کوم CA فایل د OpenVPN پروفایل ته ځي چې یوازې پټنوم لري؟
د CA ساحه سرور تاییدوي، نه کاروونکی۔ وګورئ پروفایل دمخه څه لري، د موادو څلور ډولونه جلا کړئ او بله تېروتنه ولولئ۔
څلور پوښتنې په ترتیب بشپړې کړئ او د CA خبرې اترې نورې مبهمې نه وي۔ عملیاتي کس په رښتیا کوم مواد صادر کړل، پروفایل دمخه څه لري، کومه ساحه پوښتنه کوي، او د فایل له بارولو وروسته څه کیږي؟ په لومړۍ هغه پوښتنه ودرېږئ چې ځواب یې د عملیاتي کس له خپلو لارښوونو نه نشی ورکولای، ځکه چې له هغې وروسته اټکل کول هماغه لاره ده چې یو عامه CA تصدیق نامه له یوې خصوصي کیلي سره یوځای کیږي چې باید هیڅکله سرور نه وای پرېښی۔
ترتیب مهم دی: وروستۍ دوه پوښتنې یوازې هغه وخت معنا لري چې پوه شئ کوم مواد باید شتون ولري۔
له هغه څه پیل کړئ چې پروفایل دمخه لري
پروفایل په متن مدیر کې پرانیزئ او د فایل لټون دمخه ca بلاک ولټوئ۔ د عملیاتي کس عامه CA لرونکی داخلي ca بلاک معنا دا ده چې پروفایل خپل ځان ته کافي دی، او هغه کلاینټ چې لا هم CA فایل غواړي کېدای شي بل پروفایل یا نیمګړی واردات لولي۔ که پروفایل پرځای د لارې په لور اشاره کوونکې ca کرښه ولري، نو هغه لار په ځینو ادغامونو کې د کلاینټ کاري فولډر ته نسبتاً ده او په نورو کې مطلقه۔ د هر څه بدلولو دمخه ولیکئ چې کومه بڼه لرئ۔
ca /absolute/path/operator-ca.crt auth-user-pass remote-cert-tls server
د هغو فایلونو لپاره چې پروفایل ورته اشاره کوي سپارل شوی بسته وګورئ: یوه CA تصدیق نامه، کله ناکله جلا کلاینټ تصدیق نامه او کیلي، او شاید tls-auth یا tls-crypt فایل۔ هغه پروفایل چې څلور فایلونه یادوي خو د دوو سره راځه نیمګړی دی، او ساحو ته اشاره کول دا نه سمولای شي۔ د تصادفي توګه ستاسو سره موجود تصدیق نامه بدلولو پرځای له عملیاتي کس نه ورک شوی برخه وغواړئ۔
د موادو څلور ډولونه جلا کړئ
CA تصدیق نامه عامه مواد ده چې د سرور پیژندنې تایید لپاره کارول کیږي۔ کلاینټ تصدیق نامه کاروونکی یا وسیله سرور ته پیژندي۔ خصوصي کیلي د هماغه کلاینټ تصدیق نامې پټه نیمه ده، او باید هیڅکله د CA لاسلیک کیلي یا سرور کیلي نه وي۔ tls-auth یا tls-crypt مواد بېله ګډه پټه ده چې د کنټرول چینل ساتنه کوي۔ دا څلور د تبادلې وړ نه دي، او د CA ساحې د کلاینټ تصدیق نامې په لور نیول د تایید داسې ناکامي رامنځته کوي چې د باور د ستونزې په څېر ښکاري۔
یوازې د پټنوم له لارې تصدیق بدلوي چې له څلورو کوم یو ته اړتیا لرئ، نه د هغوی معنا۔ د auth-user-pass او remote-cert-tls server سره کلاینټ لا هم سرور د CA پر ضد تاییدوي، له همدې کبله د کلاینټ تصدیق نامې نه شتون سره سره د CA ساحه ښکاري۔ د عملیاتي کس تګلاره فیصله کوي چې کلاینټ تصدیق نامه هم اړینه ده که نه، او هیڅ خبرې اترې نشي کولای دا تاسو ته ووایي۔
کلاینټ د باور فایل ته واستوئ
د CA تصدیق نامې فایل خپله وټاکئ، نه هغه فولډر چې لري یې او نه هغه .p12 بنډل چې کلاینټ پیژندنه لري۔ په Windows کې د لارې نحو او د فایل ټاکونکی د ډیرو لارښودونو د Linux بېلګو څخه توپیر لري، نو هغه څه وکاروئ چې نصب شوی کلاینټ یې مني او تایید کړئ چې فایل د هغه حساب لپاره لوستل کیدونکی دی چې دا چلوي۔ د اجازې ستونزه او ورک فایل په خبرو اترو کې یو شان ښکاري خو بېلابېلې لاګ کرښې جوړوي۔ له ټاکلو وروسته د پروفایل تنظیمات بیا پرانیزئ ترڅو تایید شي چې کلاینټ ټاکنه ساتلې ده۔
<ca> -----BEGIN CERTIFICATE----- ...operator-provided public CA... -----END CERTIFICATE----- </ca>
که کلاینټ داخلي بلاکونه ملاتړ کوي، د لاسي جوړ شوي پروفایل پرځای د عملیاتي کس داخلي پروفایل غوره کړئ۔ داخلي مواد د پروفایل سره سفر کوي او بیا واردات ته دوام ورکوي، پداسې حال کې چې مطلقه لار هغه شیبه ماتېږي چې پروفایل بل ماشین ته ځي۔
هماغه تېروتنه نه، بله تېروتنه ولولئ
د سم CA وړاندې کولو هدف تېروتنه بدلول دي، نه هغه ورکول۔ د CA له بارولو وروسته د سرور پیژندنې ناکامي معنا دا ده چې تصدیق نامه د تمه شوي نوم یا remote-cert-tls تمې سره سمه نه وه، کوم چې د پټنوم له رد څخه بېله سمون ده۔ د پټنوم رد معنا دا ده چې TLS پوړ بریالی شو او اعتبارنامه غلطه ده۔ لومړی نوی پیغام وساتئ؛ هماغه ګټور دی۔
هغه کلاینټ چې نښلیږي خو چیرته نه رسیږي په بشپړ ډول له باور تیر شوی او اوس د لارښوونې یا DNS پوښتنې سره مخ دی۔
هیڅکله تایید مه بندوئ ترڅو له هغو خبرو اترو تیر شئ۔ هغه کلاینټ چې هر تصدیق نامه مني د CA غوښتلو لپاره هیڅ دلیل نه لري، او هغه تونل چې جوړوي هغه نه دی چې عملیاتي کس یې په نظر کې درلود۔