Эмне үчүн сервер ачкычтары менен колдонуучунун күбөлүктөрүнө өзүнчө ээлер керек

Шлюзуңуз өзү экенин далилдеген ачкыч менен адам кошула аларын айткан күбөлүк экөө тең сыр, окшоштук ушунда бүтөт. Бири ар бир кардарга кызматты таанытса, экинчиси ошол кызматка бир колдонуучуну таанытат. Аларды аралаштыруу орнотууда бир кадамды үнөмдөп, окуя учурунда жарым күндү жоготот, анткени ар бирин калыбына келтирүү бир операция эмес. Бөлүү орнотууга тажатма, ал эми аны өткөрүп жиберүү эсте калат.

Эки сыр, эки өзүнчө ээ

Шлюз кол кармашуу учурунда өз инсандыгын далилдөө гана милдети болгон жеке ачкычты же сертификатты кармайт. Кардарларга аны текшерүү үчүн тиешелүү ачык материал керек, ал эми жеке жарымы аларга эч качан керек эмес. Ушул асимметрия ар бир колдонуучуга серверди окшоштуруу жөндөмүн бербестен сервер аутентификациясын мүмкүн кылат.

Колдонуучунун материалы карама-каршы багытта жүрөт. Кардардын жеке ачкычы, кардар сертификаты же сырсөз ушул конкреттүү адамга же түзмөккө уруксат берилгенин көрсөтөт. Ал таратылат, түзмөктөрдүн ортосунда көчүрүлөт жана акыры жокко чыгарылат деп күтүлөт.

WireGuard бөлүүнү ачык кылат, анткени ар бир катышуучунун ачкыч жупусу бар: сервердин жеке ачкычы серверде калат, ал эми колдонуучуга берген конфигурация файлында анын өз жеке ачкычы жана сервердин ачык ачкычы бар. Сервердин жеке ачкычын камтыган профиль кыска жол эмес, ал файл бөлүшүүнү күтүп турган бузуу.

Бөлүүнү аныктаган үч суроо

Сырды ким окуй алышы керек, ачылышы чабуулчуга эмне кылууга мүмкүндүк берет жана чечим бир жокко чыгаруубу же кызматты кайра куруубу, ошону сураңыз.

Эгер колдонуучу аны окуй алса жана ал шлюздун инсандыгын далилдесе, экинчи суроонун жообу — чабуулчу сиздин сервериңизди ар бир кардарга окшоштура алат, бул эң жаман натыйжа, анткени кардарлар ошол инсандыкка ишенүүгө арналган. Эгер ал бир гана колдонуучуну далилдесе, ачылыш ошол колдонуучуга бир шерикке уруксат берет, ал эми жокко чыгаруу кадимки операция. Эгер ал сертификаттоо органынын ачкычы болсо, ачылыш экөөнөн тең жаман, анткени чабуулчу ар бир акыркы чекит ишенген инсандыктарды жарата алат.

Бул үч жооп сактоо эрежесин берет: CA ачкычы офлайн же сейфте жашайт, шлюз ачкычы шлюзде жашайт, ал эми колдонуучу ачкычтары колдонуучулар менен жашайт. Ыңгайлуулук үчүн үчөөнү бир папкага салган кандайдыр бир жайгашуу чечимди кырсыкка айландырган.

Кардарга чынында эмне керек

Кардарга ачык сертификат же шериктин ачык ачкычы, ишенүүгө тийиш болгон CA материалы же манжа изи, өзүнүн жеке ачкычы жана акыркы чекиттин маалыматтары керек. Бул тизмеде шлюздун жеке инсандыгына таандык эч нерсе жок.

Документация — бул агып кетүүчү жер. Сервер папкасын көчүрүп, керексизин өчүрүңүз деген колдонмо туура эмес моделди үйрөтүп койгон, анткени өчүрүү кадамынан кийин калган файлды сейрек ким текшерет.

Шлюзго тийбестен бир колдонуучуну жокко чыгарыңыз

Колдонуучу инсандыктары өзүнчө берилгендиктен, аларды өзүнчө кайтарып алууга болот. Сертификатка негизделген жайгаштыруу кардар сертификатын жокко чыгарып, жаңыртылган жокко чыгаруу тизмесин жарыялайт; WireGuard жайгаштыруусу сервер конфигурациясынан шерик жазуусун алып салат. Бул операциялардын эч бири шлюздун өз ачкычын өзгөртпөйт.

Берилүү жазуусун сактаңыз, болбосо кайсы инсандыкты кайтарып алуу керектигин билбейсиз. Электрондук таблица жетиштүү, эгер анда адам, түзмөк, сериялык номер же ачык ачкыч жана күнү көрсөтүлсө, жана аны куруган адам кеткенден кийин кимдир бирөө аны менен алектенсе.

Төмөнкү буйруктар кардар сертификатын текшерип, анан аны OpenSSL стилиндеги орган аркылуу жокко чыгарат, easy-rsa ушул агымды ороп алат:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Жаңы тизмени кардарлар текшере турган жерде жарыялаңыз, болбосо жокко чыгаруу эч нерсени өзгөртпөгөн файлдагы эскертүү гана. Эгер шлюзуңуз кардар сертификаттарын жокко чыгаруу тизмесин карабастан кабыл алса, жокко чыгаруу иштейт деп ишарат кылуунун ордуна аны ачык айтыңыз.

Камдык көчүрмөлөрдү сырлардай өзүнчө кармаңыз

Кайра куруу архивинде шлюз ачкычы жана CA материалы мыйзамдуу түрдө болот, анткени аларсыз калыбына келтирүү кызматты кайра жарата албайт. Кардарды орнотуу пакетинде болбошу керек жана экөөнү бирге сактоого болбойт. Ар бир архивди ким кармай алары боюнча белгилеңиз, жасалган күнү боюнча эмес. Чарчаган администратор түнү экиде дал ошол белгини окуйт.

Бул айырма ар бирин ким ала аларын да аныктайт. Шлюзду башкаруу, колдонуучу инсандыктарын берүү жана камдык көчүрмөлөрдү окуу — үч түрдүү ыйгарым укук, ал эми бирөө керек болгон адамга калгандары автоматтык түрдө керек эмес. Ошол уруксаттарды жазып коюңуз, анан аларды сактоочуңуз чындап уруксат берген нерселер менен салыштырыңыз, анткени папка мураскерлиги саясат көздөгөндөн көбүрөөк берет.