د خپل ځان لخوا لاسلیک شوی د کاروونکي سند؟ VPN سرور بیا هم ردوي یې

چلوونکی یوه پته او کاروونکی نوم لېږي، او کاروونکی د CA فایل، سند او کیلي غواړي۔ دا درې په سیمه ییز ډول جوړول بل څرګند ګام ښکاري۔ پایله یې هغه سند دی چې یوازې ستاسو خپل ماشین پرې باور لري۔ د سرور باور په هغې CA کې ټینګ دی چې تاسو یې نه کنټرولئ، نو لاس ورکول مخکې له پیلېدو پای ته رسېږي۔

باور په سرور کې ژوند کوي، ستاسو په پروفایل کې نه

د سند له مخې تصدیق یو پرتله کول دي۔ کاروونکی سند وړاندې کوي؛ دروازه ګوري چې ایا د هغې په ترتیباتو کې یوې CA لاسلیک کړی دی۔

ستاسو پروفایل هغه CA فایل نوموي چې کاروونکی باید د سرور د تصدیق لپاره یې وکاروي۔ دا نشي کولی هغه CA ونوموي چې سرور باید ستاسو د تصدیق لپاره یې وکاروي۔ د ترتیباتو هغه نیمایي ستاسو نه ده۔

په خپله جوړ شوی سند په دې پرتله کې ناکامېږي حتی کله چې تخنیکي ډول بشپړ وي۔ لاسلیک، موضوع او نېټې لري، خو صادرونکی هغه CA ده چې دروازې هېڅکله نه ده اورېدلې۔ تېروتنه د لاس ورکولو پر مهال ښکاري، وروسته له دې چې سرور لا دمخه سند غوښتی وي۔ په کاروونکي پروفایل کې هېڅ شی ځواب نه شي بدلولی۔

ولې خپل ځان لاسلیک شوی سند نشي کولی ځای یې ونیسي

خپل ځان لاسلیک شوی سند په خپله کیلي لاسلیک شوی۔ لاسلیک د هماغه فایل پر وړاندې تصدیقېږي، چې دا د خپل ځان سره سم او د بل چا د دروازې لپاره د اعتبار وړ نه دی۔

دروازه نه پوښتنه کوي چې سند په داخل کې سم دی که نه۔ پوښتنه کوي چې ایا باوري صادرونکي لاسلیک کړی دی۔

له همدې امله د تېروتنې پیغامونه ګډوډوي۔ کاروونکی کېدای شي د تصدیق ناکامي راپور کړي چې د سرور د ستونزې په څېر ښکاري، پداسې حال کې چې سرور ناپېژاند صادرونکی ثبتوي۔ دواړه هماغه ناسمه همغږي له مخالف لوري څخه بیانوي۔

د CSR لار ستاسو شخصي کیلي ساتي

تاسو لا هم ډېره برخه کار په سیمه ییز ډول کولی شئ۔ یوه کیلي جوړه جوړه کړئ، د عامې نیمایي شاوخوا د سند لاسلیک غوښتنلیک جوړ کړئ او هغه غوښتنلیک چلوونکي ته ولېږئ۔ یوازې غوښتنلیک ستاسو ماشین پریږدي۔ شخصي نیمایي هغه ځای پاتې کېږي چې تاسو جوړه کړې وه۔

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

چلوونکی غوښتنلیک په خپله CA لاسلیک کوي او سند بېرته راګرځوي۔ ستاسو شخصي کیلي هېڅکله سفر نه دی کړی، او پایله له هغه لنگر سره زنځیر کېږي چې دروازه پرې باور لري۔

مدیریت شوې خدمتونه ډېری وختونه CSR پرېږدي او ټول بنډل صادروي۔ دا مناسبه معامله ده کله چې هماغه عرضه کوونکی لا دمخه تونل پای ته رسوي او CA لري۔ د کیلي ساتل د هغې ساتلو سره نه ښه کېږي، ځکه عرضه کوونکی هر وخت نوی جوړولی شي۔

بنډلونه واردېږي، نه نصبېږي

د امنیت په څېر نومونو لرونکي پلورونکي بنډلونه ډېری وختونه OpenVPN پروفایلونه دي۔ دوی ترتیبات او کله ناکله سندونه لري، او هېڅ شی نه نصبوي۔ فایل په هغه کاروونکي کې وارد کړئ چې پروتوکول وایي، او اړیکه تنظیمیږي۔

د چلند قاعده له منځپانګې څخه راځي۔ که پروفایل شخصي کیلي ولري، دا اعتبار دی او د پټنوم په څېر پاملرنې وړ دی: برېښنالیک نه، زېرمه نه، شریکه ډاونلوډ پوښۍ نه۔ کله چې چلوونکی ca.crt، client.crt او client.key بېل بېل وړاندې کوي، دوی سره یوځای د محدودو اجازتو سره وساتئ او پروفایل دوی ته وښایاست۔

هغه ګڼنې اضافه کړئ چې چلوونکی یې ممکن پرېښي وي

د روټر جوړ شوی پروفایل کله ناکله د سیال تصدیق نه لري۔ remote-cert-tls server غواړي چې د سیال سند د سرور تصدیق موخه ولري، ترڅو د کاروونکي سند د سرور په توګه بیا نه شي چلول کېدی۔ هغه یوه کرښه د روښانه توجیه سره کوچنی بدلون دی۔

verify-x509-name نور هم مخکې ځي کله چې چلوونکی د تمه شوې موضوع یا SAN نوم ووايي۔ دواړه پروفایل ته کوچني زیاتونه دي، او دواړه د دفاع وړ دي۔ مخکې له واردولو وګورئ چې څه مو ترلاسه کړي۔

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

د تصدیق ترتیبات د ماتې زنځیر ترمیم نه دي۔ که صادرونکی غلط وي، ځواب د سمې CA سند دی، نه هغه بیرغ چې ګڼنه بندوي۔ د تصدیق بندول د تصدیق ناکامي په ناپېژندل شوې ناکامي بدلوي۔

یو بنډل وغواړئ: د واکمنې ادارې سند د PEM په بڼه، د هغې ادارې لاسلیک شوی کاروونکی سند، هغه کیلي چې تاسو جوړه کړې یا د باوري لارې له لارې راغلې، او هغه دقیق سرور نوم چې سند باید وړاندې کړي۔ په هماغه پیغام کې د پای نېټه ولیکئ، ځکه چې پای ته رسېدلی سند میاشتې وروسته د شبکې خرابۍ په څېر ښکاري۔