उही ca.crt फाइल नाम, फरक प्रमाणपत्र: के तुलना गर्ने

दुवै प्रोफाइलले ca.crt नामको फाइल ल्याउँछन्, एउटा सुरुङ माथि आउँछ र अर्को शृंखला त्रुटिसँग असफल हुन्छ। दुवै फाइल छेउछाउ राखेर खोल्नुले यो विरलै टुंग्याउँछ, र प्रमाणीकरण बन्द गर्नुले यसलाई गलत दिशामा टुंग्याउँछ। त्रुटिले वास्तवमा सोध्ने प्रश्न अझ साँघुरो छ: प्रत्येक प्रक्रियाले कुन प्रमाणपत्रलाई आफ्नो विश्वास एङ्करका रूपमा लोड गर्छ, र ती दुई एउटै वस्तु हुन्? पहिले यसको उत्तर दिनुहोस् र बाँकी निदानले दिशा पाउँछ। फाइल नाम प्याकेजिङ लेबल हो, र प्रोफाइलमा लेखिएको बाटो पनि आधिकारिक होइन, त्यसैले सबै कुरा प्रक्रियाले वास्तवमा के पढ्छ भन्नेमा निर्भर छ।

क्लाइन्टले वास्तवमा लोड गर्ने प्रमाणपत्र भेट्टाउनुहोस्

OpenVPN अधिकारलाई दुई रूपमा स्वीकार्छ, र रूपले कुन बाइट महत्त्वपूर्ण छ भनी निर्धारण गर्छ। प्रोफाइलले ca सँग बाह्य फाइलतर्फ संकेत गर्न सक्छ, वा प्रमाणपत्रलाई प्रोफाइलभित्रै <ca> ब्लकमा एम्बेड गर्न सक्छ। दुवै भएमा एम्बेड गरिएको ब्लक जित्छ र प्रोफाइलको छेउमा रहेको फाइल कहिल्यै खोलिँदैन।

असफल प्रोफाइल पढ्नुहोस् र केही तुलना गर्नुअघि यसले कुन रूप प्रयोग गर्छ भनी पत्ता लगाउनुहोस्। छेउछाउको निर्देशिकाबाट वा अर्को प्रोफाइल आएको प्याकेजबाट लिइएको प्रतिले यो प्रक्रिया केमा विश्वास गर्छ भन्नेबारे तपाईंलाई केही बताउँदैन। कन्फिगरेसनको बाटोमा पनि यही लागू हुन्छ: यो क्लाइन्ट सुरु भएको ठाउँको सापेक्ष समाधान हुन्छ, जुन सधैं तपाईं हेरिरहनुभएको निर्देशिका होइन। प्रोफाइल पढ्नुहोस्, फोल्डर होइन।

प्रमाणपत्रहरू तिनीहरूको सामग्रीले चिनिन्छन्: सार्वजनिक कुञ्जी, विषय र जारीकर्ता, वैधता अवधि र यी सबैमाथिको हस्ताक्षर। समान बाइट भएका दुई फाइल जुनसुकै नामका भए पनि एउटै प्रमाणपत्र हुन्, र एउटै नाम भएका दुई फाइल असम्बन्धित अधिकार हुन सक्छन्। नाम प्याकेजिङ लेबल हो, पहिचान होइन।

openssl प्रयोग गरी दुवै प्रतिको फिंगरप्रिन्ट लिनुहोस्

फिंगरप्रिन्ट प्रमाणपत्रको DER इन्कोडिङमाथिको ह्यास हो, हस्ताक्षरले ढाक्ने रूप, त्यसैले लाइन अन्त्य र हेडर पाठले यसमा असर गर्न सक्दैन। प्रत्येक फाइलका लागि यसको गणना गर्नुहोस् र तपाईंसँग कोलनले छुट्याइएका दुई हेक्स स्ट्रिङ हुन्छन्, जो या त मिल्छन् या मिल्दैनन्। तुलनाको प्रश्नको उत्तर दिन प्रमाणपत्रमा अरू केही पढ्नु आवश्यक छैन।

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

openssl लाई प्रोफाइलतिरै निर्देश गर्न लोभलाग्दो छ, तर यसले फाइलमा पहिलो देखिने प्रमाणपत्र ब्लक पढ्छ, र प्रोफाइलले सामान्यतया <ca> अघि <cert> राख्छ। अधिकारको ब्लक निकाल्नुहोस्, त्यसपछि निकालिएको फाइलको फिंगरप्रिन्ट लिनुहोस्, किनकि क्लाइन्टले वास्तवमा प्रयोग गर्ने प्रति त्यही हो।

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

समान फिंगरप्रिन्टको अर्थ विश्वास सामग्री एउटै छ र शृंखला त्रुटिको अर्को कारण छ, जो फरक अनुसन्धान हो। फरक फिंगरप्रिन्टको अर्थ फरक प्रमाणपत्र हो, र अर्को खण्ड त्यहीँबाट सुरु हुन्छ।

आक्रमण मान्नुअघि असंगति पढ्नुहोस्

फरक फिंगरप्रिन्टको अर्थ फरक प्रमाणपत्र र त्यसभन्दा बढी केही होइन। पुनः जारी, रोटेसन, नाम फेरिएको अधिकार वा पुरानो बन्डल सबैले पूर्ण रूपमा वैध इतिहास भएका फरक फाइल बनाउँछन्। कुन तैनाथीको हो भन्ने ऑपरेटर वा तैनाथी अभिलेख सँग सम्बन्धित प्रश्न हो, फाइलको परिमार्जन समयको होइन। अभिलेखहरूले टाइमस्ट्याम्प प्रतिलिपि गर्छन्, त्यसैले नयाँ फाइल स्वतः सही एङ्कर होइन।

आफैंमा हस्ताक्षर गर्ने मूल सामान्य हो, त्यसैले एउटा भेट्टाउनु समस्याको प्रमाण होइन। जाँचकर्ताको काम सर्भर प्रमाणपत्रदेखि उसलाई दिइएको एङ्करसम्म बाटो बनाउनु हो, र शृंखला त्रुटिको अर्थ सामान्यतया त्यो बाटो पूरा गर्न सकिएन भन्ने हो।

असफल प्रोफाइलको एङ्कर तैनाथीले अझै जारी गर्ने अधिकार हो कि होइन जाँच्नुहोस्। यदि फिंगरप्रिन्ट तैनाथी अभिलेखमा केहीसँग मिल्दैन भने, प्रोफाइल केवल पुरानो हो, र क्लाइन्ट पक्षको कुनै ट्युनिङले यसलाई सुधार्ने छैन।

प्रमाणीकरण बन्द नगरी विश्वास सुधार्नुहोस्

अल्पकालीन उपाय प्रमाणीकरण बन्द गर्नु वा शृंखलाको प्रत्येक प्रमाणपत्रलाई एङ्करका रूपमा थप्नु हो। दुवैले सन्देश अदृश्य बनाउँछन्, र दुवैले क्लाइन्टले अबदेखि कुन सर्भर स्वीकार्ने भन्ने परिवर्तन गर्छन्। प्रमाणीकरण फेरि खोल्नुहोस्, इच्छित एङ्कर स्थापना गर्नुहोस् र फेरि परीक्षण गर्नुहोस्।

यदि शृंखला अब बन्छ तर फरक त्रुटि देखिन्छ भने, त्यो प्रगति हो: नाम प्रमाणीकरण, वैधता मिति र रद्दीकरण फरक सन्देश भएका फरक जाँच हुन्। फिंगरप्रिन्ट जोडी र मूल त्रुटि पाठ टिकटमा सँगै राख्नुहोस्, ताकि अर्को व्यक्तिले कुन एङ्कर लोड भयो र कुन अपेक्षित थियो देख्न सकून्। फिंगरप्रिन्टको जोडी हस्तान्तरण नोटमा टाँस्न सकिने जति सानो छ, र अर्को घटना तब दिउँसोको सट्टा पाँच मिनेट लिन्छ।

प्रोफाइल पुर्‍याउने त्यही प्रमाणित च्यानलबाट सही अधिकार प्राप्त गर्नुहोस्। यसको विषय परिचित देखिन्छ भनेर सर्भरबाट प्रमाणपत्र तान्नु फरक कार्य हो, र यसले क्लाइन्टले विश्वास गर्ने दायरा चुपचाप फराकिलो बनाउँछ।