Windows'то OpenVPN 3 жана Connect ичинде cryptoapicert эмне үчүн иштебейт

Сиз иштеп жаткан OpenVPN 2 профилин жаңыраак Windows кардарына көчүрөсүз, жана эски кардар өзү тапкан сертификат мындан ары сунушталбайт. Муну мүмкүн кылган сап — Community 2 кардарына таандык Windows'ко гана тиешелүү тандагыч, ал эми жаңы тиркеме башка ырастоо жолу бар башка программа. Профиль ошол бир саптан башка өзгөргөн эмес, жана айырманы байкоону кыйындаткан да ушул.

Бул отчётто үч катмар аралашат: Community кардары, негизги китепкана жана кимдир бирөө орноткон фронтенд. Алардын бирөө гана бул директиваны түшүнгөн.

Бул параметр бар жерде эмнени билдирет

Windows'тогу Community OpenVPN 2 кардарында cryptoapicert кардар файлдан эмес, Windows сертификат кампасынан табышы керек болгон сертификатты атайт. Бул Windows'ко гана тиешелүү ыңгайлуулук жана ал иштейт, анткени бул кардар кампаны тизмелеп, алынган ачкычты өзүнүн TLS стегине берүүнү билет. Ошондуктан директива ошол кардардын конфигурация тилинин бөлүгү, OpenVPN протоколунун касиети эмес. Берүү форматында аны ташыган эч нерсе жок.

Ошол эле сапты башка тиркемеге көчүрсөңүз, жаңы программа талдай, этибарга албай же четке кага турган сөздү көчүрдүңүз. Директива протокол өзгөчөлүгү эмес, жана бул атүгүл OpenVPN тилинде сүйлөгөн ар бир кардардын өзгөчөлүгү да эмес.

Анын ордуна негизги китепкана эмнени сунуштайт

OpenVPN 3 Core — башка тиркемелер киргизген китепкана, ал сырткы ырастоолорду кампа издөө аркылуу эмес, API аркылуу иштетет. Киргизүүчү тиркеме сертификаттар тизмегин берет, кийин китепканадан сырткы ачкыч менен кол коюуну суранат, ал эми китепкана муну аткаруу үчүн тиркемеге кайра чакырат. Бул кененирээк дизайн, жана кайсы провайдерлер бар экенин фронтенд чечет дегенди билдирет. Китепкананын өз параметрлерин иштетүүдө cryptoapicert ишке ашырылбаган директивалардын арасында көрүнөт, бул жоопкерчиликтин ушундай бөлүнүшүнө туура келет.

Бул кайтарым чакыруулардын болушу берилген таңгакталган тиркеме азыркы колдонуучунун жеке кампасын тизмелейт, белгилүү бир ачкыч провайдерин колдойт же смарт-карта сурамын бүтүрө алат дегенди билдирбейт. Булар фронтенддин касиеттери, жана ар бирин фронтенд документтештириши керек.

Анын ордуна Windows фронтенди эмне кылат

OpenVPN Connect башка жолду тандайт: оператор PKCS#12 файлын импорттойт анда сертификат жана анын жеке ачкычы бар, аны ушул максат үчүн түзүлгөн OpenVPN Certificate Store'го салат, анан сырткы сертификатты профилге дайындайт. Бул атайын импорт кадамы, жеке кампадагы кокустан бар нерсени автоматтык табуу эмес. Айырма башка максат үчүн орнотулган сертификат кардардын тизмесинде жөн гана пайда болот деп кимдир бирөө ойлогондо маанилүү.

Импорттун ачкыч саясатына да кесепети бар, анткени ачкычты P12 файлына экспорттоо — экспорттолбой турган ачкыч дал ушундан качуу үчүн жасалган. Бул конфигурация эмес, саясат маселеси, жана кимдир бирөө импортту сынап көрүүдөн мурун жоопко татыктуу.

Ачкычтын саясатына туура келген жолду тандаңыз

Эгер ырастоо экспорттолуучу болсо жана саясат документтештирилген импортко жол берсе, уюмдун корголгон каттоо процессин колдонуңуз жана убактылуу P12 менен анын сырсөзүн журналдардан жана скрипттерден тышкары кармаңыз. Эгер ачкыч эч качан смарт-картадан же корголгон провайдерден чыкпашы керек болсо, бул талапты ачык колдогон кардар менен провайдердин айкалышын тандаңыз, же орноткон версияңыз үчүн жеткирүүчүдөн ырастоо алыңыз. Эки булактын бири да экинчисинин ордун баспайт.

Директиваны профилге кайра кошуу тиркемеде жок интеграцияны бере албайт. Жаңыраак кардар версиясы да аны сөзсүз кошпойт, анткени жөндөм фронтенддин өз дизайнына таандык.

Жергиликтүү ачкыч иштегенден кийин да сервер сертификаттын инсандыгын, тизмекти жана укукту текшерет. Колдонууга жарактуу жергиликтүү ачкыч менен кабыл алынган VPN инсандыгы өзүнчө жыйынтыктар, жана аларды өзүнчө кармоо фронтенддин чектөөсү начарлаган сертификат саясатына айланышына жол бербейт.