Easy-RSA وایي چې PKI نشته؟ بل ځای ته ګوري

امر د ca.crt یا index.txt د نشتوالي له امله ودروي، حال دا چې CA میاشتې وي چې سندونه صادروي. په خوده اداره کې هېڅ نه دی بدل شوی؛ امر يوازې بل ځای ته کتلي. Easy-RSA 3 د PKI فولډر له یوې غوراوي، د چاپېریال بدلونکي، vars فایل او داخلي تلوالې ارزښت څخه ټاکي، او هر یو له دغو کولی شي د ځای پرځای کولو له ادارې لرې اشاره وکړي. مخکې لدې چې څه جوړ کړئ، وګورئ کوم یو بریالی شو.

تېروتنه د فولډر نه، د فایل نوم اخلي

د نصب فولډر او د صادروونکي فولډر دوه بېل ځایونه دي. په ماشین کې easyrsa موندل يوازې دا ثابتوي چې وسیله نصب ده، نه دا چې هغه اداره یې موندلې چې ستاسو VPN پرې باور لري.

نو ځکه د بنډل بیا نصبول یا د init ګام بیا چلول ګټور ښکاري او هېڅ نه بدلوي.

له هر څه مخکې ټاکونکی وګورئ

په Easy-RSA 3 کې ټاکونکی EASYRSA_PKI یا ورته سم --pki-dir غوراوی دی. لکه مطلق لار ورکړئ --pki-dir=/srv/pki/office ، او ځواب نور دې ته تړلی نه وي چې تاسو ناڅاپه چېرته ولاړ وئ. دا یوه عادت د دې بګ ټوله طبقه لرې کوي، په ځانګړې توګه د هغو سکریپټونو لپاره چې له cron یا له CI چیک آوټ څخه چلیږي.

لومړی نسل تایید کړئ ، ځکه چې د Easy-RSA 2 د vars فایل او build-key عادت له هغه ماډل څخه بېل دی چې Easy-RSA 3 یې تمه لري. easyrsa --version له هر بل کار مخکې نسل چاپوي، او ./easyrsa --help فرعي امرونه لیستوي: هدف build-key 2.x مانا لري، پداسې حال کې چې build-client-full 3.x مانا لري. زوړ KEY_DIR مسیر 3.x غوښتنې ته وړل ځکه چې د فولډر نوم اشنا ښکاري، همدا تېروتنه جوړوي.

که د نسخې تار او د امر نحو سره سمون نه لري، ودرېږئ او د نصب شوې خپرې خپله مستندات ولولئ.

لومړیتوب د بایللې vars فایل تشریح کوي

مستند لومړیتوب د امر کرښې غوراوی، بیا چاپېریال، بیا vars فایل، بیا داخلي تلوالې دی. نو سم ارزښت په vars کې میراثي چاپېریال بدلونکي ته بایلي، او دا د دې ناکامۍ غلی نسخه ده. ټول چاپېریال په ټکټ کې تویولو پرځای نیت شوي بدلونکي او د فایل ټاکنه وګورئ. د دواړو ترمنځ توپیر معمولاً یو راز دی.

زنځیر په ترتیب سره وګرځئ او یادښت وکړئ چې کوم سرچینه هغه لار ورکړه چې امر کارولې. کله چې دا پوه شئ، سمون یو بیرغ یا export دی، نه نوی سند اداره.

د Easy-RSA د ترتیباتو حواله ټاکونکی او لومړیتوب تعریفوي، او په ټکټ کې د ایښودلو حواله همدا ده.

صادروونکی په عامه موادو تایید کړئ

په معمولي فایل بنسټیز صادروونکي کې، ولولئ ca.crt او د هغې ګوتې نښه له هغه صادروونکي ریکارډ سره سمه کړئ چې تاسو منلی و. سره سمون لرونکی موضوع نوم د هویت ثبوت نه دی، او د production په نوم فولډر هم نه دی. یوازې ګوتې نښه هغه فایل چې تاسو موندلی له هغې ادارې سره تړي چې ستاسو همکارانو ته ویل شوي و چې پرې باور وکړي.

یوازې لوستلو کتنه کافي ده: openssl x509 -in /srv/pki/office/ca.crt -noout -subject -issuer -serial -fingerprint -sha256.

بیا د فولډر رول وټاکئ. هغه غوښتنې فولډر چې کلاینټ یې کاروي د صادروونکي ډیټابیس نه دی، او په آفلاین ساتل شوې لاسلیک کیلي په هر VPN کوربه کې هېڅ کار نه لري. نشتونکی ca.key په دې ترتیب کې د ډیزاین ځانګړنه ده، نه د بدیلې ادارې جوړولو اجازه.

که حالت واقعاً ورک شوی وي

کله ناکله لار سمه ده او حالت واقعاً هلته نه وي. تش index.txt او بیا پیل شوی ترتیبي شمېرونکی تاسو ته داسې PKI درکوي چې روغ ښکاري او د هغو سندونو په اړه هېڅ نشي ثابتولی چې هېڅکله نه دي لیدلي: نوي کول زاړه نه لغوه کوي، او نوي شمېرې له تاریخ سره ټکر کوي. پرځای یې د CA له منظورشوي بیک اپ څخه بیا راژوندی کړئ، ځکه چې بل ځای کې تش PKI پیلول يوازې تېروتنه لېږدوي او شاته دویمه، بې اړیکې اداره پرېږدي.

کله چې لار او صادروونکی سره سم شي، بل ناکامي په خپله ماهیت وګورئ. Permission denied، هغه لاسلیک کیلي چې خپله د پټنوم جمله غواړي، او نشتونکی صدور ریکارډ درې بېلې خرابۍ دي، او يوازې یوه یې د هغه فولډر په اړه ده چې تاسو همدا اوس سم کړ.

هېڅکله د کیلي کوډونه مه لرې کوئ او د فولډر اجازې مه پراخوئ ترڅو د لارې تېروتنه پټه کړئ. تېروتنه ارزانه سمېدلای شي؛ رغونه نه.