همغه ca.crt د فایل نوم، بېل سند: څه باید پرتله شي

دواړه پروفایلونه ca.crt نومي فایل راوړي، یوه تونل پورته کیږي او بله د زنځیر غلطۍ سره ناکامه کیږي۔ دوه فایلونه یو تر څنګ بل خلاصول دا په نادره توګه حل کوي، او تایید بندول یې په غلط لوري حل کوي۔ هغه پوښتنه چې غلطي واقعاً یې کوي تنګتره ده: هر بهیر کوم سند د خپل باور لنگر په توګه پورته کوي، او ایا دواړه یو شی دي؟ لومړی دې پوښتنې ته ځواب ووایاست او پاتې تشخیص به لوري ومومي۔ د فایل نوم د بسته بندۍ لیبل دی، او په پروفایل کې لیکل شوې لاره هم معتبره نه ده، نو هر څه په دې پورې اړه لري چې بهیر واقعاً څه لولي۔

هغه سند ومومئ چې کلاینټ واقعاً یې پورته کوي

OpenVPN واک په دوو بڼو مني، او بڼه ټاکي چې کوم بایټونه مهم دي۔ پروفایل کولای شي د ca سره بهرني فایل ته اشاره وکړي، یا سند په خپل پروفایل کې د <ca> بلاک دننه ځای پرځای کړي۔ کله چې دواړه وي، ځای پرځای شوی بلاک ګټي او د پروفایل څنګ ته فایل هیڅکله نه خلاصیږي۔

ناکامه پروفایل ولولئ او مخکې له دې چې څه پرتله کړئ ومومئ چې کومه بڼه کاروي۔ له ګاونډي فولډر یا له هغه بستې څخه اخیستل شوې کاپي چې بله پروفایل ترې راغله تاسو ته د دې په اړه هیڅ نه وایي چې دا بهیر په څه باور لري۔ همدا خبره د ترتیباتو په لاره هم صدق کوي: دا د هغه ځای په نسبت حل کیږي چې کلاینټ پکې پیل شوی، کوم چې تل هغه فولډر نه وي چې تاسو یې ګورئ۔ پروفایل ولولئ، فولډر مه لولئ۔

سندونه د خپلو مینځپانګو له مخې پیژندل کیږي: عامه کیلي، موضوع او صادروونکی، د اعتبار موده، او پر دې ټولو لاسلیک۔ دوه فایلونه چې ورته بایټونه لري هر څه نومول شي یو شان سند دي، او دوه فایلونه چې یو شان نوم لري کیدای شي بې اړیکې واکونه وي۔ نوم د بسته بندۍ لیبل دی، نه هویت۔

د دواړو کاپیو ګوته نښه د openssl سره واخلئ

ګوته نښه د سند د DER انکوډنګ پر یو هش دی، هغه بڼه چې لاسلیک یې پوښي، نو د کرښو پای او د سرلیک متن نشي پرې اغیزه کولای۔ دا هر فایل لپاره محاسبه کړئ او تاسو ته دوه د کولن سره جلا شوې هیکس تارونه ترلاسه کیږي چې یا سره سمون لري یا نه۔ د پرتلې پوښتنې ته د ځواب ورکولو لپاره په سند کې بل څه لوستل اړین نه دي۔

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

د openssl بهیر مستقیم پروفایل ته اشاره کول زړه راښکونکي دي، خو دا په فایل کې لومړی راڅرګند شوی سند بلاک لولي، او پروفایل معمولاً <cert> د <ca> څخه مخکې لري۔ د واک بلاک وباسئ، بیا د ایستل شوي فایل ګوته نښه واخلئ، ځکه چې هغه کاپي ده چې کلاینټ به واقعاً یې کاروي۔

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

ورته ګوته نښې معنا لري چې د باور توکي یو شان دي او د زنځیر غلطي بله لامل لري، کوم چې بله څیړنه ده۔ بېلې ګوته نښې معنا لري چې سندونه بېل دي، او بل برخه له هماغه ځایه پیل کیږي۔

له حملې د انګیرنې مخکې ناسمونکی ولولئ

بېلې ګوته نښې معنا لري چې سندونه بېل دي او نه څه نور۔ بیا صادرول، څرخول، نوم بدل شوی واک یا پخوانۍ بسته ټول هغه بېل فایلونه جوړوي چې بشپړ قانوني تاریخونه لري۔ کوم یې د ځای پرځای کولو پورې اړه لري دا پوښتنه د چلونکي یا د ځای پرځای کولو ریکارډ لپاره ده، نه د فایل د بدلون وخت لپاره۔ ارشیفونه د وخت ټاپې کاپي کوي، نو نوی فایل په اتوماتيک ډول سم لنگر نه دی۔

هغه ریښه چې ځان لاسلیک کوي نورماله ده، نو د یوې موندل د ستونزې ثبوت نه دی۔ د تایید کوونکي کار دا دی چې له سرور سند څخه تر هغه لنگر پورې لاره جوړه کړي چې ورته ورکړل شوی، او د زنځیر غلطي معمولاً معنا لري چې هغه لاره بشپړه نشوه۔

وګورئ چې د ناکامه پروفایل لنگر هغه واک دی چې ځای پرځای کول ترې لا هم صادریږي۔ که ګوته نښه د ځای پرځای کولو ریکارډ کې له هیڅ سره سمون نه لري، پروفایل یوازې پخوانی دی، او د کلاینټ په خوا کې هیڅ تنظیم به یې سم نه کړي۔

باور پرته له تایید بندولو بیا جوړ کړئ

لنډمهاله حل دا دی چې تایید بند کړئ یا په زنځیر کې هر سند د لنگر په توګه اضافه کړئ۔ دواړه پیغام ورکوي، او دواړه بدلوي چې کلاینټ به له دې وروسته کوم سرورونه ومني۔ تایید بیا چالان کړئ، غوښتل شوی لنگر نصب کړئ او بیا یې ازموئ۔

که زنځیر اوس جوړیږي خو بله غلطي راڅرګندیږي، دا پرمختګ دی: د نوم تایید، د اعتبار نیټې او لغوه کول د بېلو پیغامونو سره بېلې څیړنې دي۔ د ګوته نښو جوړه او اصلي غلطي متن په ټکټ کې یوځای وساتئ، ترڅو بله کس وویني چې کوم لنگر پورته شو او کوم یې تمه کیده۔ د ګوته نښو جوړه دومره کوچنۍ ده چې په لاسرسي یادښت کې ځای شي، او بله پېښه بیا د مازدیګر پرځای پنځه دقیقې نیسي۔

سم واک له هغه اصلي تصدیق شوې لارې واخلئ چې پروفایل یې رسولی و۔ له سرور څخه سند ایستل ځکه چې د هغې موضوع پیژندل شوې ښکاري بېل عمل دی، او په خاموشۍ سره پراخوي چې کلاینټ به پر څه باور وکړي۔