स्व-स्वाक्षरीत क्लायंट प्रमाणपत्र? VPN सर्व्हर तरीही ते नाकारतो

ऑपरेटर एक पत्ता आणि वापरकर्तानाव पाठवतो, आणि क्लायंट CA फाइल, प्रमाणपत्र आणि की मागतो। हे तीन स्थानिक पातळीवर तयार करणे पुढील स्पष्ट पाऊल वाटते। त्यातून असे प्रमाणपत्र तयार होते ज्यावर फक्त तुमचेच मशीन विश्वास ठेवते। सर्व्हरचा विश्वास तुम्ही नियंत्रित न करणाऱ्या CA मध्ये रुजलेला आहे, म्हणून हातमिळवणी सुरू होण्यापूर्वीच संपते।

विश्वास सर्व्हरवर राहतो, तुमच्या प्रोफाइलमध्ये नाही

प्रमाणपत्राद्वारे प्रमाणीकरण ही एक तुलना आहे। क्लायंट प्रमाणपत्र सादर करतो; गेटवे त्याच्या कॉन्फिगरेशनमधील कोण्या CA ने स्वाक्षरी केली आहे का ते तपासतो।

तुमचे प्रोफाइल सर्व्हर सत्यापित करण्यासाठी क्लायंटने वापरावी अशी CA फाइल नाव देते। सर्व्हरने तुमचे सत्यापन करण्यासाठी वापरावी अशी CA ते नाव देऊ शकत नाही। कॉन्फिगरेशनचा तो अर्धा भाग तुमचा नाही।

स्वतः तयार केलेले प्रमाणपत्र तांत्रिकदृष्ट्या परिपूर्ण असले तरी या तुलनेत अपयशी ठरते। त्यावर वैध स्वाक्षरी, विषय आणि तारखा आहेत, पण जारीकर्ता असा CA आहे ज्याचे नाव गेटवेने कधी ऐकले नाही। त्रुटी हातमिळवणीच्या वेळी, सर्व्हरने आधीच प्रमाणपत्र मागितल्यानंतर दिसते। क्लायंट प्रोफाइलमधील काहीही उत्तर बदलू शकत नाही।

स्व-स्वाक्षरीत प्रमाणपत्र त्याची जागा का घेऊ शकत नाही

स्व-स्वाक्षरीत प्रमाणपत्र स्वतःच्या की ने स्वाक्षरीत केले जाते। स्वाक्षरी त्याच फाइलविरुद्ध सत्यापित होते, ज्यामुळे ते स्व-सुसंगत आणि दुसऱ्याच्या गेटवेसाठी ओळखपत्र म्हणून निरुपयोगी होते।

गेटवे प्रमाणपत्र अंतर्गत सुसंगत आहे का विचारत नाही। विश्वासार्ह जारीकर्त्याने त्यावर स्वाक्षरी केली का ते विचारते।

म्हणूनच त्रुटी संदेश गोंधळात टाकतात। क्लायंट सर्व्हरच्या समस्येसारखी वाटणारी सत्यापन अयशस्वी नोंदवू शकतो, तर सर्व्हर अज्ञात जारीकर्ता नोंदवतो। दोन्ही एकच विसंगती विरुद्ध टोकांकडून वर्णन करतात।

CSR मार्ग तुमची खाजगी की जपतो

तुम्ही बहुतेक काम अजूनही स्थानिक पातळीवर करू शकता। की जोडी तयार करा, सार्वजनिक अर्ध्याभोवती प्रमाणपत्र स्वाक्षरी विनंती तयार करा आणि ती विनंती ऑपरेटरला पाठवा। फक्त विनंती तुमच्या मशीनमधून बाहेर पडते। खाजगी अर्धा तुम्ही तयार केलेल्या ठिकाणीच राहतो।

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

ऑपरेटर आपल्या CA ने विनंतीवर स्वाक्षरी करतो आणि प्रमाणपत्र परत देतो। तुमची खाजगी की कधीच प्रवास करत नाही, आणि निकाल गेटवे ज्या अँकरवर विश्वास ठेवतो त्याच्याशी साखळीबद्ध होतो।

व्यवस्थापित सेवा बऱ्याचदा CSR वगळतात आणि संपूर्ण बंडल जारी करतात। जेव्हा तोच पुरवठादार आधीच टनेल संपवतो आणि CA धारण करतो तेव्हा तो वाजवी सौदा आहे। की ठेवल्याने तिची देखभाल सुधारत नाही, कारण पुरवठादार कधीही नवीन तयार करू शकतो।

बंडल आयात केले जातात, स्थापित केले जात नाहीत

सुरक्षिततेसारखी नावे असलेली विक्रेता बंडल बहुतेकदा OpenVPN प्रोफाइल असतात। त्यात कॉन्फिगरेशन आणि कधीकधी प्रमाणपत्रे असतात, आणि ते काहीही स्थापित करत नाहीत। प्रोटोकॉल बोलणाऱ्या क्लायंटमध्ये फाइल आयात करा, आणि कनेक्शन कॉन्फिगर होते।

हाताळणीचा नियम सामग्रीतून येतो। प्रोफाइलमध्ये खाजगी की अंतर्भूत असल्यास ती ओळखपत्र आहे आणि पासवर्डसारखीच काळजी घेण्यास पात्र आहे: ईमेल नाही, साठा नाही, सामायिक डाउनलोड फोल्डर नाही। जेव्हा ऑपरेटर ca.crt, client.crt आणि client.key वेगळे देतो, तेव्हा ते प्रतिबंधित परवानग्यांसह एकत्र ठेवा आणि प्रोफाइल त्यांच्याकडे निर्देश करा।

ऑपरेटरने वगळलेल्या असू शकणाऱ्या तपासण्या जोडा

राउटरने तयार केलेल्या प्रोफाइलमध्ये कधीकधी पीअर सत्यापन नसते। remote-cert-tls server पीअर प्रमाणपत्रात सर्व्हर प्रमाणीकरणाचा उद्देश असावा अशी मागणी करतो, जेणेकरून क्लायंट प्रमाणपत्र सर्व्हर म्हणून पुन्हा चालवता येणार नाही। ती एक ओळ स्पष्ट समर्थनासह छोटा बदल आहे।

verify-x509-name जेव्हा ऑपरेटर अपेक्षित विषय किंवा SAN चे नाव देऊ शकतो तेव्हा पुढे जातो। दोन्ही प्रोफाइलमधील छोट्या जोडण्या आहेत, आणि दोन्ही समर्थनीय आहेत। आयात करण्यापूर्वी तुम्हाला काय मिळाले ते तपासा।

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

सत्यापन सेटिंग्ज तुटलेल्या साखळीची दुरुस्ती नाहीत। जारीकर्ता चुकीचा असल्यास उत्तर योग्य CA चे प्रमाणपत्र आहे, तपासणी बंद करणारा ध्वज नाही। सत्यापन बंद केल्याने प्रमाणीकरण अयशस्वीता न ओळखलेल्या अयशस्वीतेत बदलते।

एक बंडल मागा: PEM स्वरूपात प्राधिकरणाचे प्रमाणपत्र, त्या प्राधिकरणाने स्वाक्षरीत क्लायंट प्रमाणपत्र, तुम्ही तयार केलेली किंवा तुम्ही विश्वास ठेवता त्या माध्यमातून आलेली की, आणि प्रमाणपत्राने सादर करावयाचे अचूक सर्व्हर नाव। त्याच संदेशात कालबाह्यता तारीख नोंदवा, कारण कालबाह्य प्रमाणपत्र महिन्यांनंतर नेटवर्क बिघाडासारखे दिसते।