Өөрөө гарын үсэг зурсан клиентийн гэрчилгээ? VPN сервер үүнийг хасаж байна

Оператор хаяг, хэрэглэгчийн нэрийг илгээж, клиент CA файл, гэрчилгээ, түлхүүр шаарддаг. Эдгээр гурвыг локалд үүсгэх нь дараагийн тодорхой алхам мэт санагддаг. Үр дүнд нь зөвхөн таны машин итгэдэг гэрчилгээ гарна. Серверийн итгэл таны хянадаггүй CA-д бэхлэгдсэн тул гар барилт эхлэхээс өмнө дуусна.

Итгэл сервер дээр амьдардаг, таны профайлд биш

Гэрчилгээгээр баталгаажуулах нь харьцуулалт юм. Клиент гэрчилгээг үзүүлэх бөгөөд гарц нь түүнийг тохиргоон дахь CA-ийн нэг гарын үсэг зурсан эсэхийг шалгана.

Таны профайл клиентийн серверийг шалгахад ашиглах CA файлыг нэрлэнэ. Энэ нь серверийн таныг шалгах ашиглах CA-г нэрлэж чадахгүй. Тохиргооны тэр тал таных биш.

Өөрөө хийсэн гэрчилгээ техникийн хувьд төгс байсан ч энэ харьцуулалтад унана. Түүнд хүчинтэй гарын үсэг, субъект, огноо байгаа боловч гаргагч нь гарцын хэзээ ч сонсож байгаагүй CA юм. Алдаа нь гар барилтын үеэр, сервер аль хэдийн гэрчилгээ шаардсаны дараа гарч ирнэ. Клиентийн профайлд юу ч хариултыг өөрчилж чадахгүй.

Яагаад өөрөө гарын үсэг зурсан гэрчилгээ орлож чадахгүй вэ

Өөрөө гарын үсэг зурсан гэрчилгээ өөрийн түлхүүрээр гарын үсэг зурдаг. Гарын үсэг нь ижил файлд харьцуулагддаг тул өөртэйгөө нийцтэй боловч өөр хэн нэгний гарцад итгэмжлэл болж чадахгүй.

Гарц нь гэрчилгээ дотооддоо нийцтэй эсэхийг асуухгүй. Итгэмжлэгдсэн гаргагч гарын үсэг зурсан эсэхийг асууна.

Тиймээс алдааны мэдэгдлүүд төөрөгдүүлдэг. Клиент серверийн асуудал мэт сонсогдох баталгаажуулалтын алдаа мэдээлж болох бөгөөд сервер үл мэдэгдэх гаргагчийг бүртгэнэ. Хоёулаа ижил зөрүүг эсрэг талаас дүрсэлж байна.

CSR зам таны хувийн түлхүүрийг хадгална

Ажлын ихэнхийг локалд хийж болно. Түлхүүрийн хос үүсгэж, нийтийн хагасыг тойрсон гэрчилгээнд гарын үсэг зурах хүсэлт байгуулж, тэр хүсэлтийг операторт илгээнэ. Таны машинаас зөвхөн хүсэлт гарна. Хувийн хагас нь үүсгэсэн газраа үлдэнэ.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Оператор хүсэлтэд өөрийн CA-аар гарын үсэг зурж, гэрчилгээ буцаана. Таны хувийн түлхүүр хэзээ ч аялаагүй бөгөөд үр дүн нь гарцын итгэдэг зангуутай холбогдоно.

Удирдлагатай үйлчилгээнүүд CSR-ийг алгасаж бүх багцыг олгодог. Нэг үйлчилгээ үзүүлэгч аль хэдийн туннелийг дуусгаж, CA-г эзэмшдэг бол энэ нь боломжийн солилцоо юм. Түлхүүрийг хадгалах нь түүнийг барихад сайжрахгүй, учир нь үйлчилгээ үзүүлэгч хэдийд ч шинийг хийж чадна.

Багцууд импортлогддог, суулгагддаггүй

Аюулгүй мэт нэртэй нийлүүлэгчийн багцууд ихэвчлэн OpenVPN профайлууд байдаг. Тэдгээр нь тохиргоо, заримдаа гэрчилгээ агуулдаг бөгөөд юу ч суулгадаггүй. Файлыг протоколыг ярьдаг клиентэд импортлоход холболт тохируулагдана.

Харьцах дүрэм нь агуулгаас үүдэлтэй. Хэрэв профайл хувийн түлхүүр агуулж байвал энэ нь итгэмжлэл бөгөөд нууц үгтэй адил анхаарал шаарддаг: имэйлгүй, агуулахгүй, хуваалцсан татаж авах хавтасгүй. Оператор ca.crt, client.crt, client.key-ыг тус тусад нь өгөх үед тэдгээрийг хязгаарласан эрхтэй хамт хадгалаад профайлыг тэдэн рүү чиглүүлээрэй.

Операторын алгасаж магадгүй шалгалтуудыг нэмээрэй

Роутерын үүсгэсэн профайлд заримдаа хамтрагчийн шалгалт байдаггүй. remote-cert-tls server нь хамтрагчийн гэрчилгээнд серверийн баталгаажуулалтын зорилго байхыг шаарддаг тул клиентийн гэрчилгээг сервер болгон дахин тоглуулж болохгүй. Тэр нэг мөр нь тодорхой үндэслэлтэй жижиг өөрчлөлт юм.

verify-x509-name оператор хүлээгдэж буй субъект эсвэл SAN-ыг нэрлэж чадвал урагш явна. Хоёулаа профайлд жижиг нэмэлт бөгөөд хоёулаа хамгаалагдахуйц. Импортлохын өмнө хүлээн авснаа шалгаарай.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Баталгаажуулалтын тохиргоо нь эвдэрсэн гинжин хэлхээг засах зүйл биш. Хэрэв гаргагч буруу бол хариулт нь зөв CA-аас гарсан гэрчилгээ, шалгалтыг унтраах туг биш. Баталгаажуулалтыг унтраах нь баталгаажуулалтын алдааг илрээгүй алдаа болгоно.

Нэг багц хүсээрэй: эрх бүхий байгууллагын гэрчилгээг PEM хэлбэрээр, тэр байгууллагын гарын үсэг зурсан клиентийн гэрчилгээ, таны үүсгэсэн эсвэл таны итгэдэг сувгаар ирсэн түлхүүр, мөн гэрчилгээ үзүүлэх ёстой серверийн яг нэр. Мөн адил мессежид хүчинтэй хугацаа дуусах огноог тэмдэглээрэй, учир нь хугацаа нь дууссан гэрчилгээ хэдэн сарын дараа сүлжээний гэмтэл мэт харагдана.