د CA له بیا جوړولو پرته VPN کلاینټ اضافه کول

یو بل لیپ ټاپ لپاره یو بل سند ته اړتیا لرئ، خو د پلټنې په پایلو کې لومړی درس هغه امر پیلېږي چې د PKI فولډر پاکوي. هغه امر د لومړني ترتیب اړوند دی، د ثبت نه، او چلول یې تاسو ته CA، د صادرولو تاریخچه او هره هغه کلاینټ پروفایل له لاسه ورکوي چې زاړه صادروونکي باور درلود. پرېکړه تنګه ده: ایا صادروونکي لا هم کارېدونکی حالت لري، او ایا نوی وسیله ستاسو د ثبت پالیسۍ سره ځای پر ځای کېږي؟ درې شرطونه پرېکړه کوي، او یوازې یو یې بیا جوړول توجیه کوي.

بیا جوړول واقعاً څه ورانوي

د PKI بیا پیلول فولډر په خالي جوړښت بدلوي: نوی CA کیلي او سند، خالي صادرولو ډیټابیس او نوی کرښیز شمېرونکی. کلاینټان پخپله نه تعقیبوي؛ د هغوی پروفایل زاړه CA پن کوي، نو هره وسیله باید بیا ثبت شي، او هغه چې نه رسېږي په لاس.

غږېدونکی زیان حساب دی. لغوه کول د دې پوهې پورې تړلي چې کوم کرښیز شمېر چا ته ورکړی. فهرست پاک کړئ او لا هم لاسلیک کولی شئ، خو نه شئ کولی په باور ووایاست چې کوم صادر شوي سندونه مو لغوه کول غوښتل. د CA فولډر چې سندونه لري خو د صادروونکي سم حالت نه لري، هغه بیک اپ دی چې د سیستم غلط نیمه بیا رغوي.

د CA شخصي کیلي د روان سرور ترڅنګ کاپي کول بله د منلو وړ نه لاره ده: هغه لاسلیک واک چې باید له شبکې بهر وي په یو بل فایل بدلوي چې کوربه یې ناباوره ترافیک لري.

لومړی شرط: د صادروونکي حالت لا هم رسېدونکی دی

له پرېکړې مخکې هغه فولډر ومومئ چې سرور واقعاً باور پرې لري. هغه سند چې سرور یې د CA په توګه ښیي د PKI فولډر له سند سره په ګوته نښه پرتله کړئ، نه په فایل نوم:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

که نښې سره سمون ولري، ثبت زیاتېدونکی دی او هیڅ مه بیا جوړوئ. که توپیر ولري، تاسو د هغه CA سره لاسلیک کوئ چې سرور باور پرې نه لري: سند پاک نصبېږي خو په لاس ورکولو کې ناکامېږي، او هغه تېروتنه په ساعتونو کې په غلط ډول د کلاینټ خرابي ګڼل کېږي.

بیا د صادرولو حالت وپلټئ: د فهرست فایل، کرښیز شمېرونکی او د CRL شمېر فایل. که فهرست نه وي خو کیلي وي، صادرولی شئ، خو د لغوه کولو د ثبت ستونزه په میراث وړئ. دا په بدلون ریکارډ کې ولیکئ، ځکه چې بله لغوه کولو غوښتنه به یې ښکاره کړي.

دویم شرط: نوی شخصي کیلي چا سره ده

دا هغه پرېکړه ده چې کاروونکي یې احساسوي، نو په څرګنده یې وکړئ. هغه کیلي چې کلاینټ جوړوي او د غوښتنې په توګه لېږل کېږي، شخصي نیمه له لومړي امر څخه په وسیله کې ساتي، او مدیر هېڅکله ورته لاس نه ورکوي. هغه کیلي چې سرور جوړوي د الاتو پرته وسیلو لپاره اسانه ده، خو مدیر د هر کلي ساتونکی کوي او د سرور د ننوتلو اغېزه پراخوي.

د موجود CA پروړاندې د Easy-RSA 3 سره د غوښتنې واردول او لاسلیک کول دوه امرونه دي:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

د سند ډول په پوهه سره وټاکئ. هغه غوښتنه چې د کلاینټ پرځای د سرور سند په توګه لاسلیک شي، هغه فایل درکوي چې ښه ښکاري خو سیال یې ردوي، او د تېروتنې پیغام نادراً وایي ولې. د openssl ca سره لاسلیک کول، هماغه ټاکنه په هغو غزېدونو کې ده چې تاسو یې ورکوئ، نه په اصلي برخه کې.

دریم شرط: سرور له سند څخه زیات څه ته اړ دی

د سند په تصدیق سره عادي OpenVPN سرور لپاره سند خپله ثبت دی: ګډ نوم د کلاینټ هویت کېږي، او هر فولډر، ټېل وهل شوی لار یا ثابت پته پر هماغه نوم ولاړه ده. سند اضافه کړئ او ترتیب هېر کړئ، تونل نښلېږي خو اړین لارې نه ښکاري.

پلیټ فارمونه دا بدلوي. OpenVPN Access Server خپل کاروونکي ډیټابیس لري، نو لاسلیک شوی سند حساب نه دی؛ حساب باید وي او اجازه ولري. نورې دروازې د هویت تار له ډلې سره نښلوي. د یوې وسیلې ثبت معمولاً دوه سیستمونه لمسوي، او سند یوازې لومړی دی.

زیاتېدونکې طریقه او کله بیا جوړول سم دي

د زیان پرته د یوې وسیلې د زیاتولو ترتیب: په ګوته نښه صادروونکی تایید کړئ، د PKI فولډر تازه بیک اپ واخلئ، د کلاینټ رول لپاره غوښتنه وارد او لاسلیک کړئ، د تصویب شوې لارې له مخې سند له زنځیر سره وسپارئ، او له نښلېدو مخکې یې تایید کړئ:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

د موخې کرښه باید SSL client وښیي. له صادرولو وروسته د CA بیک اپ تازه کړئ او پای ته ورسوئ، ځکه چې د نوي کرښیز شمېر له ثبت مخکې اخیستل شوی بیک اپ هغه حالت بېرته راولي چې نوی اضافه شوی وسیله نه لري.

بیا جوړول په درې حالتونو کې سم دي: د CA کیلي ماتې شوې، د صادرولو حالت بېرته نه راتلونکې ورکه شوې، یا تاسو په قصد سره د کیلي الګوریتم یا د سند پالیسي بدلوئ. درې واړه هغه پروژې دي چې هر کلاینټ لپاره د بیا ثبت پلان غواړي، نه د یوې وسیلې غوښتنې ګامونه. که هیڅ هم نه تطبیقېږي، په زیاتېدونکي ډول ثبت کړئ.