VPN гэрчилгээний түлхүүрийг гаргалгүйгээр шалгах

Гэрчилгээний нийтийн талбаруудыг уншихад түүнд тохирох хувийн түлхүүрийг харуулах шаардлага хэзээ ч гарахгүй бөгөөд үүнийг хийх хэрэгсэл нь VPN-ийг дуусгадаг бүх системд байдаг. Эрсдэл нэг алхам эрт байна: танд өгсөн файл гэрчилгээ огт биш байж болно. PEM гэрчилгээ, DER блок, PKCS#12 багц болон OpenVPN профайл нэг ижил нэртэй ирж, огт өөр материал агуулж болох тул командыг сонгохын өмнө савыг нь тодорхойл.

Гурван баримт аль команд аюулгүй болохыг шийднэ: файл юу агуулж байгаа, түүнээс юу унших шаардлагатай, гаралтыг хэн харах. Аль нэгийг нь буруу хийвэл шалгалт өөрөө осол болно.

Танд гурван файлын алийг нь өгсөн бэ

PEM гэрчилгээ нь BEGIN болон END тэмдэг харагдах текст, DER файл нь оролтын форматын флаг шаарддаг хоёртын файл, харин багц нь гэрчилгээний дэргэд түлхүүр агуулж болох сав юм. file server.crt нь текст ба хоёртын файлыг секундэд ялгаж, эхний мөрийг харахад энгийн гэрчилгээг өөртөө гэрчилгээ агуулсан профайлаас ялгана. Энд таамаглах нь шалгалтыг осол болгодог зүйл юм.

Хэрэв файл гэрчилгээ биш профайл бол үүнийг нотлогдох хүртэл итгэмжлэл гэж үз. Энэ таамаглал ямар ч зардалгүй бөгөөд энэ бүх ажлын хамгийн түгээмэл алдааг сэргийлнэ.

PEM гэрчилгээний нийтийн талбаруудыг унших

Таны шалгах эрхтэй гэрчилгээний хувьд -noout бүхий x509 дэд команд нь таны сонгосон талбаруудыг л хэвлэж, өөр юу ч хэвлэхгүй. Их биеийг дарах нь гаралтыг метадата хэвээр байлгах бөгөөд энэ нь бас түүнийг тасалбарт хуулахыг аюулгүй болгодог. Доорх сонголтууд нь нийтийнх бөгөөд openssl x509 баримт бичиг бусад сонголтыг жагсаав.

openssl x509 -in server.crt -noout -subject -issuer -dates -fingerprint -sha256

Локалд үүсгэсэн туршилтын гэрчилгээн дээр энэ команд субъект ба издагчийн мөр, notBefore ба notAfter хос, нэг SHA-256 хурууны хээг хэвлэнэ. Эдгээр талбар нь объектыг тодорхойлно; тэд хүчинтэй итгэлцлийн зам тогтоохгүй, учир нь энэ нь өөрийн команд, өөрийн хариулттай тусдаа баталгаажуулалтын ажил юм. Гинжин файл нь өөрөө давтахгүй л бол зөвхөн эхний гэрчилгээг хэвлэж болно. Хоёр файлыг ингэж харьцуулах нь нэг команд зарцуулж, нөгөө тал аль файлыг үнэхээр тавьж байгааг тогтооно.

Гэрчилгээний дэргэд түлхүүр агуулдаг багцууд

.p12 эсвэл .pfx файл хувийн түлхүүр агуулж болох бөгөөд гаралтын энэ хэсгийг дарахгүй л бол задлан шинжлэх команд түүнийг хэвлэнэ. -nokeys-тэй ижил команд савны бүтцийг, түүний дотор бүрхэг түлхүүрийн цүнхийг, ямар ч түлхүүрийн материал гаргалгүй мэдээлсээр байна; энэ флагийг хасахад түлхүүрийн блок таны терминалд болон shell-ийн түүхэнд гарч ирнэ.

openssl pkcs12 -in bundle.p12 -nokeys -info -passin env:P12PASS

OpenVPN профайл ижил материалыг текстээр агуулдаг тул хаанаас харахаа мэдвэл хил нь харагдана. Нийтийн материал нь BEGIN CERTIFICATE ба END CERTIFICATE хооронд байх ба BEGIN PRIVATE KEY ба түүнд тохирох END мөрийн хоорондох бүхэн нь түлхүүр бөгөөд хостоос гарах ёсгүй. Профайлыг бүхэлд нь хуулах нь хоёуланг нь нийтэлнэ.

Лавлах утгыг өөр газраас авах

Баталгаажуулахыг оролдож буй холболтоос уншсан хурууны хээ юу ч нотлохгүй, учир нь үүнийг таны итгэхгүй байгаа тал өгсөн. Энэ нь хурууны хээний эсрэг аргумент биш; энэ бол гарал үүслийн тухай аргумент. Утгыг нөгөө тал бичиж чадахгүй сувгаар авсан утгатай харьцуул, жишээ нь дотоод репозиторид нийтэлсэн гэрчилгээ эсвэл гарын үсэгтэй өөрчлөлтийн бүртгэлд хэвлэсэн хэштэй.

Итгэлцлийн сан баталгаажуулалт хийж байвал хийгээсэй, та өөрийн харьцуулалтаар орлуулахын оронд түүний гаргасан алдааг унш. Чухал ялгаа нь лавлагааг хэн өгсөн бэ, аль хэш функц ашигласан бэ гэдэг биш.

Үр дүнг хуваалцах, алдаа гарсны дараа юу хийх

Баталгаажуулалтын яг алдаа, холбогдох огноо, хүлээн авагчид хэрэгтэй таних мэдээллийг л илгээ. Дотоод хост нэр, бүртгэлийн танигч нь түлхүүр байхгүй ч мэдрэмтгий хэвээр байх бөгөөд нийтийн paste үйлчилгээ нь эдгээрийн аль ч хэсэгт тохиромжгүй газар юм. Тасалбарт хуул, өөр хүний хуваалцдаг түр буферт биш.

Хэрэв түлхүүрийн материал дэлгэц эсвэл файлд үнэхээр гарсан бол түүнийг эвдэрсэн гэж үзэж, хэн ч хараагүй гэж найдахын оронд эргүүл. Дараа нь шалгасан файл, ашигласан команд, гаралт хаашаа явсныг бичиж тэмдэглэ, учир нь энэ бүртгэл нь айдасыг журам болгоно. Эргүүлэх нь хэн ч дэлгэцийн зураг авч үлдээгүй гэж үзэх зардлын дэргэд хямд бөгөөд ижил бүртгэл дараагийн инженерт аль файлд огт хүрснийг хэлнэ. Тасалбар хаагдахаас өмнө хоёуланг нь хий.