OpenVPN mingħajr ċertifikat tal-klijent: politika tas-server, mhux profil

Inti tħassar il-linji taċ-ċertifikat u tal-ċavetta, tgħaddi l-profil, u l-konnessjoni xorta tonqos b'żball taċ-ċertifikat. Il-profil qatt ma kien dak li jinfurza dak ir-rekwiżit. Is-server jiddeċiedi jekk ċertifikat tal-klijent huwiex obbligatorju, u l-ebda editjar fuq in-naħa tal-klijent ma jinnegozjah. Għalhekk is-sewwa hija bidla fil-politika tas-server, magħmula b'mod deliberat, u kull ma jiddependi minnha jiġi aġġornat fl-istess pass.

Il-profil mhux il-politika

Community OpenVPN 2.6 jiġi b'ċertifikati tal-klijent obbligatorji, għax verify-client-cert b'mod awtomatiku huwa require. L-issettjar tiegħu għal none huwa dak li jwaqqaf it-talba għal ċertifikat u jgħaddi l-awtentikazzjoni tal-klijent lill-arranġament tal-isem tal-utent u l-password li s-server diġà jħaddem. Il-gwidi eqdem jaqbdu għal client-cert-not-required, l-ortografija antika tal-istess idea, għalhekk uża d-direttiva li tiddokumenta l-verżjoni installata tiegħek. Kif inhu kif inhu, il-bidla sseħħ fuq is-server, u l-ebda profil tal-klijent ma jista' jagħmilha.

Il-framment hawn taħt huwa l-bidla kollha fuq in-naħa tas-server, u waħdu mhuwiex konfigurazzjoni ta' awtentikazzjoni li taħdem. verify-client-cert none ineħħi r-rekwiżit taċ-ċertifikat, filwaqt li username-as-common-name jagħmel l-isem tal-kont l-identità li jaraw is-sejħiet lura aktar tard u l-fajls ta' kull klijent. L-ebda linja ma tivverifika password, għalhekk verifikatur xorta irid ikun hemm.

verify-client-cert none
username-as-common-name

Dak il-verifikatur huwa plugin jew skript immexxi minn auth-user-pass-verify, u jrid ikun fil-post qabel ma xi waħda mil-linji ta' fuq tfisser xi ħaġa. Jekk treġġa' l-ordni tikseb tieqa li fiha s-server ma jitlob l-ebda ċertifikat u ma jivverifika l-ebda kont.

X'għadu jivverifika s-server

It-tħolli taċ-ċertifikat tal-klijent mhux it-tħolli ta' TLS. Is-server iżomm iċ-ċertifikat u l-ċavetta tiegħu, u l-klijent iżomm il-fiduċja fl-CA u l-verifiki tal-isem tal-host li jżommuh milli jitkellem ma' impostur. It-tneħħija ta' remote-cert-tls server jew tal-pakkett CA għax il-klijent m'għadx għandu ċertifikat hija qari ħażin komuni u serju, u ir-referenza 2.6 hija ċara li ż-żewġ direzzjonijiet huma indipendenti. Waħda tipprova s-server lill-klijent; l-oħra tipprova l-klijent lis-server.

Profil jista' jġorr ukoll blokka tls-auth jew tls-crypt. Dik hija ċavetta kondiviża tal-kanal tal-kontroll biċ-ċiklu tad-distribuzzjoni u r-rotazzjoni tagħha stess, għalhekk fajl mingħajr linji taċ-ċertifikat jew tal-ċavetta mhuwiex awtomatikament sigur biex jiġi ppubblikat. Ittrattah bħala sigriet sakemm tkun qrajtu.

Fajl taċ-ċertifikat ikkupjat minn profil li jaħdem ma jipprova xejn waħdu; il-pussess ifisser li żżomm iċ-ċavetta privata li taqbel miegħu, li jivverifika skjerament awtentikat biċ-ċertifikat. Fajl li fih ċertifikat mhuwiex fajl li bih wieħed jista' jawtentika.

X'irid jagħmel il-verifikatur

Meta r-rekwiżit taċ-ċertifikat jitneħħa, kollox jistrieħ fuq il-verifikatur: plugin, jew skript immexxi minn auth-user-pass-verify. Trid tirrifjuta kredenzjali invalidi, tirrifjuta kontijiet dizattivati jew mhux eliġibbli, u tfalli magħluqa meta ma tkunx tista' tilħaq il-backend tagħha. username-as-common-name spiss jiġi attivat maġenbu, u jbiddel l-identità li jaraw is-sejħiet lura aktar tard u l-fajls tal-konfigurazzjoni ta' kull klijent. Ma jivverifikax password, u ma jagħmilx kont mhux eliġibbli eliġibbli. Dawn huma xogħlijiet separati, u l-taħlit tagħhom huwa kif migrazzjoni tgħaddi t-test tal-mogħdija hienja tagħha u tfalli fl-ewwel inċident reali tagħha.

Ittestja l-każijiet negattivi bl-istess attenzjoni bħall-każ pożittiv. Profil li juri talba għall-password jipprova biss li l-klijent jista' jpinġi talba, filwaqt li server li jaċċetta l-password ħażina jipprova xi ħaġa ferm agħar. Żid kont dizattivat u kredenzjali skaduti mas-sett tat-test, mhux biss password ħażina.

Ibdel il-politika, il-profil u l-mapping flimkien

Ikkordina tliet affarijiet: id-direttiva tas-server, il-profil tal-klijent, u l-mapping tal-identità ta' kull klijent. Ibdelhom separatament u l-klijenti jfallu qabel il-verifika, jew jgħaddu b'isem li l-amministratur ma stenna, li huwa agħar għax jidher bħal suċċess. Konnessjoni li tirnexxi taħt identità ħażina hija aktar diffiċli biex tinnuta minn waħda li tfalli.

Żomm żewġ kontijiet tat-test għal din il-mogħdija, wieħed validu u wieħed magħruf bħala ħażin, u uża t-tnejn wara kull bidla fil-verifikatur. Il-kont validu jipprova l-mogħdija hienja u l-mapping tal-identità; dak ħażin jipprova li ċ-ċaħda għadha taħdem. L-ebda test ma jgħidlek xejn dwar regoli ta' eliġibbiltà, għalhekk żid kont li għandu jiġi rrifjutat għal raġunijiet ta' politika jekk l-iskjerament għandu tali. Mexxi t-tlieta wara kull bidla, għax verifikatur li jibda jaċċetta kollox jidher eżattament bħal login li jaħdem.

Irreġistra liema metodi ta' awtentikazzjoni s-server fil-fatt jaċċetta, mhux liema jissuġġerixxi l-profil. Dik ir-reġistrazzjoni twieġeb il-mistoqsija li n-nies ikomplu jagħmlu, jiġifieri min jista' jikkonnettja ma' dan is-servizz. Hija wkoll tibqa' ħajja iktar mill-amministratur li jmiss, li inkella jiskopriha mill-ġdid minn qabda tal-pakketti.