Kif OpenVPN issolvi ċ-ċertifikat u ċ-ċavetta: PEM inlinja jew passaġġ

Il-messaġġ jgħid li OpenVPN ma tistax tgħabbi ċertifikat inlinja, filwaqt li l-isem tal-fajl li għandek f'moħħok jgħid mod ieħor. Dak li rċieva l-parser huwa aktar importanti minn dak li fih is-sistema tal-fajls, għax id-direttiva cert taċċetta żewġ tipi ta' valur kompletament differenti. Waħda hija passaġġ li tiftaħ; l-oħra hija test PEM li wasal ġewwa l-konfigurazzjoni. Sakemm ma tkunx taf liema forma rċieva l-klijent li qed jaħdem, kull tiswija hija suppożizzjoni.

Żewġ forom ta' ħażna, direttiva waħda

Id-direttivi cert, key u ca kull waħda taċċetta passaġġ jew blokk inlinja. Meta l-valur ikun passaġġ, OpenVPN tiftaħ dak il-fajl u taqra l-oġġett mid-diska. Meta l-konfigurazzjoni jkun fiha blokk delimitat b'tags cert, l-istess direttiva tikkonsma minflok il-kontenut bejn dawk it-tags, u l-ebda fajl separat ma jkun involut.

Iż-żewġ forom jipproduċu fl-aħħar l-istess tip ta' oġġett, għalhekk skjerament li jaħdem jista' jgħaddi bejniethom mingħajr ebda bidla oħra. Profil li jġorr ċertifikat tal-klijent u ċavetta privata inkorporati huwa awtosuffiċjenti, u l-ikkupjar tiegħu fuq magna oħra jaħdem mingħajr ma tikkupja wkoll direttorju taċ-ċertifikati.

Il-maqlub mhuwiex minnu. Li tpoġġi client.crt ħdejn profil li jinkorpora d-dejta tiegħu stess ma jbiddel xejn, għax xejn fil-konfigurazzjoni ma jirreferi għal dak il-fajl. Din hija l-aktar raġuni komuni li fajl li evidentement jeżisti jidher injorat.

Kif blokk inlinja jsir oġġett

Il-kontenut inlinja jiġi estratt mill-konfigurazzjoni u jingħata lill-parser PEM bħala test. Dak il-parser jistenna l-konfini tas-soltu: linja BEGIN, tagħbija base64 u linja END li taqbel. Jekk il-blokk inqata' minn kopja falluta, inkebbeb fl-HTML minn paġna ta' tniżżil, jew infetaħ f'editur li nnormalizza t-trattini, il-parser ifalli fuq kontenut li jidher preżenti.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

Huwa għalhekk ukoll li l-kliem tal-iżball huwa qarrieqi. Il-kelma inlinja tiddeskrivi fejn ħares it-tagħbija, mhux x' sab hemm. Fajl imsemmi fil-konfigurazzjoni u oġġett inkorporat fiha jistgħu jipproduċu l-istess ilment meta l-bytes bażiċi ma jkunux jistgħu jintużaw.

Iċċekkja liema forma tuża tassew il-profil mgħobbi, mhux liema fajl fetħet l-editur tiegħek b'kumbinazzjoni:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

Kif tiġi solvuta referenza ta' passaġġ

Valur ta' passaġġ jinfetaħ relattiv għad-direttorju tax-xogħol tal-klijent, mhux għad-direttorju li fih il-konfigurazzjoni. Taħt systemd dak id-direttorju tax-xogħol huwa dak li jistabbilixxi l-unit, u ġirja interattiva mill-shell tiegħek tiret xi ħaġa għal kollox differenti. Għalhekk l-istess fajl ta' konfigurazzjoni jista' jaħdem meta ttestjah bl-idejn u jfalli bħala servizz.

Passaġġi relattivi jirtu l-istess ambigwità. Meta tara isem ta' fajl mikxuf, staqsi x'inhu d-direttorju kurrenti tal-proċess fil-produzzjoni minflok ma tassumi li jaqbel mat-terminal tiegħek.

Għaċ-ċertifikat maħżun separatament, analiżi offline tikkonferma l-oġġett qabel ma tnaddaf xi ħaġa fuqu:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

Dawk il-kmandi jippruvaw li l-fajls jinqraw u huma validi strutturalment. Ma jippruvawx li l-pari jafda lill-ħarreġ, li ċ-ċertifikat għadu fit-tieqa tal-validità tiegħu, jew li ċ-ċavetta tappartjeni lilu.

X'jista' u x'ma jistax jgħidlek l-iżball tal-parser

Nuqqas ta' analiżi jillokalizza l-problema f'input wieħed u stadju wieħed. Ma jgħidlekx liema miż-żewġ forom ta' ħażna uża l-klijent, u ma jgħidlekx jekk l-oġġett kienx se jiġi aċċettat. Dawn huma mistoqsijiet separati bi provi separati.

Ladarba l-analiżi tirnexxi, in-nuqqas li jmiss jappartjeni għal stadju aktar tard. Ċaħda ta' fiduċja, nuqqas ta' qbil fl-iskop jew nuqqas ta' qbil fiċ-ċavetta jiġu rrappurtati mill-pari jew mis-saff TLS, mhux mit-tagħbija. Is-sostituzzjoni ripetuta tal-istess fajl ma tmexxix dak l-iżball.

Żomm in-nofs sensittiv 'il barra mir-rapporti pubbliċi waqt li tinvestiga. Aqsam l-ismijiet tad-direttivi, it-test tal-iżball u l-istruttura tal-blokk, bil-materjal taċ-ċavetta u kwalunkwe tagħbija identifikattiva mneħħija. Il-manwal openvpn(8) jiddokumenta ż-żewġ forom tad-direttivi tal-fajl u l-imġiba tad-direttorju tax-xogħol warajhom.