OpenVPN профайлд гурван гэрчилгээний блок байна: аль нь нууц вэ?

Нэг мөрийг өөрчлөхөөр .ovpn файлыг нээхэд бүгд нэвтрэх мэдээлэл мэт харагдах гурван base64 блок олдоно. Нэгийг нь нийтлэхэд аюулгүй, нөгөө нь нууц үг шиг мэдрэмтгий, гурав дахь нь хосоор нь өөр зүйлд гарын үсэг зураагүй бол юу ч илэрхийлэхгүй нийтийн түлхүүр юм. Блокууд солигдох боломжтой мэт харагддаг тул хүмүүс бүх файлыг дэмжлэгийн урсгалд наадаг, ингэснээр клиентийн түлхүүр нийтийн архивт үлддэг. Аль блок юу хийдгийг ялгах нь эдгээр профайлын эргэн тойрны будлианы ихэнхийг тайлбарлаж, аль алдааг та өөрөө засах ёстойг ч хэлнэ.

Нэг файл, гурван блок, өөр ажил

Энгийн профайл BEGIN ба END тэмдгийн хооронд ca блок, cert блок, key блок оруулдаг эсвэл мөнөөх гурвыг тусдаа файл гэж заадаг. Зарим профайл tls-auth эсвэл tls-crypt түлхүүрийн дөрөв дэх блокийг нэмдэг бөгөөд энэ нь гэрчилгээ биш, хуваалцсан нууц юм. Клиент блок бүрийг нэрлэсэн зааврын дагуу уншдаг тул шошго нь тэдний гарч ирэх дарааллаас чухал.

Угсарсан профайлыг дотроос нь үнэхээр харах хүртэл мэдрэмтгий гэж үзээрэй. Нийтийн гэрчилгээ болон хувийн түлхүүр нэг файлд хэдхэн мөрийн зайтай байж болох бөгөөд толгойг оруулсан дэлгэцийн зураг хоёуланг нь агуулж болно. Харагдах base64-ийг гараар далдлах нь ч найдваргүй, учир нь хэсэгчилсэн блок ч таны байршуулалтыг нэрлэсэн гэрчилгээний мета өгөгдлийг алдагдуулдаг. Гурван зааврыг утгагүйгээр хуулах нь ихэвчлэн ашигтай асуулт тавихад хангалттай.

Блокийн эргэн тойрны заавар тэдгээрийг хэрхэн ашиглахыг тодорхойлно. ca-г сольбол клиент өөр байгууллагад итгэнэ; key-г солихгүйгээр cert-г сольбол итгэлтэй ямар ч холбоогүй зөрүүгээр гар барилт бүтэлгүйтнэ.

CA блок нь нийтийн, CA түлхүүр хэзээ ч биш

Гэрчилгээний байгууллага нийтийн түлхүүрийг таних тэмдэгтэй холбосон гэрчилгээнд гарын үсэг зурдаг бөгөөд түүний өөрийн гэрчилгээ нь клиент гинжин хэлхээг итгэмжлэх эсэхийг шийдэх тулгуур юм. Энэ гэрчилгээ нь зохион бүтээлээрээ нийтийн: үүнийг профайл бүрт хамт илгээх нь хэвийн бөгөөд иймээс өөрөө гарын үсэг зурсан байршуулалт арилжааны байгууллагагүйгээр ажиллаж чаддаг.

Клиентийн профайлд хэзээ ч гарч болохгүй зүйл бол байгууллагын хувийн гарын үсгийн түлхүүр юм. Клиент үүнийг юу ч баталгаажуулахад хэрэглэхгүй бөгөөд байгаа нь профайлтай хэн бүхэн бүх байршуулалтад шинэ таних тэмдэг үүсгэж чадна гэсэн үг.

Байгууллагад итгэх нь сонсогдсоноос нарийн. CA-ийн гарын үсэг зурсан аливаа гэрчилгээг хүлээж авдаг клиент мөнөөх CA дээр өөр үйлчилгээнд олгосон гэрчилгээг ч хүлээж авна. Хүлээгдэж буй серверийн үүрэг эсвэл нэрийг бэхлэх сонголтууд энэ цоорхойг хаадаг бөгөөд TLS сонголтын лавлагаа үүнийг хийдэг шалгалтын заавруудыг жагсаадаг.

Серверийн болон клиентийн гэрчилгээ эсрэг чиглэлд заадаг

Серверийн гэрчилгээ нь клиент зөв төгсгөлийн цэгт хүрсэн эсэхийг батлахын тулд шалгадаг зүйл юм. Харин таны клиентийн гэрчилгээ эсрэгээр ажилладаг: энэ төхөөрөмж эсвэл хэрэглэгч өөрийн бүртгэсэн хүн мөн гэдгийг шийдэхэд сервер үүнийг ашигладаг. Ижил хэлбэр, эсрэг итгэлийн чиглэл.

Хаяг бол таних тэмдэг биш. Зөв IP-д хүрэх нь хэн хариулсныг юу ч нотлохгүй, тиймээс хост нэр эсвэл гэрчилгээний нэрийг шалгах нь профайлд хамаарах хэвээр. Бүртгэлийн нууц үг ч шаардлагатай клиентийн гэрчилгээг чимээгүй орлохгүй, учир нь хоёулаа өөр үе шатанд шалгагддаг бөгөөд байршуулалт хоёуланг нь шаардаж болно.

Клиентийн хувийн түлхүүр нь нууц хэвээр байх ёстой хэсэг юм. Хэрэв ил болсон байж болзошгүй бол зөөврийн компьютерээс файлыг устгах нь сервер дээр юу ч өөрчлөхгүй, сервер оператор цуцалтал холбогдох гэрчилгээг хүлээж авсар хэвээр байна. Оператороос тэр таних тэмдгийг солих эсвэл цуцлахыг хүсэх нь тантай хамт аялах цорын ганц шийдэл юм.

Ижил харагдах боловч ижил биш хоёр хүсэлт

Шифрлэсэн хэлбэрээр хадгалсан түлхүүр нь клиент ашиглахаас өмнө нууц хэллэг шаарддаг. VPN үйлчилгээ бүртгэлийн нууц үгийг тусад нь асууж болох бөгөөд хоёр хүсэлт хэдхэн секундын зайтай, бараг ижил үгээр гарч ирж болно. Нууц хэллэг диск дээрх файлыг хамгаална; нууц үг серверт бүртгэлийг нотолно. Хоёрыг андуурах нь тус болохгүй нууц үг сэргээх рүү хүмүүсийг илгээдэг.

Ямар нэг зүйлийг сэргээхийн өмнө хүсэлтийг уншина уу. Бүртгэлийн нууц үгийг сэргээх нь мартсан түлхүүрийн хэллэг, цуцалсан эсвэл хугацаа дууссан гэрчилгээнд юу ч хийхгүй, харин алдаа нь гэрчилгээний шалгалт үед нууц үгийг сэргээх нь хоёр минутын засварыг дэмжлэгийн хэрэг болгоно. Гомдолд хүчинтэй хугацааны огноо дурдвал эхлээд төхөөрөмжийн цагийг, дараа нь дурдсан гэрчилгээний өөрийн цонхыг шалгана уу.

Гэрчилгээ үнэхээр хугацаа дууссан бол орлуулалт нь түүнийг олгосон талаас ирэх ёстой. Өөр хүний түлхүүр шинэчлэлийн зам биш, ажиллаж буй профайлыг хамтрагчаас зээлэх нь ч тийм биш.

Цэвэр гар барилт юуг нотолж, юуг нотлохгүй вэ

Дууссан TLS гар барилтад хүрэх нь тохируулсан таних тэмдгийн харилцаа хадгалагдсан гэсэн үг: серверийн гэрчилгээ таны CA-тай холбогдож, таны гэрчилгээ хүлээн авсан. Энэ нь операторын бүртгэлийн бодлогын талаар юу ч хэлэхгүй, туннель боссны дараа таны програмууд ажиллах эсэхийг ч хэлэхгүй.

Маршрут ба DNS нь холболтын дараагийн үе шатууд тул амжилттай нэвтэрсний дараа хүрэхгүй дотоод сүлжээний хост нь гэрчилгээний биш, холболтын асуудал юм. Нэвтрэх мэдээллийг солихын оронд тэр давхарга дээр ажиллаж, профайлыг хэнд нэгэн өгөхдөө түүний гарал үүсэл, хувийн материал, таних тэмдгийн шалгалтыг хамт өгөөрэй.