remote-cert-tls server: wat et an engem OpenVPN-Profil kontrolléiert

Dräi verschidde Froen gi vun dräi verschiddenen Deeler vun engem OpenVPN-Profil beäntwert, an dat vermëschen ass de Wee, wéi d'Leit schlussendlech eng Kontroll ausschalten, déi funktionéiert huet. Ass den Zertifikat vum Géigeniwwer vun der Autoritéit signéiert, där ech vertrauen? Deklaréiert deen Zertifikat d'TLS-Serverroll? Ass et dee geneeë Server, deen ech erreeche wollt? remote-cert-tls server äntwert nëmmen op déi mëttel Fro, an dat duerch d'Liesen vun den Ausbreedungen am Zertifikat.

Dräi Kontrollen, déi een am Kapp liicht vermëscht

De Vertrauensanker läit an der Direktiv ca. D'Rollkontroll gehéiert zu remote-cert-tls. D'Identitéitskontroll gehéiert zu verify-x509-name, wann e Profil se benotzt, oder zu watfir engem Nummkontroll d'Deployment derbäisetzt.

Si decken verschidde Feeler of:

E Profil ka vun allen dräi hunn an trotzdem schwaach sinn, wann d'CA ze wäit gedeelt gëtt, wat eng Fro vun der Schlësselverwaltung ass an net vun der Direktiv.

Wat d'Rollkontroll liest

D'Direktiv ass e Makro. Si entfalt sech zu enger Schlësselnotzungs-Ufuerderung an enger Ufuerderung fir erweidert Schlësselnotzung, déi d'TLS-Webserverroll nennt, also muss den Zertifikat vum Géigeniwwer deen Zweck tatsächlech deklaréieren. En Zertifikat, deen fir Client-Authentifikatioun ausgestallt gouf, erfëllt dat net, och wann déiselwecht Autoritéit béid signéiert huet.

Dat ass wichteg, well eng gedeelt CA a klengen Deploymente gewéinlech ass. Eng Autoritéit signéiert all Client an de Server, an ouni Rollkontroll kéint jiddereen vun deenen Zertifikaten d'Serversäit vum Handshake ofschléissen. D'Kontroll mécht dee Szenario net onméiglech, awer se hëlt déi trivial Versioun dovun ewech.

D'Direktiv ass bewosst asymmetresch: Cliente droen remote-cert-tls server, an Server droen remote-cert-tls client. Tauscht se aus an all Verbindung schléit mat engem Rollfeeler fehl, deen wéi en ze brokene Zertifikat ausgesäit.

Méi al Profiler benotzen heiansdo ns-cert-type fir deen Zweck. Aktuell Manuelsäiten behandelen déi Optioun als ersat, dofir e Profil, deen nach drop setzt, ass et wäert ze migréieren anstatt ze debuggen.

Firwat d'Ausschalten wéi eng Léisung fillt

Wann d'Rollkontroll fehlschléit, stoppt d'Verbindung mat engem Verifikatiounsfeeler an de scheinbare Schrëtt ass d'Linn ze läschen. D'Verbindung kënnt dann erop, wat wéi Fortschrëtt fillt an tatsächlech dee Feelmode ass, deen d'Direktiv existéiert fir ze verhënneren. Dir akzeptéiert elo e Géigeniwwer, deem säin Zertifikat ni fir déi Roll geduecht war.

Liest amplaz de Feeler. Hie nennt d'Kontroll, déi feelgeschloen ass, an den Zertifikat op der anerer Säit ka gepréift ginn, fir ze gesinn, wéi eng Ausbreedungen en tatsächlech dréit. Zwee Minute Lies entscheeden, ob de Feeler bei der Ausstellung oder an der Konfiguratioun läit. Rotsen kascht en Nomëtteg an endet meeschtens mat engem geschwächten Profil. En erneierten Serverzertifikat, deen seng erweidert Schlësselnotzung verluer huet, ass e richtege Feeler an der Erneierung, kee Grond de Client ze luesen.

D'Nummkontroll ass eng separat Direktiv

D'Rollkontroll z'erfëllen heescht, datt d'Géigeniwwer en irgende Server ass, deen vun Ärer Autoritéit signéiert gouf. Et seet näischt doriwwer, wéien, wat wichteg ass, wann déiselwecht CA Zertifikater fir verschidde Gatewaye ausstellt an eng dovun kompromittéiert oder ëmgeännert ass.

verify-x509-name vergläicht de Sujet vum Zertifikat mat engem Wäert, deen Dir konfiguréiert, mat Iwwersenkungsmodi fir e geneeë Sujet, e Präfix oder ee Feld. Benotzt d'Feld, dat den Gateway tatsächlech identifizéiert, an erwaart et bewosst z'aktualiséieren, wann den Numm sech ännert.

Keng vun den zwou Direktive ersetzt gutt Schlësselbehandlung. Wann d'Client-Schlësselfichier mam Profil ronderëm kopéiert gëtt, ass d'Identitéit vum Géigeniwwer just sou staark wéi d'Verdeelungslescht.

Iwwerpréift den Zertifikat, ier Dir de Profil ännert

Liest den Zertifikat vum Géigeniwwer an de Clientlog, an där Uerdnung. Den Zertifikat seet Iech, wéi eng Rollen en deklaréiert; de Log seet Iech, wéi eng Kontroll en ofgeleent huet.

Dës Kommandoen drécken d'Notzungsausbreedungen an d'Verifikatiounslinnen aus enger detailléierter Verbindung:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Wann d'Ausbreedungen d'Serverroll weisen an de Log nach ëmmer e Rollfeeler mellt, weist de Profil wahrscheinlech op déi falsch Zertifikatsfichier an net op en schlechten Zertifikat. Wann d'Ausbreedungen nëmmen d'Client-Authentifikatioun weisen, stoppt de Client ze kucken an fixéiert d'Ausstellung. Op jiddwer Fall restauréiert d'Kontroll, ier Dir d'Verbindung gesond nennt, well en erfolgräiche Handshake nom Entferne vun der Verifikatioun manner beweist wéi de Feeler, deen en ersat huet.