Клиентийн гэрчилгээгүй OpenVPN: серверийн бодлого, профайл биш

Та гэрчилгээ болон түлхүүрийн мөрүүдийг устгаж, профайлыг хүлээлгэн өгдөг, гэвч холболт гэрчилгээний алдаатайгаар бүтэлгүйтсээр байна. Профайл хэзээ ч тэр шаардлагыг хэрэгжүүлж байсан зүйл биш. Клиентийн гэрчилгээ заавал байх эсэхийг сервер шийддэг бөгөөд клиентийн талын ямар ч өөрчлөлт үүнийг хэлэлцээрээр цуцалж чадахгүй. Тиймээс засвар нь серверийн бодлогыг санаатайгаар өөрчлөх бөгөөд түүнээс хамааралтай бүхэн нэг л дамжуулалтад шинэчлэгдэнэ.

Профайл бол бодлого биш

Community OpenVPN 2.6 нь клиентийн гэрчилгээг заавал байлгадаг, учир нь verify-client-cert анхдагчаар require байдаг. Үүнийг none болгох нь гэрчилгээний шаардлагыг зогсоож, клиентийн баталгаажуулалтыг сервер аль хэдийн ажиллуулж буй хэрэглэгчийн нэр, нууц үгийн зохицуулалтад шилжүүлдэг. Хуучин гарын авлагууд ижил санааны хуучирсан бичиглэл болох client-cert-not-required руу тэмүүлдэг тул таны суулгасан хувилбар баримтжуулсан зааврыг ашиглаарай. Ямар ч тохиолдолд өөрчлөлт сервер дээр болж, ямар ч клиентийн профайл үүнийг гүйцэтгэж чадахгүй.

Доорх хэсэг нь серверийн талын бүх өөрчлөлт бөгөөд дангаараа ажиллах баталгаажуулалтын тохиргоо биш. verify-client-cert none гэрчилгээний шаардлагыг арилгаж, username-as-common-name бүртгэлийн нэрийг дараагийн дуудлагууд болон клиент бүрийн файлууд хардаг таних тэмдэг болгоно. Аль ч мөр нууц үгийг шалгахгүй тул баталгаажуулагч байх ёстой хэвээр.

verify-client-cert none
username-as-common-name

Тэр баталгаажуулагч нь auth-user-pass-verify удирддаг залгаас буюу скрипт бөгөөд дээрх аль нэг мөр ямар нэг утгатай болохоос өмнө байрандаа байх ёстой. Дарааллыг эргүүлбэл сервер гэрчилгээ шаардахгүй, бүртгэл ч шалгахгүй цонх үүснэ.

Серверийг юу шалгасаар байна

Клиентийн гэрчилгээг орхих нь TLS-ийг орхих гэсэн үг биш. Сервер өөрийн гэрчилгээ, түлхүүрээ хадгалж, клиент нь хуурамч хүнтэй ярихаас сэргийлэх CA-ийн итгэл болон хост нэрийн шалгалтыг хадгална. Клиентэд гэрчилгээ байхгүй болсон тул remote-cert-tls server эсвэл CA багцыг устгах нь түгээмэл бөгөөд ноцтой буруу уншилт бөгөөд 2.6-ын лавлагаа хоёр чиглэл харилцан хамааралгүй гэдгийг тодорхой хэлдэг. Нэг нь серверийг клиентэд, нөгөө нь клиентийг серверт баталдаг.

Профайл нь tls-auth эсвэл tls-crypt блоктой байж болно. Энэ нь өөрийн түгээлт, эргэлтийн мөчилтэй хяналтын сувгийн хамтын түлхүүр тул гэрчилгээ эсвэл түлхүүрийн мөргүй файл нийтлэхэд автоматаар аюулгүй биш. Уншиж дуустал нууц гэж үзээрэй.

Ажиллаж буй профайлаас хуулсан гэрчилгээний файл дангаараа юу ч батлахгүй; эзэмших гэдэг нь түүнд тохирох хувийн түлхүүрийг эзэмших бөгөөд гэрчилгээгээр баталгаажуулсан байршуулалт үүнийг шалгадаг. Гэрчилгээ агуулсан файл нь үүгээр баталгаажуулж болох файл биш.

Баталгаажуулагч юу хийх ёстой

Гэрчилгээний шаардлагыг арилгасны дараа бүхэн баталгаажуулагчаас хамаарна: залгаас эсвэл auth-user-pass-verify удирддаг скрипт. Тэрээр хүчингүй итгэмжлэлийг татгалзаж, идэвхгүй буюу тохиромжгүй бүртгэлийг татгалзаж, өөрийн backend-д хүрч чадахгүй үед хаалттай байдлаар бүтэлгүйтэх ёстой. username-as-common-name ихэвчлэн хажууд нь идэвхждэг бөгөөд дараагийн дуудлагууд болон клиент бүрийн тохиргооны файлууд хардаг таних тэмдгийг өөрчилдөг. Тэрээр нууц үгийг шалгахгүй, тохиромжгүй бүртгэлийг тохиромжтой болгохгүй. Эдгээр нь тусдаа ажлууд бөгөөд тэдгээрийг холих нь шилжилт азын замын шалгалтад тэнцэж, анхны бодит осолдоо бүтэлгүйтэх арга юм.

Сөрөг тохиолдлуудыг эерэг тохиолдол шиг анхааралтай шалгаарай. Нууц үгийн хүсэлт харуулсан профайл нь клиент хүсэлт зурж чадна гэдгийг л баталдаг бол буруу нууц үгийг хүлээж авдаг сервер хамаагүй дор зүйлийг баталдаг. Шалгалтын багцад зөвхөн муу нууц үг биш, идэвхгүй бүртгэл болон хугацаа дууссан итгэмжлэлийг нэмээрэй.

Бодлого, профайл, зураглалыг хамт өөрчил

Гурван зүйлийг зохицуул: серверийн заавар, клиентийн профайл, клиент бүрийн таних тэмдгийн зураглал. Тэдгээрийг тус тусад нь өөрчилбөл клиентүүд баталгаажуулалтаас өмнө бүтэлгүйтэх эсвэл администраторын хүлээгээгүй нэрээр холбогдох бөгөөд энэ нь амжилт мэт харагддаг тул улам дор. Буруу таних тэмдэг дор амжилттай болсон холболтыг анзаарах нь бүтэлгүйтсэнээс хамаагүй хэцүү.

Энэ замд хоёр туршилтын бүртгэл хадгал, нэг нь хүчинтэй, нөгөө нь мэдэгдэж буй муу, баталгаажуулагчийн аливаа өөрчлөлтийн дараа хоёуланг нь ашигла. Хүчинтэй бүртгэл азын зам болон таних тэмдгийн зураглалыг баталж, муу нь татгалзал ажилласаар байгааг батална. Аль ч шалгалт тохиромжтой байдлын дүрмийн талаар юу ч хэлэхгүй тул байршуулалтад ийм дүрэм байвал бодлогын шалтгаанаар татгалзах ёстой бүртгэлийг нэмээрэй. Өөрчлөлт бүрийн дараа гурвыг нь ажиллуул, учир нь бүгдийг хүлээж авч эхэлсэн баталгаажуулагч ажиллаж буй нэвтрэлттэй яг адил харагдана.

Сервер яг ямар баталгаажуулалтын аргуудыг хүлээж авдаг, профайл санал болгож буйг биш, тэмдэглэ. Тэр бүртгэл хүмүүсийн байнга асуудаг асуултад, өөрөөр хэлбэл энэ үйлчилгээнд хэн холбогдож болох вэ гэдэгт хариулна. Энэ нь мөн дараагийн администраторыг даван туулна, тэр эс бөгөөс үүнийг пакет барилтаас дахин нээх болно.