VPN кардарыңыз сертификатка ишенүүдөн мурун эмнени текшерет

VPN кардарыңыз сертификатты текшерүү мүмкүн болбогонун билдирет, жана диалог ошол жерде токтойт. Файл бар, сервер иштеп турат, жана ошол эле профиль өткөн айда башка ноутбукта иштеген. Ошол бир сап эскертүүнүн астында кардар шериктин сертификатын төрт дарбазадан өткөрдү: сиз конфигурациялаган сертификат органы кол тамга жолуна кепилдик берет, ал жол органга жетет, шериктин аты сиз сураган ат, жана сертификат азыр ушул максат үчүн жарактуу. Жабылган дарбазаны табыңыз, ал эми оңдоо адатта бир файл; бул кадамды өткөрүп жиберсеңиз, түштөн кийин пакеттерди кайра импорттойсуз.

Профилди оңдоодон мурун диалогду окуңуз

Сертификат каталарынын тексттерин астындагы китепкана түзөт, сиз орноткон VPN продуктусу эмес, ошондуктан так сап биринчи далилиңиз. «Жергиликтүү чыгаруучунун сертификатын алуу мүмкүн эмес» жолго же ишеним таянычына көрсөтөт. «Сертификаттын мөөнөтү бүткөн же азырынча жарактуу эмес» убакытка көрсөтөт. «Сертификаттын максаты колдоого алынбайт» кеңейтилген ачкыч колдонулушуна көрсөтөт. Аттын дал келбестиги ал кайсы атты каалаанын айтат. Төртөөнүн эч бири кардарды кайра орнотуу менен оңдолбойт.

Бир нерсени өзгөртүүдөн мурун журнал деңгээлин көтөрүңүз. OpenVPN аны --verb 4 менен иштеткенде кол алышуу айланасындагы текшерүү катасын билдирет, ал эми strongSwan өзүнүн инсандык жана чынжыр чечимдерин charon журналына жазат. Андан кийин кайсы сертификатты текшерип жатканыңызды ырастаңыз, анткени адамдар адатта дисктеги файлды текшеришет, ал эми профиль эски көчүрмөнү ичине салат. Профиль PEM блокторун ичине салганда, текшерилүүчү сертификат — ичине салынган сертификат.

Сертификат органы инсандыктарга кол коёт, уруксаттарга эмес

Орган атты жана кол тамга ачкычын кармайт. Ал өз саясаты боюнча ачык ачкычты ошол атка байланыштырган сертификаттарды берет, аларга жарактуулук терезеси жана колдонуу чектөөлөрү кошулат. Кардарыңызга чыгаруучуну таануу үчүн органдын сертификаты гана керек; ага кол тамга ачкычы эч качан керек эмес, жана бул ачкычты кардарларга жөнөтүү аларга жайылтуу ишенген каалаган инсандыкты жасоо мүмкүнчүлүгүн берет эле.

Органга ишенүү анын кол койгон ар бир сертификатын талапкер кылат, туура шерикти эмес. Ошол эле ички CAнын веб-сервер сертификаты да талапкер. Ошондуктан ат жана максат дарбазалары бар, жана ошондуктан бузулган CA ачкычы каалаган жалгыз серверден маанилүү: ал орган эч качан берген ар бир инсандыкка жетет. Кардар сертификаттарын ар бир түзмөккө өзүнчө бериңиз, ошондо жоголгон ноутбук бүт жайылтуунун ачкычын кайра жасоо эмес, бир жокко чыгаруу болот.

Кардар курууга аракет кылган жолду кайра куруңуз

Жол шериктин сертификатынан башталып, нөл же андан көп аралык сертификаттар аркылуу ишеним кампаңыздагы тамырга жетет. Жетишпеген аралык сертификат — эң көп кездешүүчү чынжыр бузулушу, жана кардар тарабынан ал ишенимсиз тамыр сыяктуу эле көрүнөт. Адегенде жалбыракты окуңуз, андан кийин OpenSSL жөнөтүүнү пландаган материалдан жолду курсун.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Чыгуу абалы нөл болсо, жол ошол файлдардан курулган; ийгиликсиздик жетпеген сертификатты атайт. Эгер openssl verify ийгиликтүү болуп, кардар дагы баш тартса, айырма сервердин чындыгында эмне жөнөткөнүндө же профиль кайсы ишеним файлын жүктөгөнүндө. OpenVPNде аралык сертификаттар сервер сертификатынын файлы менен кошо жүрө алат же --extra-certs менен өзүнчө берилет, ал эми бир субъект атынын астында жазылган эки тамыры бар топтом кардарларыңыздын бирин туура эмес бутакка жөнөтөт.

Ат жана максат өзүнчө дарбазалар

Чынжыр куруу эч качан ат сиздикиби деп сурабайт. OpenVPN аны профиль --verify-x509-name орноткондо гана текшерет, ал эми жалпы атты гана дал келтирүү адаттуулугу инсандыктары subjectAltNameде жашаган сертификаттарда бузулат. IKEv2 жайылтуулары конфигурацияланган инсандыкты SAN жазуулары менен же айырмаланган ат менен дал келтирет, кардарга жараша, ал эми wildcard же %any мааниси сиз бар деп ойлогон салыштырууну үнсүз өчүрөт.

Андан кийин убакыт жана максат келет. Сааты бир нече саат алдыда жүргөн ноутбук азырынча жарактуу эмес сертификатты четке кагат, ал эми мөөнөтү бүткөн аралык сертификат жалбырак жарактуу болсо да жолду иштен чыгарат. Максат каталары кеңейтилген ачкыч колдонулушунда serverAuth жок сертификаттан же кол алышуу кол тамгасына уруксат бербеген keyUsageден келет, аны OpenSSL колдоого алынбаган сертификат максаты катары билдирет. Туура шаблондон кайра чыгарыңыз; бул билдирүүдө текшерүүнү өчүрүүгө эч кандай себеп жок.

Жокко чыгаруу аны бирөө конфигурациялаганда гана иштейт

CRL же OCSP жообу автоматтык түрдө каралбайт. OpenVPN серверинде кардар сертификаттары тизме менен --crl-verify аны көрсөткөндө гана салыштырылат. Сервер сертификатын кардар тарабынан текшерүү ишке ашырууга байланыштуу жана көбүнчө жок. strongSwan шерик үчүн CRLге карардан мурун өзүнүн жокко чыгаруу плагинин жана саясатын талап кылат.

Бул акырында ала турган билетиңизди түшүндүрөт: жокко чыгарылган кардар сертификаты дагы эле туташат, жана баары жокко чыгаруу бузулган деп жыйынтыкташат. Эч нерсе текшербей жаткан. CRLди жарыялап, жаңыртыңыз, же кардар сертификаттарын эскирген жокко чыгаруу кыска убакытка гана маанилүү болгондой кыска мөөнөттүү кармаңыз, жана окуя учурунда керек болоордон мурун жокко чыгаруу жолун лабораториялык сертификатта машыктырыңыз.

Текшерүүнү күйүк тутуучу оңдоо тартиби

Файлдарга тийүүдөн мурун белги боюнча иреттеңиз, анткени таблицанын ар бир сабы сизди башка объектиге жөнөтөт.

Тизмени бир өтүүдө аткарыңыз: профиль жүктөгөн файлды ырастаңыз, жолду өзүңүз куруңуз, сервер аралык сертификатты жөнөтөөрүн текшериңиз, саатты салыштырыңыз, SANды окуңуз, EKUну окуңуз, андан кийин кайра туташып, ошол эле журнал сабынын жоголушун байкаңыз. Эгер түзмөккө CA такыр берилбесе, бекитүү ак ниеттүү балама, анткени OpenVPN 2.6 --peer-fingerprint параметрин кабыл алып, текшерүүнү алып салуунун ордуна ишенимди бир ачкычка чейин тарылтат. RFC 5280 — ошол талаалардын ар бири эмнени билдиреринин шилтемеси.