Тэр нийтлэгдсэн OpenVPN түлхүүр нь CA юу, түншийн түлхүүр үү, эсвэл tls-auth уу?

Хэн нэгэн VPN түлхүүр нийтэд нээлттэй гэж мэдээлдэг бөгөөд энэ өгүүлбэр нь огт өөр гурван нөхцөл байдлыг нуудаг. Энэ нь клиент бүрт байх ёстой CA гэрчилгээ, нэг машинаас хэзээ ч гарах ёсгүй байсан хувийн таних түлхүүр, эсвэл хоёр тал хоёулаа хадгалах ёстой удирдлагын сувгийн хуваалцсан нууц байж болно. Засвар, яаралтай байдал, хохирлын хэмжээ тохиолдол бүрт өөр тул эхний ажил нь үйлдэл биш, ангилал юм. Ангиллыг буруу тодорхойлбол дараагийн алхам бүр үрэгдсэн хөдөлмөр болно.

Файлын нэрээс биш, зааврын эхлэлээс эхэл

Идэвхтэй тохиргоог уншиж, аль заавар тухайн материал руу зааж байгааг ол. OpenVPN-ий TLS сонголтууд итгэмжлэгдсэн гэрчилгээний материалд ca, локал түншийн гэрчилгээнд cert, түүнд хамаарах хувийн түлхүүрт key ашигладаг.

Файлын нэр юу ч нотолдоггүй. key.pem нэртэй файл гэрчилгээ агуулж болно, профайл дахь суулгасан блок диск дээрх тусдаа файлтай яг ижил объектыг агуулж болно. Нэрэнд итгэхийн оронд файлыг нээж, толгой хэсгийг нь хар. Тэр нэг шалгалт тайлан дахь тодорхойгүй байдлын ихэнхийг арилгана.

Хэрэв профайл PKCS#12 багц бол түүнд үнэхээр юу байгааг харахын тулд хяналттай газар задлаарай. Нэг багц гэрчилгээ, түүний гинжин хэлхээ, хувийн түлхүүрийг агуулж болох бөгөөд энэ нь багцын алдагдал гурвын алдагдал гэсэн үг.

Хэн нэгэн файл өөрчлөхөөс өмнө ангиллыг бичиж үлдээ: объект, заавар, аль түншүүд түүнийг хадгалж байгаа, хэн уншиж болох. Үлдсэн хариулт нь энэ өгүүлбэрээс хамаарна.

CA гэрчилгээ нь хуваалцах зориулалттай

Нийтийн CA гэрчилгээ бол итгэлийн материал юм. Клиентүүд серверийг шалгахад хэрэгтэй бөгөөд түүнийг тараах нь хэвийн үзэгдэл, осол биш. Түүнийг нийтлэх нь CA-ийн хувийн гарын үсгийн түлхүүрийг нийтлэхгүй бөгөөд халдагчид шинэ таних тэмдэг үүсгэх боломж олгох объект нь яг тэр юм.

Энэ ялгааг тасалбарт тодорхой бичих нь зүйтэй, учир нь хоёрыг нь байнга андуурдаг. Хариулах ёстой асуулт нь алдагдсан файл гэрчилгээ мөн үү эсвэл гарын үсгийн түлхүүр үү, файлын агуулгад хийх хурдан харцаар үүнийг шийднэ. Гэрчилгээ нь нийтийн түлхүүр, гарын үсэг агуулдаг; гарын үсгийн түлхүүр түүнд огт харагддаггүй.

Тараалт нь анхаарал шаарддаг. Клиентүүд гэрчилгээг батлагдсан профайл хүргэх замаар авах ёстой, буулгах сайтаас биш, итгэмжлэгдээгүй замаар ирсэн гэрчилгээг замд сольж болно.

Түншийн түлхүүр болон tls-auth нууц нь нэг биш

Түншийн хувийн түлхүүр бол таних тэмдгийн материал юм. Түүнийг хуулсны дараа сервер зориулсан төхөөрөмжийг хуулбартай хэнээс ч ялгаж чадахгүй, учир нь нотлогдож байсан шинж нь онцгой эзэмшил байв. Зөвшөөрлийг үргэлжлүүлэх, солих нь VPN эзэмшигчийн шийдвэр, файлыг олсон хүнийх биш.

tls-auth нууц бол гурав дахь зүйл. Энэ нь удирдлагын сувгийн пакетуудыг тойруулан HMAC баталгаажуулалт нэмж, буруу баталгаажсан пакетуудыг TLS солилцооноос өмнө хаядаг бөгөөд энэ нь түншийн хувийн түлхүүр ч биш, програмын өгөгдлийг шифрлэдэг түлхүүр ч биш.

Хэрэв тэр хуваалцсан нууц нийтийнх бол түүний өгч байсан саад түүнтэй хүн бүрт алга болсон. Гэхдээ эзэмшигч бүр түүний ардах гэрчилгээ, хэрэглэгчийн шалгалтыг даваа гэж үүнээс гарахгүй, тиймээс ангилал нь дагч түвшнээс илүү чухал. Аль саад унасан, аль нь үлдсэнийг хэл.

Алдагдсан үүргийг зас, хөршийг биш

Хуваалцсан нууцыг файлын нэрийг сольж эсвэл татах холбоосыг нуух замаар дахин хувийн болгох боломжгүй. Солих гэдэг нь шинэ утга үүсгэж, зохицуулсан өөрчлөлтөөр түнш бүрт тараахыг хэлнэ, зөвхөн нэг талыг солих нь хуучин утгатай бүх хүний тохиролцоог эвдэнэ.

Хэрэв түншийн таних тэмдэг ил болсон бол тэр таних тэмдэгт операторын хүчингүй болгох, дахин бүртгэх үйл явцыг ашигла. Холбоогүй бүртгэлийн нууц үгийг солих нь хуулагдсан гэрчилгээг хүчингүй болгохгүй, tls-auth файлыг солих ч мөн адил.

Эдгээрийн аль нэгэнд найдахын өмнө байршуулсан сервер үнэхээр юуг хэрэгжүүлж байгааг батал. Шинэчлэгдээгүй хүчингүй болгох жагсаалт, эсвэл тасалдлын үеэр идэвхгүй болгосон үүргийн шалгалт хариултыг бүрмөсөн өөрчилнө. Агуулахын хуулбарыг биш, ажиллаж буй тохиргоог унш.

Өнгөрсөн урсгалыг өөрийн нөхцлөөр үнэл

Ил болсон файл нь өмнө нь барьж авсан сессүүдийг тайлж болох эсэхийг өөрөө хэлдэггүй. Энэ нь түлхүүр тогтоох арга, ил болсон материал, ямар бичлэг байгаагаас хамаарна, «бүх урсгал алдагдсан», «юу ч болоогүй» хоёулаа эдгээр баримтгүйгээр таамаг юм.

Итгэмжлэл аль ангилалд хамаарахыг асууж байхдаа өөр хуулбарыг нь нийтлэх хэрэггүй. Оронд нь батлагдсан дэмжлэгийн замаар зааврын нэр, нууц бус мета өгөгдлийг хуваалц.

Ашигтай дүгнэлт нь объект, түүний үүрэг, алдагдсан хамгаалалт, шаардлагатай зохицуулсан үйлдлийг нэрлэнэ. Үүнээс богино бүхэн гарчиг, үнэлгээ биш.