Өзү кол койгон кардар сертификаты? VPN сервери аны дагы эле четке кагат

Оператор дарек жана колдонуучу атын жөнөтөт, кардар CA файлын, сертификатты жана ачкычты сурайт. Ушул үчөөнү жергиликтүү түзүү кийинки айкын кадамдай сезилет. Натыйжада өзүңүздүн машинаңыз гана ишенген сертификат пайда болот. Сервердин ишеними сиз көзөмөлдөбөгөн CAга бекитилген, ошондуктан кол алышуу башталганга чейин бүтөт.

Ишеним серверде жашайт, профилиңизде эмес

Сертификат менен аутентификациялоо — салыштыруу. Кардар сертификатты көрсөтөт; дарбаза анын конфигурациясындагы CAлардын бири кол койгонун текшерет.

Профилиңиз кардар серверди текшерүү үчүн колдонуучу CA файлын атайт. Ал сервердин сизди текшерүүсү үчүн колдонуучу CAны атай албайт. Конфигурациянын ошол жарымы сиздики эмес.

Өзүңүз жасаган сертификат техникалык жактан кемчиликсиз болсо да бул салыштыруудан өтпөйт. Анын жарактуу кол тамгасы, субъектиси жана даталары бар, бирок чыгаруучу — дарбаза эч качан укпаган CA. Ката кол алышуу учурунда, сервер мурун эле сертификат сурагандан кийин пайда болот. Кардар профилинде эч нерсе жоопту өзгөртө албайт.

Эмне үчүн өзү кол койгон сертификат аны алмаштыра албайт

Өзү кол койгон сертификат өз ачкычы менен кол коюлат. Кол тамга ошол эле файлга каршы текшерилет, бул аны өзү менен шайкеш жана башканын дарбазасы үчүн күбөлүк катары пайдасыз кылат.

Дарбаза сертификаттын ички жактан шайкеш экенин сурабайт. Ал ишенимдүү чыгаруучу ага кол койгонун сурайт.

Ошондуктан ката билдирүүлөрү баш аламан. Кардар сервердин көйгөйүнө окшош текшерүү ийгиликсиздигин билдириши мүмкүн, ал эми сервер белгисиз чыгаруучуну жазат. Экөө тең ошол эле шайкешсиздикти карама-каршы учтардан сүрөттөйт.

CSR жолу жеке ачкычыңызды сактайт

Жумуштун көбүн дагы эле жергиликтүү аткара аласыз. Ачкыч жупун түзүңүз, ачык жарымынын айланасында сертификатка кол коюу сурамын куруп, ошол сурамды операторго жөнөтүңүз. Машинаңыздан сурам гана чыгат. Жеке жарымы түзгөн жериңизде калат.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Оператор сурамга өз CAсы менен кол коюп, сертификат кайтарат. Жеке ачкычыңыз эч качан сапар тарткан эмес, ал эми натыйжа дарбаза ишенген якорго тизмектелет.

Башкарылуучу кызматтар CSRды көп учурда өткөрүп жиберип, бүт байламды чыгарат. Бул ошол эле провайдер туннелди бүтүрүп, CAны кармап турганда акылга сыярлык алмашуу. Ачкычты сактоо аны кармоо менен жакшырбайт, анткени провайдер каалаган убакта жаңысын жасай алат.

Байламдар импорттолот, орнотулбайт

Коопсуздукка окшош аттардагы жеткирүүчү байламдары көбүнчө OpenVPN профилдери. Аларда конфигурация жана кээде сертификаттар болот, алар эч нерсе орнотпойт. Файлды протоколду сүйлөгөн кардарга импорттоңуз, ошондо байланыш конфигурацияланат.

Иштетүү эрежеси мазмундан келип чыгат. Эгер профиль жеке ачкычты камтыса, бул күбөлүк жана сырсөздөй кам көрүүгө татыктуу: электрондук почта жок, репозиторий жок, жалпы жүктөө папкасы жок. Оператор ca.crt, client.crt жана client.key өзүнчө бергенде, аларды чектелген укуктар менен бирге сактаңыз жана профилди ошолорго багыттаңыз.

Оператор өткөрүп жиберген текшерүүлөрдү кошуңуз

Маршрутизатор түзгөн профилде кээде теңдеш текшерүүсү жок. remote-cert-tls server теңдеш сертификатында серверди аутентификациялоо максаты болушун талап кылат, ошондуктан кардар сертификатын сервер катары кайра ойнотуу мүмкүн эмес. Ошол бир сап айкын негиздемеси бар кичине өзгөрүү.

verify-x509-name оператор күтүлгөн субъектини же SANды атай алганда ары жылат. Экөө тең профилге кичине кошумчалар жана экөө тең коргоого болот. Импорттоодон мурун алганыңызды карап чыгыңыз.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Текшерүү параметрлери бузулган тизмекти оңдоо эмес. Эгер чыгаруучу туура эмес болсо, жооп туура CAдан алынган сертификат, текшерүүнү өчүргөн желепче эмес. Текшерүүнү өчүрүү аутентификация ийгиликсиздигин байкалбаган ийгиликсиздикке айландырат.

Бир байламды сураңыз: органдын сертификаты PEM түрүндө, ошол орган кол койгон кардар сертификаты, өзүңүз түзгөн же ишенимдүү канал аркылуу келген ачкыч, жана сертификат көрсөтүүгө тийиш болгон сервердин так аты. Ошол эле билдирүүдө мөөнөтүнүн бүтүү датасын жазыңыз, анткени мөөнөтү өткөн сертификат айлардан кийин тармактын бузулушуна окшош көрүнөт.