Зөвхөн нууц үгтэй OpenVPN профайлд аль CA файл орох вэ?

Дөрвөн асуултыг дараалан гүйцэтгэвэл CA харилцах цонх хоёрдмол утгагүй болно. Оператор яг ямар материал олгосон, профайл юу агуулж байна, аль талбар асууж байна, файл ачаалсны дараа юу болох вэ? Операторын өөрийн заавраас хариулж чадахгүй эхний асуулт дээр зогсоорой, учир нь түүнээс цааш таамаглах нь нийтийн CA гэрчилгээг серверээс хэзээ ч гарах ёсгүй байсан хувийн түлхүүртэй хослуулах зам юм.

Дараалал чухал: сүүлийн хоёр асуулт ямар материал байх ёстойг мэдсэний дараа л утгатай.

Профайл юу агуулж байгаагаас эхэл

Профайлыг текст засварлагч дээр нээж, файл хайхаас өмнө ca блокыг хай. Операторын нийтийн CA агуулсан суулгасан ca блок нь профайл өөрөө хангалуун гэсэн үг бөгөөд CA файл хүсэж байгаа клиент өөр профайл эсвэл дутуу импортыг уншиж байж магадгүй. Хэрэв профайлд оронд нь зам руу заасан ca мөр байвал тэр зам зарим интеграцид клиентийн ажлын хавтаст харьцангуй, бусдад абсолют байна. Ямар хэлбэртэй байгааг тэмдэглэж, дараа нь ямар нэгэн зүйл өөрчил.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Профайл дурдсан файлуудын хувьд хүргэсэн багцыг шалга: CA гэрчилгээ, заримдаа тусдаа клиентийн гэрчилгээ болон түлхүүр, магадгүй tls-auth эсвэл tls-crypt файл. Дөрвөн файл дурдаад хоёртой ирсэн профайл дутуу бөгөөд талбарууд руу зааж ямар ч хэмжээгээр засагдахгүй. Санамсаргүй байгаа гэрчилгээг орлуулахын оронд оператороос дутуу хэсгийг нь гуй.

Материалын дөрвөн төрлийг ялга

CA гэрчилгээ нь серверийн хэн болохыг шалгахад хэрэглэдэг нийтийн материал. Клиентийн гэрчилгээ нь хэрэглэгч эсвэл төхөөрөмжийг серверт таниулна. Хувийн түлхүүр нь тэр клиентийн гэрчилгээний нууц хагас бөгөөд хэзээ ч CA-ийн гарын үсгийн түлхүүр эсвэл серверийн түлхүүр байх ёсгүй. tls-auth эсвэл tls-crypt материал нь хяналтын сувгийг хамгаалдаг тусдаа хуваалцсан нууц. Эдгээр дөрөв нь солигдохгүй бөгөөд CA талбарыг клиентийн гэрчилгээ рүү чиглүүлэх нь итгэлцлийн асуудал мэт харагдах шалгалтын алдаа үүсгэдэг.

Зөвхөн нууц үгээр баталгаажуулалт нь дөрвийн аль нь хэрэгтэйг өөрчилдөг, утга санааг нь биш. auth-user-pass болон remote-cert-tls server-тэй үед клиент серверийг CA-тай харьцуулан шалгас хэвээр байдаг тул клиентийн гэрчилгээ байхгүй ч CA талбар харагддаг. Клиентийн гэрчилгээ мөн шаардлагатай эсэхийг операторын бодлого шийдэх бөгөөд ямар ч харилцах цонх үүнийг танд хэлж чадахгүй.

Клиентийг итгэлцлийн файл руу чиглүүл

CA гэрчилгээний файлыг өөрөө сонго, түүнийг агуулсан хавтас эсвэл клиентийн хэн болохыг агуулсан .p12 багцыг биш. Windows дээр замын синтакс болон файл сонгогч нь ихэнх гарын авлагын Linux жишээнээс өөрөөр ажилладаг тул суулгасан клиент хүлээн авдаг аргыг хэрэглэж, файлыг ажиллуулж буй бүртгэл уншиж чадах эсэхийг баталгаажуул. Зөвшөөрлийн асуудал болон байхгүй файл харилцах цонхонд ижил харагдах боловч өөр лог мөр үүсгэдэг. Сонгосны дараа профайлын тохиргоог дахин нээж, клиент сонголтоо хадгалсан эсэхийг баталгаажуул.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Хэрэв клиент суулгасан блокыг дэмждэг бол гараар угсарсан профайлаас операторын суулгасан профайлыг илүүд үз. Суулгасан материал профайлтай хамт явж, дахин импортлоход тэсвэрлэдэг бол абсолют зам нь профайл өөр машин руу шилжих тэр мөчид эвдэрдэг.

Ижил алдааг биш, дараагийн алдааг унш

Зөв CA өгөх зорилго нь алдааг өөрчлөх, арилгах биш. CA ачаалсны дараах серверийн хэн болохын алдаа нь гэрчилгээ хүлээгдэж буй нэр эсвэл remote-cert-tls хүлээлтэд тохироогүй гэсэн үг бөгөөд энэ нь нууц үг татгалзахаас өөр засвар. Нууц үг татгалзах нь TLS давхарга амжилттай болж, итгэмжлэл буруу гэсэн үг. Эхний шинэ мессежийг хадгал; ашигтай нь тэр.

Холбогддог ч хаашаа ч хүрдэггүй клиент итгэлцлийг бүрэн давж, одоо чиглүүлэлт эсвэл DNS асуулттай тулгарч байна.

Тэр харилцах цонхноос гарахын тулд шалгалтыг хэзээ ч бүү унтраа. Ямар ч гэрчилгээг хүлээн авдаг клиент CA гуйх шалтгаангүй бөгөөд түүний барьж буй туннель нь операторын санаж байсан туннель биш.