Liema fajl CA tmur fi profil OpenVPN b'password biss?

Għaddi minn erba' mistoqsijiet fl-ordni u d-djalogu CA ma jibqax ambigwu. Liema materjal ħareġ l-operatur fil-fatt, x'fih diġà l-profil, liema qasam qed jistaqsi, u x'jiġri wara li jiġi mgħobbi l-fajl? Ieqaf fl-ewwel mistoqsija li ma tistax twieġeb mill-istruzzjonijiet tal-operatur stess, għax il-qtigħ ta' ras aktar minn hemm huwa eżattament il-mod kif ċertifikat CA pubbliku jispiċċa mqabbad ma' ċavetta privata li qatt ma messha ħarġet mis-server.

L-ordni huwa importanti: l-aħħar żewġ mistoqsijiet għandhom sens biss meta tkun taf liema materjal għandu jkun hemm.

Ibda b'dak li l-profil diġà qed iġġorr

Iftaħ il-profil f'editur tat-test u fittex blokka ca qabel ma tfittex fajl. Blokka ca inkorporata li ġġorr il-CA pubbliku tal-operatur tfisser li l-profil huwa awtosuffiċjenti, u klijent li għadu jitlob fajl CA jista' jkun qed jaqra profil ieħor jew import mhux komplut. Jekk il-profil minflok għandu linja ca li tindika lejn mogħdija, dik il-mogħdija hija relattiva għad-direttorju tax-xogħol tal-klijent f'xi integrazzjonijiet u assoluta f'oħrajn. Innota liema forma għandek qabel ma tibdel xejn.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Iċċekkja l-pakkett ikkonsenjat għall-fajls li l-profil jirreferi għalihom: ċertifikat CA, xi drabi ċertifikat tal-klijent u ċavetta separati, u possibbilment fajl tls-auth jew tls-crypt. Profil li jirreferi għal erba' fajls imma jasal b'żewġ wieħed mhuwiex komplut, u l-ebda ammont ta' indikar tal-qasam ma jsewwi dan. Itlob lill-operatur il-biċċa nieqsa minflok ma tissostitwixxi ċertifikat li jkollok b'kumbinazzjoni.

Ifred erba' tipi ta' materjal

Iċ-ċertifikat CA huwa materjal pubbliku użat biex jivverifika l-identità tas-server. Iċ-ċertifikat tal-klijent jidentifika l-utent jew it-tagħmir lis-server. Iċ-ċavetta privata hija n-nofs sigriet ta' dak iċ-ċertifikat tal-klijent, u qatt m'għandha tkun iċ-ċavetta tal-firma tas-CA jew ċavetta tas-server. Il-materjal tls-auth jew tls-crypt huwa segret kondiviż separat li jipproteġi l-kanal tal-kontroll. Dawn l-erbgħa mhumiex skambjabbli, u li tħares il-qasam CA lejn ċertifikat tal-klijent jipproduċi falliment ta' verifika li jidher bħal problema ta' fiduċja.

Awtentikazzjoni b'password biss tbiddel liema mill-erbgħa għandek bżonn, mhux x'ifissru. Ma' auth-user-pass u remote-cert-tls server il-klijent xorta jivverifika s-server kontra CA, u għalhekk il-qasam CA jidher anke meta ma jkunx hemm ċertifikat tal-klijent. Il-politika tal-operatur tiddeċiedi jekk huwiex meħtieġ ukoll ċertifikat tal-klijent, u l-ebda djalogu ma jista' jgħidlek dan.

Ħares il-klijent lejn il-fajl tal-fiduċja

Agħżel il-fajl taċ-ċertifikat CA nnifsu, mhux il-folder li jkun fih u mhux pakkett .p12 li jġorr identità tal-klijent. Fuq Windows is-sintassi tal-mogħdija u l-għażla tal-fajls iġibu ruħhom b'mod differenti mill-eżempji Linux fil-biċċa l-kbira tal-gwidi, għalhekk uża dak li jaċċetta l-klijent installat u kkonferma li l-fajl jinqara mill-kont li jmexxih. Problema ta' permess u fajl nieqes jidhru l-istess fid-djalogu imma jipproduċu linji ta' log differenti. Wara l-għażla, erġa' iftaħ is-settings tal-profil biex tikkonferma li l-klijent żamm l-għażla.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Jekk il-klijent jappoġġa blokki inkorporati, ippreferi l-profil inkorporat tal-operatur minflok wieħed immuntat bl-idejn. Il-materjal inkorporat jivvjaġġa mal-profil u jgħaddi mill-import mill-ġdid, filwaqt li mogħdija assoluta tinkiser fil-mument li l-profil jiġi mċaqlaq għal magna oħra.

Aqra l-iżball li jmiss, mhux l-istess

L-iskop li tforni l-CA t-tajjeb huwa li tbiddel l-iżball, mhux li tġiegħlu jisparixxi. Falliment tal-identità tas-server wara li jiġi mgħobbi l-CA ifisser li ċ-ċertifikat ma qabilx mal-isem mistenni jew mal-aspettattiva remote-cert-tls, li hija tiswija differenti minn rifjut tal-password. Rifjut tal-password ifisser li s-saff TLS irnexxa u l-kredenzjali huma ħżiena. Żomm l-ewwel messaġġ ġdid; dak huwa l-utli.

Klijent li jikkonnettja imma ma jilħaq xejn għadda għal kollox mill-fiduċja u issa jiffaċċja kwistjoni ta' routing jew DNS.

Qatt tiddiżattiva l-verifika biex tgħaddi minn dak id-djalogu. Klijent li jaċċetta kwalunkwe ċertifikat m'għandu l-ebda raġuni jitlob CA, u l-mina li jibni mhijiex dik li l-operatur kien beħsiebu.