Серверийн түлхүүр ба хэрэглэгчийн итгэмжлэл яагаад тусдаа эзэнтэй байх ёстой вэ

Таны гарц өөрөө гэдгийг нотлох түлхүүр болон хүн нэгдэж болно гэдгийг хэлэх итгэмжлэл хоёулаа нууц бөгөөд ижил төстэй байдал тэнд дуусна. Нэг нь үйлчилгээг үйлчлүүлэгч бүрд таниулж, нөгөө нь тухайн үйлчилгээнд нэг хэрэглэгчийг таниулна. Тэдгээрийг холих нь тохируулах үед нэг алхмыг хэмнэж, ослын үед хагас өдрийг үрэх болно, учир нь тус бүрийг сэргээх нь ижил үйлдэл биш. Тусгаарлалт нь тохируулахад уйтгартай, алгасах нь санаанд үлддэг.

Хоёр нууц, хоёр өөр эзэн

Гарц нь гар барих үед өөрийн таних тэмдгийг нотлох цорын ганц үүрэгтэй хувийн түлхүүр эсвэл гэрчилгээг хадгалдаг. Үйлчлүүлэгчдэд үүнийг шалгах тохирох нийтийн материал хэрэгтэй бөгөөд хувийн хагас нь тэдэнд хэзээ ч хэрэггүй. Энэхүү тэгш бус байдал нь хэрэглэгч бүрт серверийг дуурайх чадвар өгөхгүйгээр серверийн баталгаажуулалтыг боломжтой болгодог.

Хэрэглэгчийн материал эсрэг чиглэлд явна. Үйлчлүүлэгчийн хувийн түлхүүр, үйлчлүүлэгчийн гэрчилгээ эсвэл нууц үг нь яг энэ хүн эсвэл төхөөрөмжид хандалт олгогдсоныг харуулна. Үүнийг түгээж, төхөөрөмжүүдийн хооронд хуулж, эцэст нь цуцлана гэж хүлээгддэг.

WireGuard тусгаарлалтыг тодорхой болгодог, учир нь оролцогч бүр түлхүүрийн хосыг эзэмшдэг: серверийн хувийн түлхүүр сервер дээр үлддэг бөгөөд хэрэглэгчид өгөх тохиргооны файл нь тэдний өөрийн хувийн түлхүүр болон серверийн нийтийн түлхүүрийг агуулна. Серверийн хувийн түлхүүрийг агуулсан профайл бол товч зам биш, файл хуваалцахыг хүлээж буй нэвтрэлт юм.

Тусгаарлалтыг тодорхойлдог гурван асуулт

Нууцыг хэн уншиж чадах ёстой, ил болвол халдагч юу хийж чадах, засвар нь нэг цуцлалт уу эсвэл үйлчилгээг дахин байгуулах уу гэдгийг асуу.

Хэрэглэгч үүнийг уншиж чаддаг бөгөөд энэ нь гарцын таних тэмдгийг нотолж байвал хоёр дахь асуултын хариулт нь халдагч таны серверийг үйлчлүүлэгч бүрийн өмнө дуурайж чадна гэсэн үг — энэ нь хамгийн муу үр дагавар, учир нь үйлчлүүлэгчид тэр таних тэмдэгт итгэхээр зохион бүтээгдсэн. Хэрэв энэ нь зөвхөн нэг хэрэглэгчийг нотолж байвал ил бололт нь тэр хэрэглэгчид нэг түнш рүү хандах эрх олгож, цуцлалт нь ердийн үйлдэл юм. Хэрэв энэ нь гэрчилгээжүүлэх газрын түлхүүр бол ил бололт нь хоёулаас ч муу, учир нь халдагч төгсгөлийн цэг бүр итгэдэг таних тэмдгүүдийг бүтээж чадна.

Тэр гурван хариулт хадгалалтын дүрмийг өгдөг: CA түлхүүр офлайн эсвэл сейфэд амьдардаг, гарцын түлхүүр гарц дээр амьдардаг, хэрэглэгчийн түлхүүрүүд хэрэглэгчдийн дэргэд амьдардаг. Тав тухын тулд бүгдийг нэг хавтаст хийх аливаа зохион байгуулалт шийдвэрийг осол болгож хувиргасан.

Үйлчлүүлэгчид үнэхээр юу хэрэгтэй вэ

Үйлчлүүлэгчид нийтийн гэрчилгээ эсвэл түншийн нийтийн түлхүүр, итгэх ёстой CA материал эсвэл хурууны хээ, өөрийн хувийн түлхүүр болон төгсгөлийн цэгийн мэдээлэл хэрэгтэй. Энэ жагсаалтад гарцын хувийн таних тэмдэгт хамаарах юу ч байхгүй.

Баримт бичиг бол энэ алдагдах газар. Серверийн хавтасыг хуулж, хэрэггүйг устга гэж хэлсэн гарын авлага аль хэдийн буруу загварыг заасан, учир нь устгах алхмын дараа үлдсэн файлыг хэн ч шалгадаггүй.

Гарцад хүрэхгүйгээр нэг хэрэглэгчийг цуцал

Хэрэглэгчийн таних тэмдгүүд тусдаа олгогддог тул тусдаа буцааж авч болно. Гэрчилгээнд суурилсан байрлуулалт нь үйлчлүүлэгчийн гэрчилгээг цуцалж, шинэчилсэн цуцлалтын жагсаалтыг нийтэлдэг; WireGuard байрлуулалт нь серверийн тохиргооноос түншийн бичлэгийг хасдаг. Эдгээр үйлдлүүдийн аль нь ч гарцын өөрийн түлхүүрийг өөрчлөхгүй.

Олголтын бүртгэлийг хадгал, эс бөгөөс аль таних тэмдгийг буцааж авахаа мэдэхгүй. Хүснэгт хангалттай, хэрэв хүн, төхөөрөмж, серийн дугаар эсвэл нийтийн түлхүүр, огноог заасан бөгөөд үүнийг бүтээсэн хүн явсны дараа хэн нэгэн түүнийг хариуцвал.

Доорх командууд үйлчлүүлэгчийн гэрчилгээг шалгаад дараа нь OpenSSL хэв маягийн байгууллагаар дамжуулан цуцалдаг бөгөөд easy-rsa яг энэ урсгалыг боодог:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Шинэ жагсаалтыг үйлчлүүлэгчид шалгадаг газарт нь нийтэл, эс бөгөөс цуцлалт нь юу ч өөрчлөхгүй файл дахь тэмдэглэл болно. Хэрэв таны гарц цуцлалтын жагсаалтыг харахгүйгээр үйлчлүүлэгчийн гэрчилгээг хүлээж авдаг бол цуцлалт ажилладаг гэж сэмэрхийлэхийн оронд үүнийг тодорхой хэл.

Нөөц хуулбарыг нууц шигээ тусдаа байлга

Дахин байгуулах архивт гарцын түлхүүр болон CA материал хууль ёсоор байдаг, учир нь тэдгээргүйгээр сэргээлт үйлчилгээг дахин үүсгэж чадахгүй. Үйлчлүүлэгчийн тохиргооны багцад байх ёсгүй бөгөөд хоёуланг нь хамт хадгалах ёсгүй. Архив бүрийг хэн хадгалж болох вэ гэдгээр нь шошгол, бүтээсэн огноогоор биш. Ядарсан администратор шөнийн хоёр цагт уншдаг нь яг тэр шошго юм.

Энэ ялгаа нь тус бүрийг хэн авч болохыг мөн тодорхойлно. Гарцыг удирдах, хэрэглэгчийн таних тэмдэг олгох, нөөц хуулбар унших нь гурван өөр эрх мэдэл бөгөөд нэг нь хэрэгтэй хүнд бусад нь автоматаар хэрэггүй. Тэдгээр зөвшөөрлийг бичиж аваад дараа нь таны сан хадгалалт үнэхээр юу зөвшөөрдөгтэй харьцуул, учир нь хавтасны өв залгамжлал бодлого зорьсноос илүүг чимээгүй өгдөг.