OpenVPN ਦੀ CA ਸਾਈਨਿੰਗ ਕੁੰਜੀ /etc/openvpn ਤੋਂ ਬਾਹਰ ਰੱਖੋ

ਟਿਊਟੋਰਿਅਲ ਵਿੱਚ ਇੱਕੋ ਜਿਹੀਆਂ ਦਿਸਦੀਆਂ ਦੋ ਡਾਇਰੈਕਟਰੀਆਂ ਬਿਲਕੁਲ ਵੱਖਰੇ ਕੰਮ ਕਰਦੀਆਂ ਹਨ। ਇੱਕ ਪ੍ਰਮਾਣਪੱਤਰ ਅਧਿਕਾਰ ਰੱਖਦੀ ਹੈ: ਉਸ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ, ਉਸ ਦਾ ਕ੍ਰਮ ਅੰਕ ਗਿਣਕ ਅਤੇ ਉਸ ਨੇ ਜੋ ਵੀ ਦਸਤਖ਼ਤ ਕੀਤਾ ਉਸ ਦਾ ਰਿਕਾਰਡ। ਦੂਜੀ ਉਹ ਰੱਖਦੀ ਹੈ ਜੋ ਡੀਮਨ ਨੂੰ ਸ਼ੁਰੂ ਹੋਣ ਅਤੇ ਕਲਾਇੰਟਾਂ ਦੀ ਸੇਵਾ ਕਰਨ ਲਈ ਚਾਹੀਦਾ ਹੈ। ਦੋਵੇਂ ਇੱਕੋ ਹੋਸਟ ਉੱਤੇ ਇੱਕੋ ਖਾਤੇ ਹੇਠ ਰੱਖਣਾ ਇੱਕ ਦੁਪਹਿਰ ਲਈ ਸੁਵਿਧਾਜਨਕ ਹੈ ਅਤੇ ਬਾਕੀ ਪੂਰੀ ਤੈਨਾਤੀ ਦੀ ਉਮਰ ਲਈ ਮਹਿੰਗਾ, ਕਿਉਂਕਿ ਫਿਰ ਡੀਮਨ ਉਸ ਇੱਕੋ ਕੁੰਜੀ ਦੇ ਕੋਲ ਚੱਲਦਾ ਹੈ ਜੋ ਕੋਈ ਵੀ ਪਛਾਣ ਬਣਾ ਸਕਦੀ ਹੈ।

CA ਦੇ ਕੰਮਕਾਜੀ ਖੇਤਰ ਵਿੱਚ ਕੀ ਹੁੰਦਾ ਹੈ

PKI ਡਾਇਰੈਕਟਰੀ ਜਾਰੀਕਰਤਾ ਦੀ ਅਵਸਥਾ ਹੈ, ਸੰਰਚਨਾ ਨਹੀਂ। ਇਸ ਵਿੱਚ CA ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਅਤੇ ਪ੍ਰਮਾਣਪੱਤਰ, ਕ੍ਰਮ ਅੰਕ ਫ਼ਾਈਲ, ਜਾਰੀ ਪ੍ਰਮਾਣਪੱਤਰਾਂ ਦੀ ਸੂਚੀ, ਅਤੇ ਉਨ੍ਹਾਂ ਤੋਂ ਬਣੀ ਹਰ ਪਛਾਣ ਦੀ ਸਮੱਗਰੀ ਹੁੰਦੀ ਹੈ।

ਬੇਨਤੀ ਉੱਤੇ ਦਸਤਖ਼ਤ ਕਰਨਾ ਉਹ ਅਵਸਥਾ ਬਦਲਦਾ ਹੈ, ਇਸ ਲਈ ਕੰਮਕਾਜੀ ਖੇਤਰ ਉਸ ਹੋਸਟ ਉੱਤੇ ਪ੍ਰਬੰਧਕ-ਨਿਯੰਤਰਿਤ ਖਾਤੇ ਦਾ ਹੁੰਦਾ ਹੈ ਜਿੱਥੇ VPN ਸੇਵਾ ਨਹੀਂ ਚੱਲਦੀ। ਜੋ CA ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਪੜ੍ਹ ਸਕਦਾ ਹੈ ਉਹ ਅਜਿਹਾ ਪ੍ਰਮਾਣਪੱਤਰ ਜਾਰੀ ਕਰ ਸਕਦਾ ਹੈ ਜਿਸ ਉੱਤੇ ਸਰਵਰ ਭਰੋਸਾ ਕਰੇਗਾ, ਇਸ ਲਈ ਕੁੰਜੀ ਦੀ ਸੁਰੱਖਿਆ ਹੀ ਇੱਕ ਫ਼ਾਈਲ ਵਿੱਚ ਪੂਰਾ ਭਰੋਸਾ ਮਾਡਲ ਹੈ। ਇੱਕ ਕਦਮ ਬਚਾਉਣ ਲਈ ਇਸਨੂੰ ਦੂਜੀ ਥਾਂ ਨਕਲ ਕਰਨਾ ਸੁਰੱਖਿਆ ਲਈ ਦੂਜੀ ਚੀਜ਼ ਅਤੇ ਭੁੱਲਣ ਲਈ ਦੂਜੀ ਚੀਜ਼ ਬਣਾਉਂਦਾ ਹੈ। ਹਰ ਦਸਤਖ਼ਤ ਕ੍ਰਮ ਅੰਕ ਵਧਾਉਂਦਾ ਹੈ ਅਤੇ ਸੂਚੀ ਵਿੱਚ ਐਂਟਰੀ ਜੋੜਦਾ ਹੈ, ਇਸ ਲਈ ਕੰਮਕਾਜੀ ਖੇਤਰ ਫ਼ਾਈਲਾਂ ਦਾ ਫ਼ੋਲਡਰ ਨਹੀਂ, ਅਵਸਥਾ ਦੀ ਇੱਕ ਨਕਲ ਹੈ।

ਜਨਤਕ CA ਪ੍ਰਮਾਣਪੱਤਰ ਵੱਖਰਾ ਹੈ। ਇਹ ਵੰਡਣ ਲਈ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਤੇ ਸਰਵਰ ਇੱਕ-ਦੂਜੇ ਦੀ ਜਾਂਚ ਲਈ ਇਹੀ ਵਰਤਦੇ ਹਨ।

ਡੀਮਨ ਸ਼ੁਰੂ ਹੁੰਦਿਆਂ ਕੀ ਪੜ੍ਹਦਾ ਹੈ

ਚੱਲ ਰਿਹਾ ਸਰਵਰ ਥੋੜ੍ਹਾ ਜਿਹਾ ਸਮੂਹ ਵਰਤਦਾ ਹੈ: ਆਪਣਾ ਪ੍ਰਮਾਣਪੱਤਰ, ਆਪਣੀ ਨਿੱਜੀ ਕੁੰਜੀ, ਸਾਥੀਆਂ ਦੀ ਜਾਂਚ ਲਈ CA ਪ੍ਰਮਾਣਪੱਤਰ, ਅਤੇ ਚੁਣੀ ਵਿਧੀ ਨੂੰ ਜੋ ਵੀ ਕੁੰਜੀ ਸਮੱਗਰੀ ਚਾਹੀਦੀ ਹੋਵੇ। ਇਹ ਇਹ ਰਾਹ ਸ਼ੁਰੂਆਤ ਵੇਲੇ ਅਤੇ ਫਿਰ ਰੀਲੋਡ ਵੇਲੇ ਪੜ੍ਹਦਾ ਹੈ।

ਮਾਲਕੀ ਉਸ ਯੂਨਿਟ ਦੇ ਮੁਕਾਬਲੇ ਮਾਪੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ ਜੋ ਅਸਲ ਵਿੱਚ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ, ਕਿਸੇ ਇੰਟਰਐਕਟਿਵ root ਸ਼ੈੱਲ ਦੇ ਮੁਕਾਬਲੇ ਨਹੀਂ। ਐਲਾਨਿਆ ਸੈਂਡਬਾਕਸਿੰਗ ਫ਼ਾਈਲ ਸਿਸਟਮ ਦਾ ਹਿੱਸਾ ਸਿਰਫ਼-ਪੜ੍ਹਨਯੋਗ ਜਾਂ ਅਦਿੱਖ ਬਣਾ ਸਕਦੀ ਹੈ, ਭਾਵੇਂ root ਵਜੋਂ ਹੱਥੀਂ ਕੀਤਾ ਟੈਸਟ ਸਫਲ ਹੋਵੇ।

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

ਤੀਜੀ ਲਾਈਨ ਉਹੀ ਹੈ ਜਿਸਨੂੰ ਲੋਕ ਛੱਡ ਦਿੰਦੇ ਹਨ। ਇਹ ਡੀਮਨ ਦੇ ਆਪਣੇ ਖਾਤੇ ਨੂੰ ਪੁੱਛਦੀ ਹੈ ਕਿ ਕੀ ਉਹ ਕੁੰਜੀ ਪੜ੍ਹ ਸਕਦਾ ਹੈ, ਅਤੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਡਿੱਗਣ ਤੋਂ ਬਾਅਦ ਸਵਾਲ ਦਾ ਇਹੀ ਇੱਕੋ ਅਰਥਪੂਰਨ ਰੂਪ ਹੈ। root ਨਾਲ ਜ਼ੀਰੋ ਨਿਕਾਸ ਤੁਹਾਨੂੰ ਇਸ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਡਿੱਗਣ ਤੋਂ ਬਾਅਦ ਕੀ ਹੁੰਦਾ ਹੈ।

ਕੋਈ ਵੀ ਇਜਾਜ਼ਤ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋ ਫੇਲ੍ਹ ਹੋਣ ਦੇ ਰਾਹ ਵੱਖ ਕਰਨੇ ਚਾਹੀਦੇ ਹਨ। ਦਸਤਖ਼ਤ ਫੇਲ੍ਹ ਹੋਣਾ PKI ਡਾਇਰੈਕਟਰੀ, ਉਸ ਦੀਆਂ ਮੂਲ ਡਾਇਰੈਕਟਰੀਆਂ ਉੱਤੇ ਖੋਜ ਇਜਾਜ਼ਤ ਅਤੇ ਜਾਰੀਕਰਤਾ ਚਲਾਉਣ ਵਾਲੇ ਖਾਤੇ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਸ਼ੁਰੂਆਤ ਫੇਲ੍ਹ ਹੋਣਾ ਯੂਨਿਟ, ਉਸ ਦੀ ਕੰਮਕਾਜੀ ਡਾਇਰੈਕਟਰੀ ਅਤੇ ਸਰਵਰ ਸੰਰਚਨਾ ਵਿੱਚ ਨਾਮਿਤ ਰਾਹਾਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਪੂਰਾ ਦਰਖ਼ਤ ਸਭ ਲਈ ਪੜ੍ਹਨਯੋਗ ਬਣਾਉਣਾ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਠੀਕ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਉਹ ਸੀਮਾ ਹਟਾ ਦਿੰਦਾ ਹੈ ਜਿਸ ਉੱਤੇ ਦੋਵੇਂ ਨਿਰਭਰ ਹਨ।

CA ਕੁੰਜੀ ਸਰਵਰ ਉੱਤੇ ਨਕਲ ਕਰਨਾ ਬਾਅਦ ਵਿੱਚ ਕਿਉਂ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ

ਨਕਲ ਆਮ ਤੌਰ ਉੱਤੇ ਡੀਬੱਗਿੰਗ ਦੇ ਕਦਮ ਵਜੋਂ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ: ਕਿਸੇ ਨੂੰ VPN ਹੋਸਟ ਉੱਤੇ ਕਲਾਇੰਟ ਨਵੀਨੀਕਰਨ ਕਰਨਾ ਹੈ, ਇਸ ਲਈ CA ਕੁੰਜੀ /etc/openvpn ਵਿੱਚ ਪਹੁੰਚਦੀ ਹੈ ਅਤੇ ਨਵੀਨੀਕਰਨ ਚੱਲਦਾ ਹੈ। ਤੁਰੰਤ ਕੰਮ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਸੀਮਾ ਗਈ।

ਫਿਰ ਸਰਵਰ ਦਾ ਬੈਕਅਪ ਬਣਦਾ ਹੈ, ਅਤੇ ਦਸਤਖ਼ਤ ਅਧਿਕਾਰ ਬੈਕਅਪਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋ ਜਾਂਦਾ ਹੈ। ਸਨੈਪਸ਼ਾਟ, ਸਹਾਇਤਾ ਬੰਡਲ ਜਾਂ ਸੰਰਚਨਾ ਡਾਇਰੈਕਟਰੀ ਦੀ ਨਕਲ ਹੁਣ ਜਿੰਨਾ ਚਿਰ CA ਵੈਧ ਹੈ, ਭਰੋਸੇਯੋਗ ਪਛਾਣਾਂ ਜਾਰੀ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਰੱਖਦੀ ਹੈ। ਜਿਸ ਕੋਲ ਉਹ ਨਕਲ ਹੈ ਉਹ ਸਰਵਰ ਵੱਲੋਂ ਸਵੀਕਾਰ ਕੀਤੇ ਕਿਸੇ ਵੀ ਨਾਮ ਲਈ ਪ੍ਰਮਾਣਪੱਤਰ ਬਣਾ ਸਕਦਾ ਹੈ, ਜਿਨ੍ਹਾਂ ਨਾਮਾਂ ਸਮੇਤ ਜੋ ਕਦੇ ਜਾਰੀ ਨਹੀਂ ਹੋਏ। ਉਸ ਜਾਰੀ ਕਰਨ ਦਾ ਇੱਕੋ ਰਿਕਾਰਡ ਉਹੀ ਹੈ ਜੋ ਉਹ ਰੱਖਣਾ ਚੁਣਦੇ ਹਨ।

ਅਜਿਹੀ ਅਵਸਥਾ ਤੋਂ ਉੱਭਰਨਾ ਫ਼ਾਈਲ ਮਿਟਾਉਣ ਦਾ ਮਸਲਾ ਨਹੀਂ ਹੈ। ਤੁਹਾਨੂੰ ਤੈਅ ਕਰਨਾ ਹੈ ਕਿ ਕੁੰਜੀ ਖੁੱਲ੍ਹੀ ਸੀ ਜਾਂ ਨਹੀਂ, ਖੁੱਲ੍ਹੀ ਸੀ ਤਾਂ CA ਘੁਮਾਉਣਾ ਹੈ, ਅਤੇ ਹਰ ਸਾਥੀ ਨੂੰ ਭਰੋਸਾ ਦੁਬਾਰਾ ਵੰਡਣਾ ਹੈ। ਵੱਖਰਾ ਕੰਮਕਾਜੀ ਖੇਤਰ ਪੂਰੀ ਗੱਲਬਾਤ ਤੋਂ ਬਚਾ ਲੈਂਦਾ ਹੈ।

ਖਾਤੇ, ਡਾਇਰੈਕਟਰੀਆਂ, ਬੈਕਅਪ

ਜਾਰੀਕਰਤਾ ਨੂੰ ਆਪਣਾ ਖਾਤਾ ਅਤੇ ਘਰ ਡਾਇਰੈਕਟਰੀ ਦਿਓ, ਜਿੱਥੇ ਵਿਹਾਰਕ ਹੋਵੇ VPN ਹੋਸਟ ਤੋਂ ਦੂਰ ਰੱਖੋ। ਡੀਮਨ ਨੂੰ ਵੱਖਰਾ ਖਾਤਾ ਦਿਓ, ਤੈਨਾਤ ਸਮੱਗਰੀ ਉੱਤੇ ਪੜ੍ਹਨ ਦਾ ਹੱਕ ਅਤੇ ਪ੍ਰਮਾਣਪੱਤਰ ਜਾਰੀ ਕਰਨ ਵਾਲੀ ਕਿਸੇ ਵੀ ਚੀਜ਼ ਉੱਤੇ ਲਿਖਣ ਦਾ ਹੱਕ ਬਿਨਾਂ। ਜਨਤਕ ਪ੍ਰਮਾਣਪੱਤਰ ਬਾਹਰ ਨਕਲ ਕਰਕੇ ਤੈਨਾਤ ਕਰੋ ਅਤੇ ਨਿੱਜੀ ਜਾਰੀਕਰਤਾ ਅਵਸਥਾ ਕਦੇ ਵੀ ਅੰਦਰ ਨਾ ਖਿੱਚੋ। ਦੋਵੇਂ ਭੂਮਿਕਾਵਾਂ ਦੇ ਬੈਕਅਪ ਵੱਖਰੇ ਰੱਖੋ, ਕਿਉਂਕਿ ਉਨ੍ਹਾਂ ਦੀ ਸੰਵੇਦਨਸ਼ੀਲਤਾ ਅਤੇ ਬਹਾਲੀ ਦੀਆਂ ਕਹਾਣੀਆਂ ਵੱਖਰੀਆਂ ਹਨ।

ਰੱਦ ਕਰਨ ਤੋਂ ਬਾਅਦ ਸਰਵਰ ਸੰਰਚਨਾ ਵਿੱਚ ਨਾਮਿਤ CRL ਫ਼ਾਈਲ ਅੱਪਡੇਟ ਕਰੋ, ਫਿਰ ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਉਸਨੂੰ ਪੜ੍ਹਨ ਲਈ ਸੇਵਾ ਰੀਲੋਡ ਕਰੋ। Easy-RSA ਦਸਤਾਵੇਜ਼ ਕੰਮਕਾਜੀ ਖੇਤਰ ਦੀ ਬਣਾਵਟ ਅਤੇ ਦਸਤਖ਼ਤ ਦਾ ਪ੍ਰਵਾਹ ਕਵਰ ਕਰਦੇ ਹਨ; ਇਸ ਦੁਆਲੇ ਦੇ ਮਾਲਕੀ ਨਿਯਮ ਤੁਹਾਡੇ ਹੋਸਟ ਬਾਰੇ ਫ਼ੈਸਲਾ ਹੀ ਰਹਿੰਦੇ ਹਨ। ਸੇਵਾ ਨੇ ਕੀ ਲੋਡ ਕੀਤਾ ਇਹ openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate ਨਾਲ ਪੁਸ਼ਟੀ ਕਰੋ, ਇਹ ਮੰਨਣ ਦੀ ਥਾਂ ਕਿ ਰੀਲੋਡ ਨੇ ਇਹ ਚੁੱਕ ਲਿਆ।

ਵਿਭਾਜਨ ਸਾਬਤ ਕਰਨ ਵਾਲਾ ਟੈਸਟ

ਸਿਰਫ਼ ਚੱਲਣ ਵਾਲੀ ਹਾਲਤ ਨਹੀਂ, ਨਕਾਰਾਤਮਕ ਹਾਲਤ ਵੀ ਜਾਂਚੋ। ਢਾਂਚੇ ਅਨੁਸਾਰ ਜਾਰੀਕਰਤਾ ਖਾਤੇ ਤੋਂ ਪ੍ਰਮਾਣਪੱਤਰ ਉੱਤੇ ਦਸਤਖ਼ਤ ਕਰੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਉਹੀ ਖਾਤਾ ਸੇਵਾ ਸ਼ੁਰੂ ਨਹੀਂ ਕਰ ਸਕਦਾ ਜਾਂ ਸਰਵਰ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨਹੀਂ ਪੜ੍ਹ ਸਕਦਾ। ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਡੀਮਨ ਦਾ ਖਾਤਾ CA ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨਹੀਂ ਪੜ੍ਹ ਸਕਦਾ।

ਇਹ ਤਿੰਨ ਜਾਂਚਾਂ ਕੁਝ ਮਿੰਟ ਲੈਂਦੀਆਂ ਹਨ ਅਤੇ ਕਰਮਚਾਰੀ ਬਦਲਣ ਉੱਤੇ ਵੀ ਟਿਕਦੀਆਂ ਹਨ, ਕਿਉਂਕਿ ਇਹ ਆਦਤ ਬਾਰੇ ਨਹੀਂ, ਇਜਾਜ਼ਤਾਂ ਬਾਰੇ ਬਿਆਨ ਹਨ। ਨਤੀਜਾ ਉਸ ਦੁਆਰਾ ਕਵਰ ਕੀਤੇ ਰਾਹਾਂ ਅਤੇ ਖਾਤਿਆਂ ਸਮੇਤ, ਅਤੇ ਉਹ ਚਲਾਉਣ ਦੀ ਤਾਰੀਖ਼ ਸਮੇਤ ਲਿਖੋ। ਨਹੀਂ ਤਾਂ ਇਹ ਤੈਨਾਤੀ ਵਿਰਾਸਤ ਵਜੋਂ ਪਾਉਣ ਵਾਲਾ ਅਗਲਾ ਵਿਅਕਤੀ ਉਸ ਟਿਊਟੋਰਿਅਲ ਤੋਂ ਸੀਮਾ ਮੁੜ ਕੱਢੇਗਾ ਜਿੱਥੇ ਸੀਮਾ ਕਦੇ ਸੀ ਹੀ ਨਹੀਂ। ਤਾਰੀਖ਼ ਵਾਲਾ ਰਿਕਾਰਡ ਹੀ ਅਗਲੀ ਸਮੀਖਿਆ ਨੂੰ ਦੁਪਹਿਰ ਦੀ ਥਾਂ ਕੁਝ ਮਿੰਟਾਂ ਦਾ ਬਣਾਉਂਦਾ ਹੈ।