നിങ്ങളുടെ VPN ക്ലയന്റ് ഒരു സർട്ടിഫിക്കറ്റിനെ വിശ്വസിക്കുന്നതിന് മുമ്പ് എന്താണ് പരിശോധിക്കുന്നത്
സർട്ടിഫിക്കറ്റ് മുന്നറിയിപ്പിനെ നിങ്ങളുടെ ക്ലയന്റ് പരിശോധിക്കുന്ന നാല് കവാടങ്ങളിലൂടെ കടത്തിവിടുക: CA വിശ്വാസം, ശൃംഖല നിർമ്മാണം, പിയർ നാമവും ഉദ്ദേശ്യവും, കൂടാതെ റദ്ദാക്കൽ നയം.
നിങ്ങളുടെ VPN ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് പരിശോധിക്കാനായില്ല എന്ന് പറയുന്നു, ഡയലോഗ് അവിടെ അവസാനിക്കുന്നു. ഫയൽ ഉണ്ട്, സെർവർ പ്രവർത്തിക്കുന്നു, അതേ പ്രൊഫൈൽ കഴിഞ്ഞ മാസം മറ്റൊരു ലാപ്ടോപ്പിൽ പ്രവർത്തിച്ചിരുന്നു. ആ ഒരു വരി മുന്നറിയിപ്പിന് കീഴിൽ ക്ലയന്റ് പിയർ സർട്ടിഫിക്കറ്റിനെ നാല് കവാടങ്ങളിലൂടെ കടത്തിവിട്ടു: നിങ്ങൾ കോൺഫിഗർ ചെയ്ത സർട്ടിഫിക്കറ്റ് അതോറിറ്റി ഒപ്പ് പാതയ്ക്ക് ഉറപ്പ് നൽകുന്നു, ആ പാത അതോറിറ്റിയിലെത്തുന്നു, പിയർ നാമം നിങ്ങൾ ആവശ്യപ്പെട്ടതാണ്, സർട്ടിഫിക്കറ്റ് ഇപ്പോൾ ഈ ഉദ്ദേശ്യത്തിന് ഉപയോഗയോഗ്യമാണ്. അടഞ്ഞ കവാടം കണ്ടെത്തുക, അറ്റകുറ്റപ്പണി സാധാരണയായി ഒരു ഫയലാണ്; ആ ഘട്ടം ഒഴിവാക്കിയാൽ ഉച്ചയ്ക്ക് ശേഷം മുഴുവൻ ബണ്ടിലുകൾ വീണ്ടും ഇറക്കുമതി ചെയ്യും.
പ്രൊഫൈൽ തിരുത്തുന്നതിന് മുമ്പ് ഡയലോഗ് വായിക്കുക
സർട്ടിഫിക്കറ്റ് പിശകുകളുടെ പദപ്രയോഗം താഴെയുള്ള ലൈബ്രറിയാണ് നിർമ്മിക്കുന്നത്, നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്ത VPN ഉൽപ്പന്നമല്ല, അതിനാൽ കൃത്യമായ സ്ട്രിംഗാണ് നിങ്ങളുടെ ആദ്യ തെളിവ്. «പ്രാദേശിക ഇഷ്യൂവർ സർട്ടിഫിക്കറ്റ് ലഭ്യമല്ല» പാതയെയോ വിശ്വാസ ആങ്കറിനെയോ സൂചിപ്പിക്കുന്നു. «സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെട്ടു അല്ലെങ്കിൽ ഇപ്പോഴും സാധുവല്ല» സമയത്തെ സൂചിപ്പിക്കുന്നു. «പിന്തുണയ്ക്കാത്ത സർട്ടിഫിക്കറ്റ് ഉദ്ദേശ്യം» വിപുലീകൃത കീ ഉപയോഗത്തെ സൂചിപ്പിക്കുന്നു. പേര് പൊരുത്തക്കേട് ഏത് പേരാണ് ആവശ്യമെന്ന് പറയുന്നു. നാലിൽ ഒന്നും ക്ലയന്റ് പുനഃസ്ഥാപിച്ചാൽ ശരിയാകുന്നില്ല.
എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് ലോഗ് നില ഉയർത്തുക. OpenVPN --verb 4 സഹിതം പ്രവർത്തിപ്പിക്കുമ്പോൾ ഹസ്തദാനത്തിന് ചുറ്റുമുള്ള പരിശോധന പരാജയം അറിയിക്കുന്നു, strongSwan അതിന്റെ ഐഡന്റിറ്റിയും ശൃംഖലയും സംബന്ധിച്ച തീരുമാനങ്ങൾ charon ലോഗിൽ എഴുതുന്നു. തുടർന്ന് നിങ്ങൾ ഏത് സർട്ടിഫിക്കറ്റാണ് പരിശോധിക്കുന്നതെന്ന് ഉറപ്പാക്കുക, കാരണം ആളുകൾ സാധാരണയായി ഡിസ്കിലുള്ള ഫയൽ പരീക്ഷിക്കുമ്പോൾ പ്രൊഫൈൽ പഴയ പകർപ്പ് ഉള്ളിൽ ഉൾപ്പെടുത്തുന്നു. പ്രൊഫൈൽ PEM ബ്ലോക്കുകൾ ഉൾപ്പെടുത്തുമ്പോൾ, ഉൾപ്പെടുത്തിയ സർട്ടിഫിക്കറ്റാണ് പരീക്ഷിക്കപ്പെടുന്നത്.
സർട്ടിഫിക്കറ്റ് അതോറിറ്റി ഐഡന്റിറ്റികൾക്ക് ഒപ്പിടുന്നു, അനുമതികൾക്കല്ല
അതോറിറ്റിക്ക് ഒരു പേരും ഒരു ഒപ്പ് കീയും ഉണ്ട്. അത് സ്വന്തം നയപ്രകാരം ഒരു പൊതു കീയെ ആ പേരിലേക്ക് ബന്ധിപ്പിക്കുന്ന സർട്ടിഫിക്കറ്റുകൾ നൽകുന്നു, സാധുതാ കാലയളവും ഉപയോഗ നിയന്ത്രണങ്ങളും ചേർത്ത്. ഇഷ്യൂവറെ തിരിച്ചറിയാൻ നിങ്ങളുടെ ക്ലയന്റിന് അതോറിറ്റിയുടെ സർട്ടിഫിക്കറ്റ് മാത്രം മതി; ഒപ്പ് കീ ഒരിക്കലും ആവശ്യമില്ല, ആ കീ ക്ലയന്റുകൾക്ക് അയച്ചാൽ വിന്യാസം വിശ്വസിക്കുന്ന ഏത് ഐഡന്റിറ്റിയും നിർമ്മിക്കാനുള്ള കഴിവ് അവർക്ക് ലഭിക്കും.
ഒരു അതോറിറ്റിയെ വിശ്വസിക്കുന്നത് അത് ഒപ്പിട്ട എല്ലാ സർട്ടിഫിക്കറ്റുകളെയും സ്ഥാനാർത്ഥികളാക്കുന്നു, ശരിയായ പിയറല്ല. അതേ ആന്തരിക CA-യുടെ ഒരു വെബ് സെർവർ സർട്ടിഫിക്കറ്റും സ്ഥാനാർത്ഥിയാണ്. അതുകൊണ്ടാണ് പേരിന്റെയും ഉദ്ദേശ്യത്തിന്റെയും കവാടങ്ങൾ ഉള്ളത്, വിട്ടുപോയ CA കീ ഏതൊരു ഒറ്റ സെർവറിനെക്കാളും പ്രധാനമാകുന്നത്: അത് അതോറിറ്റി എപ്പോഴെങ്കിലും നൽകിയ ഓരോ ഐഡന്റിറ്റിയിലും എത്തുന്നു. ഓരോ ഉപകരണത്തിനും പ്രത്യേകം ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് നൽകുക, അങ്ങനെ നഷ്ടപ്പെട്ട ലാപ്ടോപ്പ് മുഴുവൻ വിന്യാസത്തിന്റെ കീ പുനർനിർമ്മാണമല്ല, ഒരു റദ്ദാക്കലാകും.
ക്ലയന്റ് നിർമ്മിക്കാൻ ശ്രമിക്കുന്ന പാത വീണ്ടും നിർമ്മിക്കുക
പാത പിയർ സർട്ടിഫിക്കറ്റിൽ നിന്ന് ആരംഭിച്ച് പൂജ്യം അല്ലെങ്കിൽ കൂടുതൽ ഇടനില സർട്ടിഫിക്കറ്റുകളിലൂടെ നിങ്ങളുടെ വിശ്വാസ സംഭരണിയിലെ മൂലത്തിലെത്തുന്നു. കാണാത്ത ഇടനില സർട്ടിഫിക്കറ്റാണ് ഏറ്റവും സാധാരണ ശൃംഖല പരാജയം, ക്ലയന്റ് ഭാഗത്തുനിന്ന് അത് വിശ്വസിക്കാനാകാത്ത മൂലം പോലെ കാണുന്നു. ആദ്യം ഇല വായിക്കുക, പിന്നീട് അയയ്ക്കാൻ ഉദ്ദേശിക്കുന്ന വസ്തുവിൽ നിന്ന് OpenSSL പാത നിർമ്മിക്കട്ടെ.
openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crtപൂജ്യം എക്സിറ്റ് നില എന്നാൽ ആ ഫയലുകളിൽ നിന്ന് പാത നിർമ്മിച്ചു; പരാജയം എത്താനാകാത്ത സർട്ടിഫിക്കറ്റിനെ പേരിടുന്നു. openssl verify വിജയിക്കുമ്പോൾ ക്ലയന്റ് ഇപ്പോഴും നിരസിക്കുകയാണെങ്കിൽ, വ്യത്യാസം സെർവർ യഥാർത്ഥത്തിൽ അയയ്ക്കുന്നതിലോ പ്രൊഫൈൽ ഏത് വിശ്വാസ ഫയൽ ലോഡ് ചെയ്യുന്നു എന്നതിലോ ആണ്. OpenVPN-ൽ ഇടനില സർട്ടിഫിക്കറ്റുകൾ സെർവർ സർട്ടിഫിക്കറ്റ് ഫയലിനൊപ്പം സഞ്ചരിക്കാം അല്ലെങ്കിൽ --extra-certs ഉപയോഗിച്ച് വെവ്വേറെ നൽകാം, ഒരേ വിഷയ നാമത്തിൽ എഴുതിയ രണ്ട് മൂലങ്ങളുള്ള ബണ്ടിൽ നിങ്ങളുടെ ഒരു ക്ലയന്റിനെ തെറ്റായ ശാഖയിലേക്ക് അയയ്ക്കും.
പേരും ഉദ്ദേശ്യവും വെവ്വേറെ കവാടങ്ങളാണ്
ശൃംഖല നിർമ്മാണം ഒരിക്കലും പേര് നിങ്ങളുടേതാണോ എന്ന് ചോദിക്കുന്നില്ല. പ്രൊഫൈൽ --verify-x509-name സജ്ജമാക്കുമ്പോൾ മാത്രമാണ് OpenVPN അത് പരിശോധിക്കുന്നത്, കൂടാതെ കോമൺ നെയിം മാത്രം പൊരുത്തപ്പെടുത്തുന്ന പഴയ ശീലം ഐഡന്റിറ്റികൾ subjectAltName-ൽ ജീവിക്കുന്ന സർട്ടിഫിക്കറ്റുകളിൽ തകരുന്നു. IKEv2 വിന്യാസങ്ങൾ കോൺഫിഗർ ചെയ്ത ഐഡന്റിറ്റിയെ SAN എൻട്രികളുമായോ വേർതിരിക്കുന്ന നാമവുമായോ പൊരുത്തപ്പെടുത്തുന്നു, ക്ലയന്റിനെ ആശ്രയിച്ച്, വൈൽഡ്കാർഡോ %any മൂല്യമോ നിങ്ങൾ ഉണ്ടെന്ന് കരുതിയ താരതമ്യം നിശബ്ദമായി ഓഫാക്കുന്നു.
അടുത്തതായി സമയവും ഉദ്ദേശ്യവും വരുന്നു. ഘടികാരം കുറച്ച് മണിക്കൂർ മുന്നിലുള്ള ലാപ്ടോപ്പ് ഇപ്പോഴും സാധുവല്ലാത്ത സർട്ടിഫിക്കറ്റ് നിരസിക്കുന്നു, കാലഹരണപ്പെട്ട ഇടനില സർട്ടിഫിക്കറ്റ് ഇല സാധുവായിരിക്കെ പാത പരാജയപ്പെടുത്തുന്നു. ഉദ്ദേശ്യ പരാജയങ്ങൾ വിപുലീകൃത കീ ഉപയോഗത്തിൽ serverAuth ഇല്ലാത്ത സർട്ടിഫിക്കറ്റിൽ നിന്നോ ഹസ്തദാന ഒപ്പ് അനുവദിക്കാത്ത keyUsage-ൽ നിന്നോ വരുന്നു, അതിനെ OpenSSL പിന്തുണയ്ക്കാത്ത സർട്ടിഫിക്കറ്റ് ഉദ്ദേശ്യമായി റിപ്പോർട്ട് ചെയ്യുന്നു. ശരിയായ ടെംപ്ലേറ്റിൽ നിന്ന് വീണ്ടും നൽകുക; ആ സന്ദേശത്തിൽ പരിശോധന ഓഫാക്കാൻ ഒരു കാരണവുമില്ല.
ആരെങ്കിലും അത് കോൺഫിഗർ ചെയ്താൽ മാത്രമേ റദ്ദാക്കൽ പ്രവർത്തിക്കൂ
CRL അല്ലെങ്കിൽ OCSP പ്രതികരണം സ്വയമേവ പരിശോധിക്കപ്പെടുന്നില്ല. OpenVPN സെർവറിൽ --crl-verify ഒരു പട്ടികയിലേക്ക് ചൂണ്ടുമ്പോൾ മാത്രമാണ് ക്ലയന്റ് സർട്ടിഫിക്കറ്റുകൾ പട്ടികയുമായി താരതമ്യപ്പെടുത്തുന്നത്. സെർവർ സർട്ടിഫിക്കറ്റിന്റെ ക്ലയന്റ് ഭാഗ പരിശോധന നടപ്പാക്കലിനെ ആശ്രയിച്ചിരിക്കുന്നു, പലപ്പോഴും ഇല്ല. strongSwan-ന് പിയറിനായി CRL നോക്കുന്നതിന് മുമ്പ് അതിന്റെ റദ്ദാക്കൽ പ്ലഗിനും ഒരു നയവും വേണം.
അതാണ് ഒടുവിൽ നിങ്ങൾക്ക് ലഭിക്കുന്ന ടിക്കറ്റ് വിശദീകരിക്കുന്നത്: റദ്ദാക്കിയ ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് ഇപ്പോഴും ബന്ധിപ്പിക്കുന്നു, എല്ലാവരും റദ്ദാക്കൽ തകർന്നു എന്ന് കണ്ടെത്തുന്നു. ഒന്നും പരിശോധിക്കുന്നുണ്ടായിരുന്നില്ല. CRL പ്രസിദ്ധീകരിച്ച് പുതുക്കുക, അല്ലെങ്കിൽ ക്ലയന്റ് സർട്ടിഫിക്കറ്റുകൾ പഴയ റദ്ദാക്കൽ കുറച്ച് കാലം മാത്രം പ്രധാനമാകുന്നത്ര ചെറിയ ആയുസ്സുള്ളതാക്കി വയ്ക്കുക, സംഭവസമയത്ത് ആവശ്യമാകുന്നതിന് മുമ്പ് ലബോറട്ടറി സർട്ടിഫിക്കറ്റിൽ റദ്ദാക്കൽ പാത പരിശീലിക്കുക.
പരിശോധന ഓണായി നിർത്തുന്ന അറ്റകുറ്റപ്പണി ക്രമം
ഫയലുകളിൽ തൊടുന്നതിന് മുമ്പ് ലക്ഷണം അനുസരിച്ച് ക്രമീകരിക്കുക, കാരണം പട്ടികയിലെ ഓരോ വരിയും നിങ്ങളെ വേറെ ഒരു വസ്തുവിലേക്ക് അയയ്ക്കുന്നു.
| Client says | Most likely gate | First check |
|---|---|---|
| unable to get local issuer certificate | trust anchor or missing intermediate | your own openssl verify against the files the profile loads |
| expired or not yet valid | validity window | leaf and intermediate dates against the device clock |
| unsupported certificate purpose | extended key usage | serverAuth present, keyUsage allows the handshake |
| name mismatch | peer identity | subjectAltName entries versus the profile name |
പട്ടിക ഒരൊറ്റ പാസിൽ പൂർത്തിയാക്കുക: പ്രൊഫൈൽ ലോഡ് ചെയ്യുന്ന ഫയൽ ഉറപ്പാക്കുക, പാത സ്വയം നിർമ്മിക്കുക, സെർവർ ഇടനില സർട്ടിഫിക്കറ്റ് അയയ്ക്കുന്നുണ്ടെന്ന് പരിശോധിക്കുക, ഘടികാരം താരതമ്യം ചെയ്യുക, SAN വായിക്കുക, EKU വായിക്കുക, പിന്നീട് വീണ്ടും ബന്ധിപ്പിച്ച് അതേ ലോഗ് വരി അപ്രത്യക്ഷമാകുന്നത് കാണുക. ഒരു ഉപകരണത്തിന് CA ഒട്ടും നൽകാനാകുന്നില്ലെങ്കിൽ, പിന്നിംഗ് സത്യസന്ധമായ പകരമാണ്, കാരണം OpenVPN 2.6 --peer-fingerprint സ്വീകരിച്ച് പരിശോധന നീക്കം ചെയ്യുന്നതിന് പകരം വിശ്വാസം ഒരു കീയിലേക്ക് ചുരുക്കുന്നു. ഈ ഫീൽഡുകളിൽ ഓരോന്നിന്റെയും അർത്ഥത്തിന് RFC 5280 അവലംബമാണ്.