ашык криптографиялык китепканага байланыштырылышы мүмкүн, жана алардын бирине тиешелүү жөндөө калгандары үчүн маанисиз. Бинардык файлдан эмне менен курулганын сураңыз, анан китепканадан кайсы версия менен конфигурацияны жүктөгөнүн сураңыз:

openvpn --version | head -3
openssl version -a

Версиянын чыгышын кылдат окуңуз, анткени дистрибутивдер демейки маанилерди патчтайт. Кээ бирлери минималдуу деңгээлди upstream демейкисинен жогору көтөргөн системалык конфигурацияны берет, ошондуктан бирдей OpenVPN пакеттери бар эки машинада бирдей профиль башкача жүрөт. Күчүндөгү саясат — иштеп жаткан процесс жүктөгөн саясат, upstream колдонмосунун эмес.

Анан адамдар чаташтырган эки катмарды бөлүңүз. OpenVPNдин өзүнүн TLS көзөмөлдөрү бар, анын ичинде сертификат профилинин жөндөөсү жана ачык шифр тизмелери, жана алар китепкана талап кылгандын баарынан жогору турат. Китепкананын деңгээлин төмөндөтүү сиздин OpenVPN конфигурацияңыз кайсы шифрлерди тизмелей турганын өзгөртпөйт, ал эми OpenVPN тизмесин тарытуу китепкананын чегин көтөрбөйт. Кайсы катмар сизден баш тартканын билүү — оңдоону божомол бойдон калтырбоонун ачкычы.

Четке кагылышы мүмкүн болгон үч нерсени бөлүңүз

Биринчи талапкер — инсандык материал: ачкычы өтө кичине сертификат же кол тамга алгоритмин саясат мындан ары кабыл албаган сертификат. Экинчиси — ачкыч алмашуу параметри, мисалы, саясат өтө алсыз деп эсептеген топ. Үчүнчүсү — саясат жокко чыгарган шифрлер топтому. Үчөө тең кол кармашуу ишке ашпоосун пайда кылышы мүмкүн, жана аларды тек ката тексти менен сүйлөшүү баскычы гана ажыратат.

Бул үчөөнүн бири да маалымат каналынын шифри эмес. OpenVPN туннель шифрлөөсү тууралуу TLS кол кармашуудан өзүнчө сүйлөшөт, ошондуктан коопсуздук деңгээли өзгөргөндөн кийин ийгиликтүү болгон байланыш маалыматыңызды кайсы шифр коргой турганы жөнүндө эч нерсе айтпайды. Эгер чындыгында берген сурооңуз маалыматтын купуялуулугу жөнүндө болсо, сиз таптакыр туура эмес башкаруу элементтерин карап жатасыз.

Деңгээлди төмөндөтүү үч киргизүүнүн баары үчүн кабыл алууну бир убакта кеңейтет. Адамдар байкабаган ушул бөлүк: эски сертификатты өткөргөн оңдоо алсыз топту жана сиз уруксат берүүнү көздөбөгөн топтомду да өткөрөт. Өзгөртүүгө бир ката себеп болду, ал эми өзгөртүү катадан кененирээк. Ушул асимметрия — чектелген өзгөчөлүк бүт чөйрөнүн демейки маанисинен артык болушунун себеби.

Киргизүүнү өзгөртүңүз, чекти эмес

Конфигурацияга тийүүдөн мурун так катаны сактаңыз, аны билдирген баскычты жана ал атаган объектини кошуп. Сертификат маселеси аны учурдагы саясат кабыл алган нерсе менен алмаштыруу аркылуу чечилет, бул адатта аны органдан кайра чыгарууну билдирет, ошол эле файлды кайра орнотууну эмес.

Эгер четке кагылган киргизүү сиз көзөмөлдөбөгөн өнөктөшкө таандык болсо, сүйлөшүү ошол өнөктөштүн ээси менен колдоого алынган алмаштыруучу материал жөнүндө. Эч ким тейлебеген системаны жайгаштыруу үчүн өз чегиңизди төмөндөтүү чыгымды алардан кийин туташкандардын баарына которот.

Сервер саясатты колдонгон жерде китепкананы күнөөлөөдөн мурун OpenVPN деңгээлиндеги жөндөөнүн чыныгы себеп экенин текшериңиз. Орнотулган сертификат канааттандыра албаган катаалраак классты талап кылган сертификат профили коопсуздук деңгээли кандай болбосун ишке ашпайт, ал эми ошол профилди алып салуу китепкананын текшерүүлөрүн өчүрүүгө караганда тар өзгөртүү.

Эгер төмөндөтүү керек болсо, чектеп жана жазып коюңуз

Кээде бекитилген шайкештик өзгөчөлүгү туура жооп болот, өзгөчө күнү белгиленген чыгаруу планы бар эски өнөктөш үчүн. Аны бүт хостко эмес, ага муктаж кызматка чектеңиз: кызматка тиешелүү конфигурация файлы же атайын OpenSSL конфигурациясы глобалдык профилдеги экспортко караганда кичирээк таасир радиусуна ээ.

Өзгөчөлүк менен бирге төрт нерсени жазыңыз: так жөндөөнү, аны бекиткен ээсин, таасир тийгизген кардарларды жана ал алына турган шартты. Чыгаруу шарты жок өзгөчөлүк — убактылуу негиздемеси тиркелген туруктуу алсыратуу.

Кайтаруу сиз буга чейин текшерген бир кадам болушу керек. Мурунку конфигурацияны сактаңыз, өзгөртүүнү колдонуңуз, кызматтын башталарын ырастаңыз жана кийинки байланыш күтүлгөндөн башкача жүрсө, кайсы файлды калыбына келтирүүнү так билиңиз.

Андан кийин инсандыкты жана коргоону текшериңиз

Ийгиликтүү байланыш кайра каралган шарттар аны киргизгенин гана далилдейт. Хост атын жана өнөктөштү текшерүү дагы эле өз ишин аткарып жатканын, колдонулган сертификат сиз орноткуңуз келген нерсе экенин жана сүйлөшүлгөн маалымат каналы сиз ойлогон саясатка дал келерин ырастаңыз.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL коопсуздук деңгээлдеринин шилтемеси каркас ачкычтарга, кол тамгаларга, топторго жана топтомдорго чектөөлөрдү чогуу колдонорун жана нөлдүк деңгээл кайтарым чакыруу текшергендин баарына уруксат берерин ачык айтат. Бул — сиз өзгөрткөндүн көлөмү, жана оңдоо тар болдубу деп сураганда ушул сүйлөмдү келтирүү керек.

Аудиттен өткөн өткөрүп берүү кайсы саясат кайсы киргизүүнү четке какканын, эмне өзгөргөнүн жана натыйжада эмне кабыл алынып каларын айтат. „Ал SECLEVEL=0 менен иштейт“ — бир байланыш тууралуу байкоо, орнотуунун коопсуздук баасы эмес.