remote-cert-tls server: په OpenVPN پروفایل کې څه ګوري
لارښوونه د سیال سرتیفیکاټ کې کوډ شوې رول ګوري، نه د هغې نوم۔ مخکې له دې چې هر څه غیر فعال کړئ، رول، د باور لنگر او د کوربه نوم څېړنه پرتله کړئ۔
درې مختلفې پوښتنې د OpenVPN پروفایل درې مختلفو برخو ته ځواب ویل کیږي، او د دوی یوځای کول هغه څه دي چې خلک په پای کې یوه فعاله څېړنه بنده کوي۔ ایا د سیال سرتیفیکاټ د هغې ادارې لخوا لاسلیک شوی چې زه پرې باور لرم؟ ایا هغه سرتیفیکاټ د TLS سرور رول اعلانوي؟ ایا دا هغه ځانګړی سرور دی چې ما غوښتل ورته ورسیږم؟ remote-cert-tls server یوازې منځنۍ پوښتنې ته ځواب وایي، او دا د سرتیفیکاټ دننه غځونې لوستلو سره کوي۔
درې څېړنې چې په سر کې یوځای کول اسانه دي
د باور لنگر په ca لارښوونه کې ژوند کوي۔ د رول څېړنه remote-cert-tls پورې اړه لري۔ د هویت څېړنه verify-x509-name پورې اړه لري، کله چې پروفایل هغه کاروي، یا هر هغه نوم څېړنې چې ګمارنه ورزیاتوي۔
دوی مختلفې ناکامۍ پوښي:
| Question | Directive | Failure it catches |
|---|---|---|
| Who signed this? | ca | Certificate from an unrelated authority |
| Is this a server? | remote-cert-tls | Client certificate presented by a peer |
| Is this my server? | verify-x509-name | Another valid server from the same CA |
پروفایل کولای شي درې واړه ولري او بیا هم کمزوری وي که CA ډېر پراخ شریک شي، دا د کیلي مدیریت پوښتنه ده، نه د لارښوونې۔
د رول څېړنه څه لولي
لارښوونه یو مکرو ده۔ دا د کیلي کارونې غوښتنې او د TLS ویب سرور رول نوموونکې پراخه کیلي کارونې غوښتنې ته پراخیږي، نو د سیال سرتیفیکاټ باید واقعا هغه هدف اعلان کړي۔ د کلاینټ تصدیق لپاره صادر شوی سرتیفیکاټ دا نه بشپړوي، حتی کله چې هماغه ادارې دواړه لاسلیک کړي وي۔
دا مهم دی ځکه چې شریک CA په کوچنیو ګمارنو کې عام دی۔ یوه اداره هر کلاینټ او سرور لاسلیک کوي، او د رول څېړنې پرته د هغو سرتیفیکاټونو څخه هر یو کولای شو د لاس ورکولو سرور اړخ بشپړ کړي۔ څېړنه هغه سناریو ناشونې نه کوي، مګر د هغې ساده بڼه لیرې کوي۔
لارښوونه د ډیزاین له مخې غیر متقابله ده: کلاینټونه remote-cert-tls server وړي، او سرورونه remote-cert-tls client وړي۔ دوی بدل کړئ او هر اړیکه د رول تېروتنې سره ناکامه کیږي چې د مات شوي سرتیفیکاټ په څېر ښکاري۔
زاړه پروفایلونه کله ناکله د همدې هدف لپاره ns-cert-type کاروي۔ اوسني لارښود پاڼې هغه انتخاب د بدل شوي په توګه ګڼي، نو هغه پروفایل چې لا هم پرې تکیه کوي د ډیبګ کولو پرځای د کډې وړ دی۔
ولې یې بندول د حل په څېر ښکاري
کله چې د رول څېړنه ناکامه شي، اړیکه د تصدیق تېروتنې سره ودريږي او ښکاره ګام هغه کرښه ړنګول دي۔ بیا اړیکه پورته کیږي، چې د پرمختګ په څېر ښکاري او واقعا هغه ناکامي حالت دی چې لارښوونه د مخنیوي لپاره شتون لري۔ اوس تاسو هغه سیال منئ چې سرتیفیکاټ یې هیڅکله د هغې رول لپاره نه و۔
پرځای یې تېروتنه ولولئ۔ دا د ناکامې څېړنې نوم اخلي، او د بل اړخ سرتیفیکاټ کولای شي وڅېړل شي چې واقعا کومې غځونې لري۔ دوه دقیقې لوستل معلوموي چې تېروتنه په صادرولو کې ده که په ترتیباتو کې۔ اټکل کول یوه ماسپښین اخلي او معمولا په کمزوري پروفایل پای ته رسیږي۔ نوی شوی سرور سرتیفیکاټ چې پراخه کیلي کارونه یې له لاسه ورکړې ده په نوي کولو کې ریښتینې تېروتنه ده، نه د کلاینټ نرمولو لامل۔
د نوم څېړنه بېله لارښوونه ده
د رول څېړنه بشپړول وایي چې سیال ستاسو د ادارې لخوا لاسلیک شوی یو څه سرور دی۔ دا په دې اړه څه نه وایي چې کوم، کوم چې مهم دی کله چې هماغه CA څو لارښوونو ته سرتیفیکاټونه صادروي او یو له هغوی څخه زیانمن یا بیا کارول شوی وي۔
verify-x509-name د سرتیفیکاټ موضوع ستاسو د ترتیب شوې ارزښت سره پرتله کوي، د دقیقې موضوع، مخکښ یا یوې ساحې لپاره د مطابقت حالتونو سره۔ هغه ساحه وکاروئ چې واقعا لارښوونه پېژني، او تمه وکړئ چې کله نوم بدل شي په قصد یې تازه کړئ۔
هیڅ یوه لارښوونه د کیلي سم مدیریت ځای نه نیسي۔ که د کلاینټ کیلي فایل د پروفایل سره دلته او هلته کاپي شي، د سیال هویت یوازې د وېش لیست په اندازه پیاوړی دی۔
د پروفایل د سمون مخکې سرتیفیکاټ وڅېړئ
د سیال سرتیفیکاټ او د کلاینټ لاګ په همدې ترتیب ولولئ۔ سرتیفیکاټ وایي چې کوم رولونه اعلانوي؛ لاګ وایي چې کومې څېړنې رد کړ۔
دا کمانډونه د تفصیلي اړیکې څخه کارونې غځونې او تصدیق کرښې چاپوي:
openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verifyکه غځونې د سرور رول وښیي او لاګ لا هم د رول ناکامي راپور کوي، پروفایل احتمالا بد سرتیفیکاټ ته نه، بلکې غلط سرتیفیکاټ فایل ته اشاره کوي۔ که غځونې یوازې د کلاینټ تصدیق وښیي، د کلاینټ کتلو بندول او صادرول سم کړئ۔ په هر حال، د اړیکې روغ بللو مخکې څېړنه بیا تنظیم کړئ، ځکه چې د تصدیق لیرې کولو وروسته بریالۍ لاس ورکول هغې تېروتنې څخه کم څه ثابتوي چې بدله شوې وه۔