TLS каталары корпоративдик VPN’де гана: туура ишеним кампасын оңдоңуз

Go куруу, Composer орнотуу жана Python кардары үйдө баары иштейт, ал эми компаниянын VPN ичинде баары ишке ашпайт. Бул үлгү сизге колдонмо жөнүндө эмес, жол жөнүндө айтат. Туннелдеги бир нерсе процессиңиз көргөн сертификат тизмегин өзгөрттү, же тизмек такыр келгенге чейин кол алышууну кайра орнотту. Эки бузулуу терминалда окшош көрүнөт жана таптакыр башка жоопторду талап кылат.

Үч билдирүү, үч механизм

x509 certificate signed by unknown authority катасы тизмек курулганын жана анын тамыры ошол процесс колдонгон ишеним кампасында жок экенин билдирет. self-signed certificate in certificate chain катасы адатта текшерүү проксиси өз сертификаты менен жооп бергенин билдирет, ал эми бул сиздин аткаруу чөйрөңүз тааныбаган тизмек. Кол алышуу учурундагы SSL EOF кандайдыр бир жарактуу сертификат жөнөтүлө электе байланыш жабылганын билдирет, жана бул ClientHello’ну четке каккан ортоңку түзмөк, такыр ишеним маселеси эмес.

Кооптуу эмес желегин кошуу үч билдирүүнү тең жоготуп, кийлигишүү ордунда калат, жана чыныгы кол салуучуну кармай турган текшерүүнү алып салат.

Процесс чындыгында окуган топтомду табыңыз

Windows кампасына орнотулган корпоративдик тамыр системалык кампага кайрылган браузерлерди жана .NET колдонмолорун оңдойт. Ал контейнер ичинде иштеген курууга эч нерсе кылбайт, анткени анын өз CA топтому бар, жана certifi колдонгон Python процессине же өзүнүн ичине камтылган тизмесин колдонгон Node процессине да эч нерсе кылбайт. Go бинар иштеген чөйрөнүн системалык пулун окуйт, башкача айтканда контейнерди, ноутбукту эмес. Ошондуктан бир машина бир убакта иштеген браузерди жана ишке ашпаган куруу куралын чыгарат.

Болжолдоонун ордуна куралдан сураңыз. python3 -c "import ssl; print(ssl.get_default_verify_paths())" Python кайрыла турган файлдарды басып чыгарат, ал node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" кайра аныктоо мурунтан коюлганын көрсөтөт. Контейнер үчүн ошол эле текшерүүнү образдын ичинде иштетиңиз, анткени куруу так ушул чөйрөнү колдонот.

Куруу иштеген жерге бир тамыр орнотуңуз

Текшерүү тамырын IT’ден PEM файлы катары алыңыз жана ага ишенүүдөн мурун манжа изин өзүнчө канал аркылуу текшериңиз. Debian негизиндеги образдарда аны /usr/local/share/ca-certificates/ ичине көчүрүп, update-ca-certificates иштетиңиз; RHEL үй-бүлөсүндөгү образдар файлды /etc/pki/ca-trust/source/anchors/ ичине салгандан кийин update-ca-trust колдонушат. Контейнер курууда бул кадамдарды ишке ашпаган буйруктан мурун кошуңуз, ошондо катмар көз карандылыктарды орнотуудан жогору кэштелет.

Жергиликтүү devcontainer үчүн PEM’ди туташтырып, баштоодо ошол эле жаңыртуу буйругун аткарыңыз, аны эч ким кайталай албаган жеке образга бышыруунун ордуна. Өз топтомун алып жүргөн куралдарга өзүнүн документтелген кайра аныктоосу керек: pip’те сертификат жөндөөсү бар, npm’де cafile жөндөөсү бар, ал эми калгандарынын көбү стандарттык чөйрө өзгөрмөлөрүн кабыл алышат.

Бул каалаган сертификатты кабыл алуу менен бирдей эмес. Сиз текшерүүнү жүргүзгөн тараптан алган бир конкреттүү тамырды бир чөйрөгө кошосуз, ал эми текшерүү калган ар бир тизмек үчүн күйүк турат. Кайсы файл кошулганын жана качан бүтөрүн жазып коюңуз, анткени текшерүү тамыры каалаган башка CA сыяктуу жаңыртылат.

Кол алышуу сертификатка чейин өлгөндө

Эгер эч нерсе сунушталбаса, ишеним кампасындагы эч кандай өзгөртүү жардам бербейт. Ошол эле суроону туннел күйүк жана өчүк абалда салыштырыңыз, анан тизмекти түздөн-түз openssl s_client -connect host:443 -servername host -showcerts аркылуу караңыз. VPN’ден тышкары аяктап, анын ичинде кайра орнотулган байланыш ортоңку түзмөктүн саясий чечими, ал эми дары башка сертификат эмес, ошол хост үчүн өзгөчөлүк. Пакет реестри же API акыркы чекити өзгөртүүсүз өтүүсүн сураныңыз.

Курал VPN’ди айланып өтүшү үчүн туннелди бөлүү ошол трафик үчүн текшерүүдөн качат, бул саясатты бузушу мүмкүн жана куралды ишенимдүү кылбайт.

Жыйынтыкты ар бир курал боюнча жазыңыз

Бинарды, анын окуган ишеним файлын, оюндагы чөйрө өзгөрмөсүн жана бекитилген өзгөчөлүктү тизмелеген кыска жазуу кийинки адамга бүт диагностиканы үнөмдөйт. Жазууну ноутбук боюнча эмес, курал боюнча кармаңыз, анткени өзгөргөн нерсе сейрек ноутбук болот.

Жана билетте эки сүйлөмдү өзүнчө кармаңыз: биз конкреттүү корпоративдик тамырды орноттук, жана биз текшерүүнү өчүрдүк. Алардын бирөө гана колдоо аракети.