Ижил ca.crt файлын нэр, өөр сертификат: юуг харьцуулах вэ

Хоёр профайл хоёулаа ca.crt нэртэй файл авчирдаг бөгөөд нэг туннель босч, нөгөө нь гинжин алдаатайгаар бүтэлгүйтдэг. Хоёр файлыг зэрэгцүүлэн нээх нь үүнийг ховор шийддэг бөгөөд баталгаажуулалтыг унтраах нь буруу чиглэлд шийддэг. Алдааны үнэхээр асууж буй асуулт илүү нарийхан: процесс бүр ямар сертификатыг өөрийн итгэлийн зангуу болгон ачаалдаг, тэдгээр нь нэг объект мөн үү? Эхлээд үүнд хариулбал бусад оношлогоо чиглэлтэй болно. Файлын нэр бол сав баглааны шошго бөгөөд профайлд бичсэн зам ч мөн эрх мэдэлтэй биш, тиймээс бүх зүйл процесс үнэхээр юу уншиж байгаагаас хамаарна.

Клиент үнэхээр ачаалж буй сертификатыг ол

OpenVPN эрх мэдлийг хоёр хэлбэрээр хүлээж авдаг бөгөөд хэлбэр нь аль байт чухал болохыг тодорхойлдог. Профайл нь ca-ээр гадаад файл руу зааж болно, эсвэл сертификатыг профайлын доторх <ca> блокт оруулж болно. Хоёулаа байвал оруулсан блок ялж, профайлын хажууд байгаа файл хэзээ ч нээгдэхгүй.

Унаж буй профайлыг уншиж, ямар нэг зүйлийг харьцуулахын өмнө аль хэлбэрийг ашиглаж байгааг олж мэдээрэй. Хөрш каталог эсвэл нөгөө профайл ирсэн багцаас авсан хуулбар нь энэ процесс юунд итгэдэг тухай танд юу ч хэлэхгүй. Конфигурац дахь замд ч мөн адил: тэр нь клиент эхэлсэн газартай харьцуулан шийдэгддэг бөгөөд энэ нь таны харж буй каталог байх албагүй. Профайлыг унш, хавтасыг биш.

Сертификатуудыг агуулгаар нь танидаг: нийтийн түлхүүр, субъект ба олгогч, хүчинтэй байх хугацаа, мөн энэ бүхний дээрх гарын үсэг. Ижил байттай хоёр файл ямар ч нэртэй байсан ижил сертификат бөгөөд ижил нэртэй хоёр файл хамааралгүй эрх мэдэл байж болно. Нэр бол сав баглааны шошго, таних тэмдэг биш.

Хоёр хуулбарын хурууны хээг openssl-ээр ав

Хурууны хээ нь сертификатын DER кодлолын дээрх хэш буюу гарын үсгийн хамрах хэлбэр тул мөрийн төгсгөл, толгойн текст түүнд нөлөөлж чадахгүй. Файл бүрд тооцоод үзвэл та хоёр цэгээр тусгаарлагдсан хоёр арван зургаатын мөр авна, тэдгээр нь тохирч байна уу, үгүй юу. Харьцуулах асуултад хариулахад сертификатад өөр юу ч унших шаардлагагүй.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl-ийг профайл руу шууд чиглүүлэх нь уруу татагдах боловч тэр файлд хамгийн түрүүнд тохиолдох сертификатын блокийг уншдаг бөгөөд профайл ихэвчлэн <cert>-ийг <ca>-оос өмнө агуулдаг. Эрх мэдлийн блокийг гаргаж аваад, дараа нь гаргаж авсан файлын хурууны хээг ав, учир нь клиент үнэхээр ашиглах хуулбар нь тэр.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Ижил хурууны хээ нь итгэлийн материал ижил бөгөөд гинжин алдаа өөр шалтгаантай гэсэн үг, энэ нь өөр мөрдөн шалгалт. Өөр хурууны хээ нь өөр сертификат гэсэн үг бөгөөд дараагийн хэсэг тэндээс эхэлнэ.

Халдлага гэж үзэхийн өмнө зөрүүг унш

Өөр хурууны хээ нь өөр сертификат гэсэн үг бөгөөд үүнээс илүү зүйл биш. Дахин олголт, эргэлт, нэр солигдсон эрх мэдэл эсвэл хуучирсан багц бүгд бүрэн хууль ёсны түүхтэй өөр файл үүсгэдэг. Аль нь байршуулалтад хамаарах нь оператор эсвэл байршуулалтын бүртгэл-ийн асуулт бөгөөд файлын өөрчлөлтийн цагийн асуулт биш. Архивууд цагийн тэмдэглэгээг хуулдаг тул шинэ файл автоматаар зөв зангуу болохгүй.

Өөртөө гарын үсэг зурдаг үндэс нь хэвийн тул нэгийг олсон нь асуудлын баталгаа биш. Шалгагчийн ажил серверийн сертификатаас түүнд өгсөн зангуу хүртэл зам барих бөгөөд гинжин алдаа ихэвчлэн тэр замыг дуусгаж чадаагүйг илэрхийлнэ.

Унаж буй профайлын зангуу нь байршуулалт одоо ч олгож буй эрх мэдэл мөн эсэхийг шалга. Хэрэв хурууны хээ байршуулалтын бүртгэлд юутай ч тохирохгүй бол профайл зүгээр л хуучирсан бөгөөд клиент талын ямар ч тохируулга үүнийг засахгүй.

Баталгаажуулалтыг унтраалгүйгээр итгэлийг сэргээ

Богино хугацааны шийдэл нь баталгаажуулалтыг унтраах эсвэл гинжин дэх сертификат бүрийг зангуу болгон нэмэх юм. Хоёулаа мессежийг алга болгож, хоёулаа клиент цаашид ямар серверийг хүлээж авахыг өөрчилдөг. Баталгаажуулалтыг дахин асааж, зорьсон зангууг суулгаад дахин туршаад үз.

Хэрэв гинж одоо бүрдэж байгаа ч өөр алдаа гарч байвал энэ бол урагшлах хөдөлгөөн: нэрийн баталгаажуулалт, хүчинтэй хугацаа, хүчингүй болголт нь тусдаа мессежтэй тусдаа шалгалтууд юм. Хурууны хээний хос болон анхны алдааны текстийг тасалбарт хамт хадгал, ингэснээр дараагийн хүн ямар зангуу ачаалагдсан, алийг нь хүлээж байсныг харна. Хос хурууны хээ нь шилжүүлгийн тэмдэглэлд наахад хангалттай жижиг бөгөөд дараагийн тохиолдол тэр үед хагас өдрийн оронд таван минут болно.

Зөв эрх мэдлийг профайлыг хүргэсэн тэр баталгаажсан сувгаар ав. Субъект нь танил харагдаж байгаа учраас серверээс сертификат татаж авах нь өөр үйлдэл бөгөөд клиент юунд итгэхийг чимээгүйгээр өргөжүүлдэг.