OpenVPN प्रोफाइलमध्ये प्रमाणपत्रांचे तीन ब्लॉक असतात: कोणता गुप्त आहे?

एक ओळ बदलण्यासाठी तुम्ही .ovpn फाइल उघडता आणि तिन्ही ओळखपत्रांसारखे दिसणारे base64 चे तीन ब्लॉक सापडतात। एक प्रकाशित करण्यास सुरक्षित आहे, दुसरा पासवर्डइतकाच संवेदनशील आहे, आणि तिसरा सार्वजनिक की आहे ज्याचा अर्थ काहीच नाही जोपर्यंत त्याच्या जोडीने दुसरे काही स्वाक्षरी केलेले नाही। ब्लॉक एकमेकांच्या जागी वापरता येण्यासारखे दिसतात म्हणून लोक संपूर्ण फाइल सपोर्ट थ्रेडमध्ये पेस्ट करतात, आणि अशाच प्रकारे क्लायंट की सार्वजनिक संग्रहात जाते। कोणता ब्लॉक काय करतो हे वेगळे करणे या प्रोफाइलभोवतीचा बहुतांश गोंधळ स्पष्ट करते, आणि कोणते बिघाड तुम्ही स्वतः दुरुस्त करायचे हेही सांगते।

एक फाइल, तीन ब्लॉक, वेगवेगळी कामे

सामान्य प्रोफाइल BEGIN आणि END खुणांमध्ये ca ब्लॉक, cert ब्लॉक आणि key ब्लॉक ठेवते, किंवा त्याच तीनकडे वेगळ्या फाइलां म्हणून निर्देश करते। काही प्रोफाइल tls-auth किंवा tls-crypt की साठी चौथा ब्लॉक जोडतात, जो प्रमाणपत्र नसून सामायिक रहस्य आहे। क्लायंट प्रत्येक ब्लॉक त्याला नाव देणाऱ्या निर्देशानुसार वाचतो, म्हणून लेबल त्यांच्या येण्याच्या क्रमापेक्षा महत्त्वाची आहेत।

आत खरोखर पाहण्यापर्यंत एकत्र केलेल्या प्रोफाइलला संवेदनशील माना। सार्वजनिक प्रमाणपत्र आणि खाजगी की एकाच फाइलमध्ये काही ओळींच्या अंतरावर असू शकतात, आणि शीर्षक असलेल्या स्क्रीनशॉटमध्ये दोन्ही येऊ शकतात। दिसणारा base64 हाताने झाकणेही विश्वासार्ह नाही, कारण अर्धवट ब्लॉकही तुमच्या तैनातीचे नाव सांगणारा प्रमाणपत्र मेटाडेटा गळती करतो। तीन निर्देश त्यांच्या मूल्यांशिवाय कॉपी करणे सहसा उपयुक्त प्रश्न विचारण्यास पुरते।

ब्लॉकभोवतीचे निर्देश ते कसे वापरले जातील हे ठरवतात। ca बदला आणि क्लायंट दुसऱ्या प्राधिकरणावर विश्वास ठेवतो; key न बदलता cert बदला आणि विश्वासाशी काहीही संबंध नसलेल्या विसंगतीमुळे हातमिळवणी अपयशी होते।

CA ब्लॉक सार्वजनिक आहे, CA की कधीच नाही

प्रमाणपत्र प्राधिकरण सार्वजनिक की ला ओळखीशी जोडणाऱ्या प्रमाणपत्रांवर स्वाक्षरी करते, आणि त्याचे स्वतःचे प्रमाणपत्र हेच ते आधार आहे ज्यावरून क्लायंट साखळी विश्वासार्ह आहे का हे ठरवतो। ते प्रमाणपत्र रचनेनेच सार्वजनिक आहे: ते प्रत्येक प्रोफाइलमध्ये पाठवणे सामान्य आहे, आणि म्हणूनच स्व-स्वाक्षरीत तैनाती व्यावसायिक प्राधिकरणाशिवाय चालू शकते।

क्लायंट प्रोफाइलमध्ये कधीच दिसू नये असे म्हणजे प्राधिकरणाची खाजगी स्वाक्षरी की। काहीही पडताळण्यासाठी क्लायंटला तिची गरज नाही, आणि ती असणे म्हणजे प्रोफाइल असलेला कोणीही संपूर्ण तैनातीसाठी नव्या ओळखी तयार करू शकतो।

प्राधिकरणावर विश्वास ठेवणेही ऐकायला वाटते त्यापेक्षा अरुंद आहे। CA ने स्वाक्षरी केलेले कोणतेही प्रमाणपत्र स्वीकारणारा क्लायंट त्याच CA वर दुसऱ्या सेवेसाठी दिलेले प्रमाणपत्रही स्वीकारेल। अपेक्षित सर्व्हर भूमिका किंवा नाव पिन करणारे पर्याय ती पोकळी भरतात, आणि TLS पर्याय संदर्भ तसे करणाऱ्या पडताळणी निर्देशांची यादी देतो।

सर्व्हर आणि क्लायंट प्रमाणपत्रे विरुद्ध दिशांना निर्देश करतात

सर्व्हरचे प्रमाणपत्र म्हणजे क्लायंट योग्य अंतिम टप्प्यावर पोहोचला का हे तपासण्यासाठी पाहतो ते। तुमचे क्लायंट प्रमाणपत्र उलट्या दिशेने काम करते: हे उपकरण किंवा वापरकर्ता आपण नोंदवलेला आहे हे ठरवण्यासाठी सर्व्हर ते वापरतो। ताच प्रकार, विरुद्ध विश्वासाची दिशा।

पत्ता म्हणजे ओळख नाही। योग्य IP गाठणे कोणी उत्तर दिले याबद्दल काहीही सिद्ध करत नाही, म्हणून होस्टनाव किंवा प्रमाणपत्र नावाची तपासणी अजूनही प्रोफाइलमध्येच राहते। खाते पासवर्डही आवश्यक क्लायंट प्रमाणपत्राची गुपचूप जागा घेत नाही, कारण दोन्ही वेगवेगळ्या टप्प्यांवर तपासले जातात आणि तैनाती दोन्हीची मागणी करू शकते।

क्लायंटची खाजगी की हा तो भाग आहे जो खाजगी राहिलाच पाहिजे। ती उघड झाली असू शकत असेल, तर तुमच्या लॅपटॉपवरून फाइल हटवल्याने सर्व्हरवर काहीही बदलत नाही, जो संबंधित प्रमाणपत्र ऑपरेटरने रद्द करेपर्यंत स्वीकारत राहील। ऑपरेटरला ती ओळख बदलण्यास किंवा रद्द करण्यास सांगणे हाच एकमेव उपाय तुमच्यासोबत प्रवास करतो।

एकसारखी दिसणारी आणि नसलेली दोन आवाहने

एन्क्रिप्टेड स्वरूपात साठवलेली की क्लायंटला वापरण्यापूर्वी पासफ्रेज मागते। VPN सेवा वेगळे खाते पासवर्ड मागू शकते, आणि दोन्ही आवाहने जवळपास सारख्याच शब्दांत काही सेकंदांच्या अंतराने येऊ शकतात। पासफ्रेज तुमच्या डिस्कवरील फाइलचे रक्षण करते; पासवर्ड सर्व्हरला खाते सिद्ध करतो। दोन्हींचा गोंधळ लोकांना मदत करूच न शकणाऱ्या पासवर्ड रीसेटकडे पाठवतो।

काहीही रीसेट करण्यापूर्वी आवाहन वाचा। खाते पासवर्ड रीसेट विसरलेल्या की पासफ्रेजसाठी, रद्द केलेल्या किंवा कालबाह्य प्रमाणपत्रासाठी काहीही करत नाही, आणि बिघाड प्रमाणपत्र पडताळणीचा असताना पासवर्ड रीसेट केल्यास दोन मिनिटांचा उपाय सपोर्ट प्रकरण होतो। तक्रारीत वैधता तारखा असतील, तर प्रथम उपकरणाची घड्याळ आणि नंतर नामनिर्देशित प्रमाणपत्राचा स्वतःचा कालावधी तपासा।

प्रमाणपत्र खरोखर कालबाह्य झाले असेल, तर बदली ते जारी करणाऱ्याकडूनच आली पाहिजे। दुसऱ्याची की नूतनीकरणाचा मार्ग नाही, आणि सहकाऱ्याकडून चालणारे प्रोफाइल उधार घेणेही नाही।

स्वच्छ हातमिळवणी काय सिद्ध करते आणि काय नाही

पूर्ण झालेल्या TLS हातमिळवणीपर्यंत पोहोचणे म्हणजे संरचित ओळखीचे नाते टिकले: सर्व्हरचे प्रमाणपत्र तुमच्या CA शी जोडले गेले आणि तुमचे प्रमाणपत्र स्वीकारले गेले। हे ऑपरेटरच्या नोंदणी धोरणाबद्दल काहीही सांगत नाही, आणि बोगदा उभा राहिल्यावर तुमची अनुप्रयोगे चालतील का हेही सांगत नाही।

मार्ग आणि DNS जोडणीचे नंतरचे टप्पे आहेत, म्हणून यशस्वी लॉगिननंतर न पोहोचता येणारा इंट्रानेट होस्ट प्रमाणपत्राचा नसून कनेक्टिव्हिटीचा प्रश्न आहे। ओळखपत्रे बदलण्याऐवजी त्या स्तरावर काम करा, आणि प्रोफाइल कोणाला देताना त्याचा उगम, त्याची खाजगी सामग्री आणि त्याच्या ओळख तपासण्या एकत्र ठेवा।