SECLEVEL=0 шинж тэмдгийг эмчилнэ, гэрчилгээг биш

OpenVPN холболт бүтэлгүйтэж, хэн нэгэн SECLEVEL=0 нэмдэг нэг мөрийн засварыг олж, туннель босдог. Өөрчлөгдсөн нь гэрчилгээ ч биш, шифрийн багц ч биш; номын сангийн түвшний хүлээн авах босго шилжсэн бөгөөд процессийн дараа хийдэг бүхэн шинэ хязгаарыг өвлөнө. Тэр мөрийг орчны бүх профайлд хуулахаас өмнө үүнийг ойлгох нь зүйтэй.

Аль номын сан, аль бодлого хүчинтэйг тодорхойлоорой

SECLEVEL бол OpenSSL-ийн ойлголт тул эхний асуулт нь таны бүтээц OpenSSL ашигладаг эсэх юм. OpenVPN-ийг нэгээс олон криптографын номын сантай холбож болох бөгөөд тэдгээрийн нэгэнд хамаарах тохиргоо бусдад утгагүй. Бинар файлаас юугаар бүтээгдсэнийг асууж, дараа нь номын сангаас ямар хувилбар, тохиргоог ачаалсныг асуугаарай:

openvpn --version | head -3
openssl version -a

Хувилбарын гаралтыг анхааралтай уншина уу, учир нь түгээлтүүд анхдагч утгуудыг засварладаг. Зарим нь хамгийн бага түвшинг upstream-ийн анхдагчаас дээш өргөдөг системийн тохиргоог нийлүүлдэг тул ижил OpenVPN багцтай хоёр машин дээр нэг профайл өөрөөр ажилладаг. Хүчинтэй бодлого бол ажиллаж буй процессын ачаалсан бодлого бөгөөд upstream гарын авлагынх биш.

Дараа нь хүмүүс андуурдаг хоёр давхаргыг салгана уу. OpenVPN өөрийн TLS хяналттай, үүнд гэрчилгээний профайлын тохиргоо, тодорхой шифрийн жагсаалт багтах бөгөөд тэдгээр нь номын сангийн тулгадаг бүхний дээр байрлана. Номын сангийн түвшинг бууруулах нь таны OpenVPN тохиргоо ямар шифрүүдийг жагсаахад өөрчлөлт оруулахгүй, OpenVPN жагсаалтыг нарийсгах нь номын сангийн босгыг өргөхгүй. Аль давхарга таныг татгалзсаныг мэдэх нь засварыг таамаглал хэвээр үлдэхээс сэргийлдэг.

Татгалзаж болох гурван зүйлийг салгана уу

Эхний нэр дэвшигч бол таних материалын асуудал: түлхүүр нь хэт жижиг гэрчилгээ эсвэл гарын үсгийн алгоритмыг бодлого цаашид хүлээн зөвшөөрөхгүй гэрчилгээ. Хоёр дахь нь түлхүүр солилцох параметр, жишээлбэл бодлого хэт сул гэж үздэг бүлэг. Гурав дахь нь бодлогын хасаж буй шифрийн багц. Гурвуулаа гар барилтын алдаа үүсгэж болох бөгөөд зөвхөн алдааны текст болон хэлэлцээрийн үе шат л тэдгээрийг ялгадаг.

Эдгээрийн аль нь ч өгөгдлийн сувгийн шифр биш. OpenVPN туннелийн шифрлэлтийг TLS гар барилтаас тусдаа хэлэлцдэг тул аюулгүй байдлын түвшин өөрчлөгдсөний дараа амжилттай болсон холболт таны өгөгдлийг ямар шифр хамгаалж байгаа талаар юу ч хэлэхгүй. Хэрэв таны үнэхээр тавьж буй асуулт өгөгдлийн нууцлалын тухай бол та огт буруу товчлуурыг харж байна.

Түвшинг бууруулах нь гурван оролтын хүлээн авалтыг нэгэн зэрэг өргөжүүлнэ. Хүмүүсийн алддаг хэсэг нь энэ: хуучин гэрчилгээг оруулдаг засвар нь сул бүлэг болон та зөвшөөрөхөөр төлөвлөөгүй багцыг ч оруулдаг. Нэг алдаа өөрчлөлтийг үүсгэсэн бөгөөд өөрчлөлт алдаанаас өргөн. Энэхүү тэгш бус байдал нь хязгаарлагдмал үл хамаарах зүйл бүх орчны анхдагчаас дээр байх шалтгаан юм.

Оролтыг өөрчил, босгыг биш

Тохиргоог хүрэхээс өмнө яг алдааг хадгална уу, түүнийг мэдээлсэн үе шат болон нэрлэсэн объектыг оруулан. Гэрчилгээний асуудлыг одоогийн бодлого хүлээн зөвшөөрөх зүйлээр гэрчилгээг сольж шийддэг бөгөөд энэ нь ихэвчлэн байгууллагаас дахин олгохыг илэрхийлдэг, мөн файлыг дахин суулгахыг биш.

Хэрэв татгалзсан оролт таны хянадаггүй түншийнх бол яриа түүний эзэнтэй дэмжигдсэн орлуулах материалын тухай болно. Хэн ч арчлахгүй системийг байрлуулахын тулд өөрийн босгыг бууруулах нь зардлыг тэднээс тэдний дараа холбогдох бүх хүнд шилжүүлдэг.

Сервер бодлогыг хэрэгжүүлдэг газарт номын санг буруутгахаасаа өмнө OpenVPN түвшний тохиргоо жинхэнэ шалтгаан мөн эсэхийг шалгана уу. Байршуулсан гэрчилгээ хангаж чадахгүй илүү хатуу анги шаарддаг гэрчилгээний профайл аюулгүй байдлын түвшин ямар ч байсан бүтэлгүйтнэ, тэр профайлыг хасах нь номын сангийн шалгалтыг унтраахаас илүү нарийн өөрчлөлт юм.

Хэрэв буулгах шаардлагатай бол хязгаарлаж, бүртгээрэй

Заримдаа зөвшөөрөгдсөн нийцлийн үл хамаарах зүйл зөв хариулт болдог, ялангуяа огноотой чөлөөлөх төлөвлөгөөтэй хуучин түншийн хувьд. Үүнийг бүхэл хостод биш, шаардлагатай үйлчилгээнд хязгаарлаарай: үйлчилгээнд тусгай тохиргооны файл эсвэл тусгай OpenSSL тохиргоо нь глобал профайл дахь экспортоос бага нөлөөтэй.

Үл хамаарах зүйлтэй хамт дөрвөн зүйлийг бичээрэй: яг тохиргоо, түүнийг зөвшөөрсөн эзэн, нөлөөлөх клиентүүд, түүнийг хасах нөхцөл. Чөлөөлөх нөхцөлгүй үл хамаарах зүйл нь түр зуурын үндэслэл хавсаргасан байнгын сулрал юм.

Буцаах нь таны аль хэдийн туршсан нэг алхам байх ёстой. Өмнөх тохиргоог хадгалж, өөрчлөлтийг хэрэгжүүлж, үйлчилгээ эхэлж байгааг баталгаажуулж, дараагийн холболт хүлээснээс өөрөөр ажиллавал ямар файлыг сэргээхээ яг мэдээрэй.

Дараа нь таних тэмдэг болон хамгааллыг шалгана уу

Амжилттай холболт нь шинэчилсэн нөхцөлүүд түүнийг зөвшөөрснийг л нотолно. Хостын нэр болон түншийн шалгалт одоо ч ажлаа хийж байгаа, ашиглаж буй гэрчилгээ нь таны байршуулахаар төлөвлөсөн нь, хэлэлцсэн өгөгдлийн суваг таны бодож буй бодлоготой нийцэж байгаа эсэхийг баталгаажуулаарай.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

OpenSSL-ийн аюулгүй байдлын түвшний лавлагаа нь хүрээ түлхүүр, гарын үсэг, бүлэг, багц бүрд хязгаарлалтыг хамт хэрэгжүүлдэг, тэг түвшин буцаан дуудлагын шалгадаг бүгдийг зөвшөөрдөг гэдгийг тодорхой хэлдэг. Энэ нь таны өөрчилсний хамрах хүрээ бөгөөд засвар нарийн байсан уу гэж хэн нэгэн асуухад иш татах өгүүлбэр юм.

Аудитыг даван туулсан шилжүүлэг нь аль бодлого ямар оролтыг татгалзсан, юу өөрчлөгдсөн, үр дүнд юу хүлээн зөвшөөрөгдсөн хэвээр байгааг хэлдэг. „Энэ SECLEVEL=0-той ажилладаг“ гэдэг нь нэг холболтын талаарх ажиглалт бөгөөд байршуулалтын аюулгүй байдлын үнэлгээ биш.