د OpenVPN د CA د لاسلیک کیلي له /etc/openvpn څخه بهر وساتئ

دوه لیستونه چې په یوه لارښود کې ورته ښکاري، بشپړ مختلف کارونه کوي۔ یو د سند واکمني ساتي: د هغې خصوصي کیلي، د لړ شمېر شمېرونکی او د هر هغه څه ثبت چې هغې لاسلیک کړی۔ بل هغه څه ساتي چې ډیمون ته د پیل او د مراجعینو د خدمت لپاره اړین دي۔ دواړه په یوه کوربه کې تر یوه حساب لاندې ساتل د یوې ماسپښین لپاره آسانه او د ځای پرځای کولو د پاتې ژوند لپاره ګران دي، ځکه چې ډیمون بیا د هغې یوازینۍ کیلي ترڅنګ ګرځي چې هر پیژندنه جوړولی شي۔

د CA د کاري ساحې منځپانګه

د PKI لیست د صادروونکي حالت دی، نه تنظیم۔ دا د CA خصوصي کیلي او سند، د لړ شمېرې فایل، د صادر شوو سندونو لیست او د هرې پیژندنې هغه توکي لري چې له هغو جوړ شوي۔

پر غوښتنې لاسلیک کول هغه حالت بدلوي، نو ځکه کاري ساحه د یوه مدیر تر کنټرول لاندې حساب ته اړه لري پر هغه کوربه چې VPN خدمت پرې نه ګرځي۔ څوک چې د CA خصوصي کیلي ولولي، هغه سند صادرولی شي چې سرور به پرې باور وکړي، نو د کیلي ساتنه په یوه فایل کې ټول باور ماډل دی۔ هغه بل ځای ته کاپي کول د یو ګام د خوندي کولو لپاره دوهم ساتل شوی شی او دوهم هیریدونکی شی جوړوي۔ هر لاسلیک لړ هم زیاتوي او لیست ته ننوتنه ورزیاتوي، نو کاري ساحه د فایلونو فولډر نه، د حالت یوه کاپي ده۔

د CA عام سند بل توپیر لري۔ دا د خپرولو لپاره دی، او مراجعین او سرورونه د یو بل د کتلو لپاره همدا کاروي۔

ډیمون د پیل پر مهال څه لولي

چلیدونکی سرور یوه کوچنۍ ټولګه کاروي: خپل سند، خپله خصوصي کیلي، د سیالانو د کتلو لپاره د CA سند، او هغه کیلي توکي چې ټاکل شوې طریقه یې غواړي۔ دا لارې د پیل پر مهال او بیا د بیاځلي بارولو پر مهال لولي۔

ملکیت باید د هغې واحد په مقابل کې ارزول شي چې واقعاً پیل کیږي، نه د یوې متقابلې root شیل په مقابل کې۔ اعلان شوې جلا کول کولای شي د فایل سیستم یوه برخه یوازې د لوستلو یا ناڅرګنده کړي، حتی کله چې د root په توګه لاسي ازموینه بریالۍ شي۔

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

دریمه کرښه هغه ده چې خلک یې پریږدي۔ دا د ډیمون له خپل حساب څخه پوښتنه کوي چې ایا کیلي لولی شي، او د امتیاز له لویدو وروسته د پوښتنې یوازینی معنی لرونکی بڼه همدا ده۔ د root سره صفر وتل تاسو ته د لویدو وروسته د هغه څه په اړه هېڅ نه وایي۔

د دوه نیمګړتیاوو لارې باید د هر اجازت له بدلولو مخکې جلا شي۔ د لاسلیک نیمګړتیا د PKI لیست، د هغه د مورنیو لیستونو پر لټون اجازت او هغه حساب ته اشاره کوي چې صادروونکی ګرځوي۔ د پیل نیمګړتیا واحد، د هغه کاري لیست او په سرور تنظیم کې نومول شوو لارو ته اشاره کوي۔ ټول ونه هر یو ته د لوستلو وړ کول د دواړو هیڅ یو نه سموني او هغه پوله لري کوي چې دواړه پرې تکیه دي۔

ولې د CA کیلي سرور ته کاپي کول وروسته ناکام کیږي

کاپي معمولاً د نیمګړتیا موندنې د ګام په توګه پیل کیږي: څوک غواړي په VPN کوربه کې یو مراجع تازه کړي، نو د CA کیلي /etc/openvpn ته ورسیږي او تازه کول بریالي کیږي۔ سمدستي کار بریالی کیږي، او پوله ورکیږي۔

بیا سرور بیکاپ کیږي، او د لاسلیک واکمني بیکاپونو ته ورګډیږي۔ یوه سکرین شاټ، یو ملاتړ بنډل یا د تنظیم لیست یوه کاپي اوس تر هغې چې CA معتبر دی د باوري پیژندنو د صادرولو وړتیا لري۔ څوک چې هغه کاپي لري، هغه کولای شي د هر هغه نوم لپاره سند جوړ کړي چې سرور یې مني، په شمول هغو نومونو چې هېڅکله نه دي صادر شوي۔ د هغه صادرولو یوازینی ثبت هغه دی چې دوی یې ساتل غوره کوي۔

له داسې حالت څخه رغیدل د فایل د ړنګولو خبره نه ده۔ باید پریکړه وکړئ چې کیلي افشا شوې که نه، که شوې وي CA وڅرخوئ، او باور بیا هر سیال ته وویشئ۔ جلا کاري ساحه ټوله خبرې اترې لرې کوي۔

حسابونه، لیستونه، بیکاپونه

صادروونکي ته خپل حساب او کورني لیست ورکړئ، چیرې چې عملي وي له VPN کوربه بهر یې وساتئ۔ ډیمون ته بل حساب ورکړئ، د ځای پرځای شوو توکو د لوستلو حق او د سندونو د صادرولو له هر څه سره د لیکلو حق پرته۔ ځای پرځای کول د عامو سندونو په بهر کاپي کولو سره وکړئ او هېڅکله د صادروونکي خصوصي حالت دننه مه کشوئ۔ د دواړو رولونو بیکاپ جلا جلا وکړئ، ځکه چې د دوی حساسیت او د بیا رغولو کیسې توپیر لري۔

د لغوه کولو وروسته هغه CRL فایل تازه کړئ چې سرور تنظیم یې نوموي، بیا خدمت بیا بار کړئ ترڅو نوي اړیکې یې ولولي۔ د Easy-RSA اسناد د کاري ساحې ترتیب او د لاسلیک بهیر پوښي؛ د هغې شاوخوا د ملکیت قواعد ستاسو د کوربه په اړه پریکړه پاتې کیږي۔ د openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate په مرسته تایید کړئ چې خدمت څه بار کړل، د دې پرځای چې فکر وکړئ بیاځلي بارول هغه پورته کړی۔

هغه ازموینه چې جلاوالی ثبوتوي

نه یوازې چلیدونکی حالت وګورئ، منفي حالت هم۔ لکه څنګه چې ټاکل شوي، د صادروونکي له حسابه پر سند لاسلیک وکړئ، بیا تایید کړئ چې هماغه حساب خدمت پیلولی نه شي یا د سرور خصوصي کیلي لولی نه شي۔ بیا تایید کړئ چې د ډیمون حساب د CA خصوصي کیلي لولی نه شي۔

هغه درې کتنې څو دقیقې نیسي او د کارکوونکو تر بدلون هم پاتې کیږي، ځکه چې دوی د عادت نه، د اجازتونو په اړه څرګندونې دي۔ پایله د هغو لارو او حسابونو سره یوځای ولیکئ چې پوښلي یې دي، او د هغې نېټې سره چې تاسو یې چلولي۔ که نه، نو دا ځای پرځای کول په میراث ترلاسه کوونکی بل کس به پوله بیا له هغه لارښوده راوباسي چې هېڅکله پکې پوله نه وه۔ نېټه لرونکی ثبت هم هغه څه دی چې بله کتنه له ماسپښین څخه څو دقیقو ته راکموي۔