VPN гэрчилгээг хуулах нь түлхүүрийг хуулахгүй

Энэхүү тайлбар нь хэрэглэгчийн гэрчилгээний жагсаалтаас эхэлдэг бөгөөд бичлэг нь зөвхөн нэр, олгогч, дуусах хугацааг харуулж, өөр юу ч байхгүй. Үүнийг экспортолж, хоёр дахь төхөөрөмжид импортлоход хэрэглэгч хувийн түлхүүрийг эзэмшиж байгаагаа баталж чадахгүй тул холболт татгалзагдана. Файл бүрэн хуулагдсан байсан; алдаа нь гэрчилгээ өөрийн түлхүүрийг авч явахыг хүлээхэд оршино. Форматыг сонгохын өмнө экспортын харилцах цонхыг уншаад, дараа нь үнэхээр хүлээн авсан файлаа шалгана уу.

Хоёр товшилт, хоёр огт өөр артефакт.

Файлын өргөтгөл биш, экспортын харилцах цонхыг уншаарай

DER эсвэл PEM гэрчилгээний экспорт нь нийтийн түлхүүр болон гарын үсэг зурсан таних мэдээллийн мэдэгдлийг агуулдаг бөгөөд энэ нь серверт танд итгэхэд, хэрэглэгчид серверийг шалгахад хэрэгтэй зүйл юм. PKCS#12 багц нь гэрчилгээ, түүний гинжин хэлхээ, харгалзах хувийн түлхүүрийг агуулж болох сав бөгөөд нууц үгээр хамгаалагддаг, гэхдээ түлхүүргүйгээр ч үүсгэж болно.

PEM бол зөвхөн текст кодчилол бөгөөд агуулгын талаарх амлалт биш. Нэг өргөтгөл нь ганц гэрчилгээ эсвэл хэд хэдэн шошготой блок бүхий файлыг тодорхойлж болох бөгөөд аль нь болохыг экспортын тохиргоо шийднэ.

Тиймээс хэрэгтэй асуулт нь ямар өргөтгөл авсан бэ гэдэг биш, файлд ямар блокууд байгаа вэ гэдэг юм. Түлхүүргүй экспортолсон багц ч багц хэвээр. Форматын алдар нэрийг биш, агуулгыг шалгаарай.

Үнэхээр юу авснаа шалгаарай

Ямар нэг зүйлийг импортлохын өмнө шошгыг хай, дараа нь гэрчилгээний талбаруудыг уншиж, ямар таних мэдээллийг барьж байгаагаа баталгаажуул. Шалгалтыг үнэхээр импортлогдох файл дээр хий. Дахин экспортлох бүрийн дараа давтаарай, учир нь тохиргоо өөр байж болно.

grep -E 'BEGIN (CERTIFICATE|PRIVATE KEY|ENCRYPTED PRIVATE KEY)' bundle.pem
openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -text | head -5
openssl pkcs12 -info -in client.p12 -noout

Зөвхөн гэрчилгээний блоктой экспорт бол нийтийн объект бөгөөд баталгаажуулж чадахгүй. Гэрчилгээгүй түлхүүрийн блок таныг серверийн хүлээж буй гинжин хэлхээгүй орхино. PKCS#12-ын мэдээллийн гаралт нь түлхүүр байгаа эсэхийг ч мэдээлдэг бөгөөд энэ нь тухайн форматны асуудлыг шийднэ. Энэ нь алгоритм болон түлхүүрийн хэмжээг ч нэрлэдэг бөгөөд түлхүүр байхгүй үед бүрэн бүтэлгүйтдэг.

Хувийн түлхүүр агуулсан файлыг дэмжлэгийн хэлэлцүүлэг, асуудлын хянагч эсвэл чатад хэзээ ч бүү наа, өмнө нь хуваалцсан гэрчилгээтэй төстэй харагдсан ч. Түлхүүрийн самбарын дэлгэцийн зураг ч мөн адил болгоомжлол шаардана.

Түлхүүр нь хуулж чадахгүй газар байж болно

Удирдлагатай төхөөрөмжүүдэд хувийн түлхүүр нь үйлдлийн системийн түлхүүрийн багц, техник хангамжийн токен эсвэл аюулгүй анклаватод байж болох бөгөөд бодлого нь үүнийг экспортлох боломжгүй гэж тэмдэглэдэг. Тэгвэл гэрчилгээний менежер нийтийн объектыг харуулж, нууц нь өөрийн газартаа үлдэж, ямар ч экспортын команд зөөврийн хуулбар үүсгэхгүй. Гар утасны төхөөрөмжийн удирдлагаар бүртгүүлэх нь ихэвчлэн яг ингэж ажилладаг.

Энэ бол хяналт, тойрч гарах саад биш. Нийтийн гэрчилгээнээс хувийн түлхүүрийг сэргээх боломжгүй бөгөөд үүнийг хийдэг гэж мэдэгддэг аливаа хэрэгсэл өөр зүйл хийдэг.

Хуулахын оронд шинэ таних мэдээлэл бүртгүүл

Дэмжигддэг зам нь ихэвчлэн шинэ төхөөрөмжид тусдаа таних мэдээлэл бүртгүүлж, хуучин төхөөрөмж ашиглалтаас гарах үед цуцлах юм. Ингэснээр төхөөрөмж бүрийг бие даан буцаан татаж болно. Түлхүүртэй экспорт үнэхээр зөвшөөрөгдсөн тохиолдолд үүссэн файл болон түүний нууц үгийг нэвтрэх мэдээлэл мэт хандаарай: тайван үед шифрлэгдсэн, итгэмжлэгдсэн сувгаар дамжуулсан, бүртгэл дуусахад устгасан.

Импортолсон таних мэдээллээр баталгаажуулж шалгаарай, импортын амжилтыг хараад биш. Нийтийн гэрчилгээг өөрийн санд хүлээн авсан хэрэглэгч түлхүүрийн талаар юу ч батлаагүй.

Сервер шинэ таних мэдээллийг хүлээн авч, хуучин нь бодлогын зорьсончлон ажиллаж байгааг баталгаажуулж дуусга. Ингэснээр энэхүү тайлбар зөв харагдах файлаар биш, нотолгоогоор төгсдөг.