remote-cert-tls server: OpenVPN प्रोफाइलमध्ये ते काय तपासते
ही सूचना समोरच्या बाजूच्या प्रमाणपत्रात एन्कोड केलेली भूमिका तपासते, त्याचे नाव नाही। काहीही निष्क्रिय करण्यापूर्वी भूमिका, विश्वास अँकर आणि होस्टनाव तपासणीची तुलना करा।
OpenVPN प्रोफाइलचे तीन वेगवेगळे भाग तीन वेगवेगळ्या प्रश्नांची उत्तरे देतात, आणि ते एकत्र मिसळल्यामुळेच लोक कार्यरत असलेली तपासणी बंद करतात। समोरच्या बाजूचे प्रमाणपत्र मी विश्वास ठेवतो त्या प्राधिकरणाने स्वाक्षरी केलेले आहे का? ते प्रमाणपत्र TLS सर्व्हर भूमिका जाहीर करते का? मला पोहोचायचे होते तेच विशिष्ट सर्व्हर आहे का? remote-cert-tls server फक्त मधल्या प्रश्नाचे उत्तर देते, आणि ते प्रमाणपत्रातील विस्तार वाचून करते।
डोक्यात एकत्र मिसळणे सोपे असलेल्या तीन तपासण्या
विश्वास अँकर ca सूचनेत राहतो। भूमिका तपासणी remote-cert-tls सूचनेची आहे। ओळख तपासणी verify-x509-name सूचनेची आहे, जेव्हा प्रोफाइल ती वापरते, किंवा तैनाती जोडते त्या कोणत्याही नाव तपासणीची।
त्या वेगवेगळ्या अपयशांचा समावेश करतात:
| Question | Directive | Failure it catches |
|---|---|---|
| Who signed this? | ca | Certificate from an unrelated authority |
| Is this a server? | remote-cert-tls | Client certificate presented by a peer |
| Is this my server? | verify-x509-name | Another valid server from the same CA |
प्रोफाइलमध्ये तिन्ही असू शकतात आणि तरीही CA खूप व्यापकपणे सामायिक केले असल्यास ते कमकुवत राहू शकते, हा सूचनेचा नाही तर की-व्यवस्थापनाचा प्रश्न आहे।
भूमिका तपासणी काय वाचते
ही सूचना मॅक्रो आहे। ती की-वापर आवश्यकता आणि TLS वेब सर्व्हर भूमिकेचे नाव घेणारी विस्तारित-की-वापर आवश्यकता यात विस्तारते, म्हणून समोरच्या बाजूच्या प्रमाणपत्राने तो हेतू प्रत्यक्षात जाहीर केला पाहिजे। क्लायंट प्रमाणीकरणासाठी जारी केलेले प्रमाणपत्र ते पूर्ण करत नाही, जरी त्याच प्राधिकरणाने दोन्हीवर स्वाक्षरी केली असली तरी।
हे महत्त्वाचे आहे कारण लहान तैनातींमध्ये सामायिक CA सामान्य आहे। एक प्राधिकरण प्रत्येक क्लायंट आणि सर्व्हरवर स्वाक्षरी करते, आणि भूमिका तपासणीशिवाय त्या प्रमाणपत्रांपैकी कोणतेही हँडशेकची सर्व्हर बाजू पूर्ण करू शकले असते। तपासणी तो परिदृश्य अशक्य करत नाही, पण त्याची क्षुल्लक आवृत्ती काढून टाकते।
ही सूचना रचनेने असममित आहे: क्लायंट remote-cert-tls server धारण करतात, आणि सर्व्हर remote-cert-tls client धारण करतात। त्यांची अदलाबदल करा आणि प्रत्येक कनेक्शन तुटलेल्या प्रमाणपत्रासारखे दिसणाऱ्या भूमिका त्रुटीने अयशस्वी होते।
जुन्या प्रोफाइल कधीकधी त्याच हेतूसाठी ns-cert-type वापरतात। सध्याची मॅन्युअल पृष्ठे त्या पर्यायाला बदललेला मानतात, म्हणून अजूनही त्यावर अवलंबून असलेले प्रोफाइल डीबग करण्याऐवजी स्थलांतरित करण्यासारखे आहे।
ते बंद करणे उपाय का वाटते
जेव्हा भूमिका तपासणी अयशस्वी होते, तेव्हा कनेक्शन पडताळणी त्रुटीने थांबते आणि स्पष्ट पाऊल म्हणजे ती ओळ हटवणे। मग कनेक्शन वर येते, जे प्रगतीसारखे वाटते आणि प्रत्यक्षात ही सूचना ज्या अपयश मोडला प्रतिबंध करण्यासाठी आहे तोच आहे। आता तुम्ही अशा समोरच्या बाजूचे प्रमाणपत्र स्वीकारता जे कधीही त्या भूमिकेसाठी हेतू नव्हते।
त्याऐवजी त्रुटी वाचा। ती अयशस्वी झालेल्या तपासणीचे नाव सांगते, आणि दुसऱ्या बाजूचे प्रमाणपत्र तपासून ते प्रत्यक्षात कोणते विस्तार धारण करते हे पाहता येते। दोन मिनिटांचे वाचन दोष जारी करण्यात आहे की कॉन्फिगरेशनमध्ये हे ठरवते। अंदाज लावण्यासाठी दुपार संपते आणि सहसा कमकुवत प्रोफाइलने संपते। विस्तारित की-वापर गमावलेले नूतनीकृत सर्व्हर प्रमाणपत्र हा नूतनीकरणातील खरा दोष आहे, क्लायंट सैल करण्याचे कारण नाही।
नाव तपासणी ही वेगळी सूचना आहे
भूमिका तपासणी पूर्ण करणे म्हणजे समोरची बाजू तुमच्या प्राधिकरणाने स्वाक्षरी केलेला काही सर्व्हर आहे। तो कोणता हे ते सांगत नाही, जे तेव्हा महत्त्वाचे ठरते जेव्हा तेच CA अनेक गेटवेसाठी प्रमाणपत्रे जारी करते आणि त्यांपैकी एक तडजोड केलेला किंवा पुनर्वापर केलेला असतो।
verify-x509-name प्रमाणपत्राचा विषय तुम्ही कॉन्फिगर केलेल्या मूल्याशी तुलना करते, अचूक विषय, उपसर्ग किंवा एकाच फील्डसाठी जुळणी मोडसह। प्रत्यक्षात गेटवे ओळखणारे फील्ड वापरा, आणि नाव बदलल्यावर ते जाणीवपूर्वक अद्ययावत करण्याची अपेक्षा ठेवा।
दोन्हीपैकी कोणतीही सूचना चांगल्या की-हाताळणीची जागा घेत नाही। क्लायंट की फाइल प्रोफाइलसोबत इकडे-तिकडे कॉपी झाल्यास, समोरच्या बाजूची ओळख वितरण यादीइतकीच मजबूत असते।
प्रोफाइल संपादित करण्यापूर्वी प्रमाणपत्र तपासा
समोरच्या बाजूचे प्रमाणपत्र आणि क्लायंट लॉग त्या क्रमाने वाचा। प्रमाणपत्र कोणत्या भूमिका जाहीर करते ते सांगते; लॉग कोणत्या तपासणीने ते नाकारले ते सांगते।
या आदेश तपशीलवार कनेक्शनमधून वापर-विस्तार आणि पडताळणी ओळी छापतात:
openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verifyजर विस्तार सर्व्हर भूमिका दाखवत असतील आणि लॉग अजूनही भूमिका अपयश नोंदवत असेल, तर प्रोफाइल खराब प्रमाणपत्राऐवजी चुकीच्या प्रमाणपत्र फाइलकडे निर्देश करत आहे। जर विस्तार फक्त क्लायंट प्रमाणीकरण दाखवत असतील, तर क्लायंटकडे पाहणे थांबवा आणि जारी करणे दुरुस्त करा। कोणत्याही परिस्थितीत, कनेक्शन निरोगी म्हणण्यापूर्वी तपासणी पुनर्संचयित करा, कारण पडताळणी काढून टाकल्यानंतरचा यशस्वी हँडशेक त्याने बदललेल्या त्रुटीपेक्षा कमी सिद्ध करतो।