तोच ca.crt फाइल नाव, वेगळे प्रमाणपत्र: काय तुलना करावी

दोन्ही प्रोफाइल ca.crt नावाची फाइल देतात, एक बोगदा वर येतो आणि दुसरा साखळी त्रुटीने अयशस्वी होतो। दोन्ही फाइल एकमेकांच्या शेजारी उघडणे हे क्वचितच सोडवते, आणि पडताळणी बंद करणे ते चुकीच्या दिशेने सोडवते। त्रुटी प्रत्यक्षात जो प्रश्न विचारते तो अधिक अरुंद आहे: प्रत्येक प्रक्रिया कोणते प्रमाणपत्र आपला विश्वास अँकर म्हणून लोड करते, आणि ती दोन्ही एकच वस्तू आहेत का? आधी त्याचे उत्तर द्या आणि उर्वरित निदानाला दिशा मिळेल। फाइलचे नाव पॅकेजिंग लेबल आहे, आणि प्रोफाइलमध्ये लिहिलेला मार्गही अधिकृत नाही, म्हणून सर्व काही प्रक्रिया प्रत्यक्षात काय वाचते यावर अवलंबून आहे।

क्लायंट प्रत्यक्षात लोड करते ते प्रमाणपत्र शोधा

OpenVPN अधिकार दोन स्वरूपांत स्वीकारते, आणि स्वरूप कोणते बाइट महत्त्वाचे आहेत हे ठरवते। प्रोफाइल ca ने बाह्य फाइलकडे निर्देश करू शकते, किंवा प्रमाणपत्र प्रोफाइलच्या आतल्या <ca> ब्लॉकमध्ये एम्बेड करू शकते। दोन्ही असतील तर एम्बेड केलेला ब्लॉक जिंकतो आणि प्रोफाइलच्या शेजारची फाइल कधीही उघडली जात नाही।

अयशस्वी प्रोफाइल वाचा आणि काहीही तुलना करण्यापूर्वी ते कोणते स्वरूप वापरते ते शोधा। शेजारच्या डिरेक्टरीतून किंवा दुसरे प्रोफाइल ज्या पॅकेजमधून आले त्यातून घेतलेली प्रत ही प्रक्रिया कशावर विश्वास ठेवते याबद्दल तुम्हाला काहीही सांगत नाही। कॉन्फिगरेशनमधील मार्गालाही हेच लागू होते: तो क्लायंट कुठे सुरू झाला याच्या सापेक्ष सोडवला जातो, जे नेहमी तुम्ही पाहत असलेली डिरेक्टरी नसते। प्रोफाइल वाचा, फोल्डर नाही।

प्रमाणपत्रे त्यांच्या सामग्रीने ओळखली जातात: सार्वजनिक की, विषय आणि जारीकर्ता, वैधता कालावधी आणि या सर्वांवरील स्वाक्षरी। सारखे बाइट असलेल्या दोन फाइलींना कोणतेही नाव असले तरी ती एकच प्रमाणपत्रे आहेत, आणि एकाच नावाच्या दोन फाइलींना असंबंधित अधिकारी असू शकतात। नाव पॅकेजिंग लेबल आहे, ओळख नाही।

openssl ने दोन्ही प्रतींची फिंगरप्रिंट घ्या

फिंगरप्रिंट म्हणजे प्रमाणपत्राच्या DER एन्कोडिंगवरील हॅश, स्वाक्षरी जे स्वरूप व्यापते, म्हणून ओळींचे टोक आणि शीर्षलेखातील मजकूर त्यावर परिणाम करू शकत नाहीत। प्रत्येक फाइलसाठी तो मोजा आणि तुम्हाला कॉलनने वेगळ्या केलेल्या दोन हेक्स स्ट्रिंग मिळतील, त्या जुळतात किंवा नाही। तुलनेच्या प्रश्नाचे उत्तर देण्यासाठी प्रमाणपत्रात दुसरे काहीही वाचण्याची गरज नाही।

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl ला प्रोफाइलकडेच निर्देश करणे मोहक आहे, पण ते फाइलमध्ये प्रथम येणारा प्रमाणपत्र ब्लॉक वाचते, आणि प्रोफाइल सामान्यतः <ca> च्या आधी <cert> ठेवते। अधिकाराचा ब्लॉक काढा, नंतर काढलेल्या फाइलची फिंगरप्रिंट घ्या, कारण क्लायंट प्रत्यक्षात वापरणारी प्रत तीच आहे।

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

सारखी फिंगरप्रिंट म्हणजे विश्वास सामग्री सारखी आहे आणि साखळी त्रुटीला दुसरे कारण आहे, जे वेगळे तपास आहे। वेगळी फिंगरप्रिंट म्हणजे वेगळी प्रमाणपत्रे, आणि पुढील विभाग तिथून सुरू होतो।

हल्ला गृहीत धरण्यापूर्वी विसंगती वाचा

वेगळी फिंगरप्रिंट म्हणजे वेगळी प्रमाणपत्रे आणि त्याहून अधिक काही नाही। पुनर्जारी, रोटेशन, नाव बदललेला अधिकारी किंवा जुने बंडल सर्व पूर्णपणे कायदेशीर इतिहास असलेल्या वेगळ्या फाइल तयार करतात। कोणते तैनातीत आहे हा ऑपरेटर किंवा तैनाती नोंदी मध्ये शोधण्यासाठी प्रश्न आहे, फाइलच्या बदलाच्या वेळेसाठी नाही। अभिलेख वेळेच्या ठसेची प्रत करतात, म्हणून नवीन फाइल आपोआप योग्य अँकर नसते।

स्वतःवर स्वाक्षरी करणारे मूळ सामान्य आहे, म्हणून एक सापडणे हे समस्येचा पुरावा नाही। तपासकाचे काम सर्व्हर प्रमाणपत्रापासून त्याला दिलेल्या अँकरपर्यंत मार्ग बांधणे आहे, आणि साखळी त्रुटीचा अर्थ सामान्यतः तो मार्ग पूर्ण करता आला नाही असा होतो।

अयशस्वी प्रोफाइलचा अँकर तैनाती अजूनही जारी करते अशी अधिकारी आहे का ते तपासा। फिंगरप्रिंट तैनाती नोंदीत कशाशीही जुळत नसेल, तर प्रोफाइल फक्त जुने आहे, आणि क्लायंट बाजूचे कोणतेही ट्यूनिंग ते दुरुस्त करणार नाही।

पडताळणी बंद न करता विश्वास दुरुस्त करा

अल्पकालीन उपाय म्हणजे पडताळणी बंद करणे किंवा साखळीतील प्रत्येक प्रमाणपत्र अँकर म्हणून जोडणे। दोन्ही संदेश अदृश्य करतात, आणि दोन्ही क्लायंट यापुढे कोणते सर्व्हर स्वीकारेल ते बदलतात। पडताळणी पुन्हा सुरू करा, इच्छित अँकर स्थापित करा आणि पुन्हा चाचणी करा।

साखळी आता बनत असेल पण वेगळी त्रुटी दिसत असेल, तर ती प्रगती आहे: नाव पडताळणी, वैधता तारखा आणि रद्दीकरण हे वेगळ्या संदेशांसह वेगळे तपास आहेत। फिंगरप्रिंटची जोडी आणि मूळ त्रुटी मजकूर तिकिटात एकत्र ठेवा, जेणेकरून पुढील व्यक्तीला कोणता अँकर लोड झाला आणि कोणाची अपेक्षा होती ते दिसेल। फिंगरप्रिंटची जोडी हस्तांतरण टीपेत चिकटवण्याइतकी लहान आहे, आणि पुढील घटना मग दुपारऐवजी पाच मिनिटे घेते।

प्रोफाइल पोहोचवणाऱ्या त्याच प्रमाणित मार्गाने योग्य अधिकारी मिळवा। त्याचा विषय ओळखीचा वाटतो म्हणून सर्व्हरवरून प्रमाणपत्र खेचणे ही वेगळी कृती आहे, आणि ती क्लायंट कशावर विश्वास ठेवेल ते शांतपणे वाढवते।