remote-cert-tls server: x'jiċċekkja fi profil OpenVPN

Tliet mistoqsijiet differenti jiġu mwieġba minn tliet partijiet differenti ta' profil OpenVPN, u t-tgħaqqid tagħhom huwa kif in-nies jispiċċaw jitfu verifika li kienet taħdem. Iċ-ċertifikat tal-pari huwa ffirmat mill-awtorità li nafda? Dan iċ-ċertifikat jiddikjara r-rwol tas-server TLS? Huwa dak is-server preċiż li ridt nilħaq? remote-cert-tls server iwieġeb biss il-mistoqsija tan-nofs, u jagħmel dan billi jaqra l-estensjonijiet ġewwa ċ-ċertifikat.

Tliet verifiki li huma faċli biex tgħaqqadhom f'moħħok

L-ankra tal-fiduċja tgħix fid-direttiva ca. Il-verifika tar-rwol tappartjeni lil remote-cert-tls. Il-verifika tal-identità tappartjeni lil verify-x509-name, meta profil jużaha, jew lil kwalunkwe verifika tal-isem li żżid l-implimentazzjoni.

Jkopru fallimenti differenti:

Profil jista' jkollu t-tlieta u xorta jkun dgħajjef jekk is-CA tiġi kondiviża wisq, li hija kwistjoni ta' ġestjoni taċ-ċwievet u mhux ta' direttiva.

X'taqra l-verifika tar-rwol

Id-direttiva hija makro. Hija tespandi f'rekwiżit ta' użu taċ-ċavetta u rekwiżit ta' użu estiż taċ-ċavetta li jsemmi r-rwol tas-server web TLS, għalhekk iċ-ċertifikat tal-pari għandu fil-fatt jiddikjara dak l-għan. Ċertifikat maħruġ għall-awtentikazzjoni tal-klijent ma jissodisfahx, anke meta l-istess awtorità ffirmat it-tnejn.

Dan huwa importanti għax CA kondiviża hija komuni f'implimentazzjonijiet żgħar. Awtorità waħda tiffirma kull klijent u s-server, u mingħajr verifika tar-rwol kwalunkwe minn dawk iċ-ċertifikati setgħet ttemm in-naħa tas-server tal-ħsieb tal-idejn. Il-verifika ma tagħmilx dak ix-xenarju impossibbli, iżda tneħħi l-verżjoni trivjali tiegħu.

Id-direttiva hija asimmetrika fid-disinn: il-klijenti jġorru remote-cert-tls server, u s-servers iġorru remote-cert-tls client. Ibdelhom u kull konnessjoni tfalli b'żball ta' rwol li jidher bħal ċertifikat miksur.

Profilijiet eqdem xi drabi jużaw ns-cert-type għall-istess skop. Il-paġni tal-manwal attwali jqisu dik l-għażla bħala sostitwita, għalhekk profil li għadu jiddependi fuqha jistħoqqlu migrazzjoni minflok debug.

Għaliex iddiżattivaha tħoss bħal tiswija

Meta l-verifika tar-rwol tfalli, il-konnessjoni tieqaf b'żball ta' verifika u l-mossa ovvja hija li tħassar il-linja. Il-konnessjoni mbagħad titla', li tħoss bħal progress u fil-fatt hija l-mod tal-falliment li d-direttiva teżisti biex tipprevjeni. Issa qed taċċetta pari li ċ-ċertifikat tiegħu qatt ma kien maħsub għal dak ir-rwol.

Minflok aqra l-iżball. Huwa jsemmi l-verifika li falliet, u ċ-ċertifikat fuq in-naħa l-oħra jista' jiġi spezzjonat biex tara liema estensjonijiet fil-fatt iġorr. Żewġ minuti ta' qari jiddeċiedu jekk il-ħsara hijiex fl-ħruġ jew fil-konfigurazzjoni. L-istima tiswa wara nofsinhar u ġeneralment tispiċċa b'profil imdgħajjef. Ċertifikat tas-server imġedded li tilef l-użu estiż taċ-ċavetta tiegħu huwa ħsara vera fit-tiġdid, mhux raġuni biex tħoll il-klijent.

Il-verifika tal-isem hija direttiva separata

Li tissodisfa l-verifika tar-rwol ifisser li l-pari huwa xi server iffirmat mill-awtorità tiegħek. Ma tgħid xejn dwar liema, li huwa importanti meta l-istess CA toħroġ ċertifikati għal diversi gateway u wieħed minnhom ikun kompromess jew użat mill-ġdid.

verify-x509-name tqabbel is-suġġett taċ-ċertifikat ma' valur li tikkonfigura, b'modijiet ta' tqabbil għal suġġett eżatt, prefiss jew qasam wieħed. Uża l-qasam li fil-fatt jidentifika l-gateway, u stenna li taġġornah b'mod intenzjonat meta jinbidel l-isem.

L-ebda waħda miż-żewġ direttivi ma tissostitwixxi t-trattament tajjeb taċ-ċwievet. Jekk il-fajl taċ-ċavetta tal-klijent jiġi kkupjat madwar mal-profil, l-identità tal-pari hija b'saħħitha daqs il-lista tad-distribuzzjoni.

Spezzjona ċ-ċertifikat qabel ma tedita l-profil

Aqra ċ-ċertifikat tal-pari u l-log tal-klijent, f'dak l-ordni. Iċ-ċertifikat jgħidlek liema rwoli jiddikjara; il-log jgħidlek liema verifika rrifjutatuh.

Dawn il-kmandi jipprintjaw l-estensjonijiet tal-użu u l-linji tal-verifika minn konnessjoni dettaljata:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Jekk l-estensjonijiet juru r-rwol tas-server u l-log xorta jirrapporta falliment tar-rwol, il-profil x'aktarx qed jindika l-fajl taċ-ċertifikat ħażin u mhux ċertifikat ħażin. Jekk l-estensjonijiet juru biss awtentikazzjoni tal-klijent, waqqaf milli tħares lejn il-klijent u sewwi l-ħruġ. Fi kwalunkwe każ, erġa' stabbilixxi l-verifika qabel ma ssejjaħ il-konnessjoni sana, għax ħsieb tal-idejn li jirnexxi wara li titneħħa l-verifika jipprova inqas mill-iżball li ssostitwixxa.