د VPN هغه سند چې ځان یې لاسلیک کړی: دا څه معنا لري او په څه باور کوي

دلته تر ټولو زیات زیان دوه باورونه کوي: چې د VPN ځان لاسلیک شوی سند معنا دا ده چې تونل کوډ شوی نه دی، او چې د VPN کړونکي غوښتل شوي هر څه نصبول یوازې پر VPN اغېزه کوي۔ دواړه د یوې واقعي ځای پرځای کېدنې سره په تماس کې نه پاتې کیږي۔ ځان لاسلیک شوی سند د لاسلیک اړیکه بیانوي، نه د امنیت حکم، او هغه باور چې تاسو یې ورزیاتوئ، پر دې پورې اړه لري چې په کومه زېرمه کې ځای پرځای کیږي۔ ما لیدلي چې یوه مرسته کوونکې ډله د یوې خبرداری د غلي کولو لپاره د چمتوکوونکي ریښه په Windows ماشین کې داخل کړه، بیا ټوله ماسپښین په دې تېر کړ چې ولی براوزر له یوې بې اړیکې پورتال څخه شکایت بند کړ۔ د دې پوښتنې دواړه نیمایي یو ځای پورې اړه لري، نو دواړه د یو شي په توګه وګڼئ۔

سند د باور زېرمه نه ده

هغه فایل چې سرور یې وړاندې کوي، یو عامه کیلي، د موضوع نوم، د صادروونکي نوم، د اعتبار نیټې او غځونې لري۔ ځان لاسلیک شوی معنا دا ده چې موضوع او صادروونکی یو شی دی او لاسلیک د سند په خپله کیلي تصدیق کیږي۔ په دې تعریف کې هیڅ شی نه وایي چې اړیکه کمزه ده، او هیڅ شی نه وایي چې کړونکی به یې ومني۔

مننه له بل ځایه راځي: یو CA فایل چې تاسو کړونکی ورته اشاره کوئ، یو ګوتې نښه چې په لاس سره پرتله کوئ، یا یوه ریښه چې لا دمخه په هغه زېرمه کې ده چې کړونکی یې لولي۔ یو ځای پرځای کېدنه کېدای شي بشپړه روغه وي، خو د هغې سند به په هر عامه ازموینه کې ناکام شي۔ openssl verify د سیستم بنډل پر وړاندې به ناپېژاند صادروونکی راپور کړي، او هغه راپور سم دی، نه خرابي۔

د OpenVPN ca اختیار د تطبیق محدود باور تر ټولو روښانه بېلګه ده۔ هغه فایل هغه لنګرونه نوموي چې کړونکی به یې ومني، او کېدای شي یو خصوصي CA یا په کوچنۍ ځای پرځای کېدنه کې د سرور خپل ځان لاسلیک شوی سند ولري۔ نسخه 2.6 هم --peer-fingerprint مني، ترڅو د CA فایل د ویشلو پر ځای د SHA-256 ګوتې نښه ټینګه کړي۔ WireGuard لا نور هم لرې دی: هلته هیڅ سندونه نشته، یوازې د هر ملګري لپاره یوه ساکنه عامه کیلي، نو د ځان لاسلیک پوښتنه پرې نه تطبیقیږي۔

چې تاسو باور چېرته نصب کوئ، دا ټاکي چې څوک به یې میراث واخلي

هماغه سند په درې ځایونو کې کېږدئ او درې بېلابېلې چاودنې وړانګې به ترلاسه کړئ۔ هغه بنډل چې یوازې VPN کړونکی یې لولي، پر هماغه کړونکي اغېزه کوي۔ په عملیاتي سیستم زېرمه کې ریښه پر هر هغه پروګرام اغېزه کوي چې له هغې زېرمې سره مشوره کوي۔ هغه براوزر چې خپله د باور ډیټابیس لري، کېدای شي دواړه له پامه وغورځوي، نو ځکه خبرداری کېدای شي له هغه داخلېدو وروسته هم پاتې شي چې کار کوونکی ښکارېده۔

په Debian یا Ubuntu کې، د /usr/local/share/ca-certificates/ په داخل کې فایل ایښودل او update-ca-certificates چلول سیستم-پراخه بنډل بدلوي۔ په Windows کې، certutil -addstore -f Root ماشین زېرمې ته لیکي او لوړ شوی پرامپټ ته اړتیا لري، پداسې حال کې چې -user زیاتول د اوسني کاروونکي زېرمې ته اشاره کوي؛ دواړه د تبادلې وړ نه دي۔ Firefox خپل NSS ډیټابیس ساتي، نو د OS کچې داخله به هلته هېڅکله نه ښکاره شي۔

پراخوالی مهم دی ځکه چې یو واکمن څه کولی شي۔ صادروونکی CA کولی شي هغو نومونو ته لاسلیک ورکړي چې هغه ورسره هیڅ اړیکه نه لري، نو هر څه چې پر هغې زېرمې باور کوي به هغه لاسلیکونه ومني۔ یو ټینګ شوی پاڼی دغه نه شي کولی؛ دا په دقیق ډول د یو ملګري هویت تصدیقوي۔ که موخه د یو VPN نښلول وي، تطبیق محدود CA یا ټینګ شوی پاڼی هغه ته رسوي، پداسې حال کې چې ماشین-پراخه ریښه له هغه څخه ډېره لویه امتیاز ده چې نښه یې غواړي۔

تاسو لا هم پرته له عامه CA کوډ کوئ

د TLS لاس نیول د غونډې کیليګانې ترلاسه کوي، پرته له دې چې د ملګري سند له هغه څه سره ځنځیر شي چې تاسو لا دمخه پرې باور لرئ که نه۔ ځان لاسلیک شوی نه ساده متن معنا کوي او نه دا چې ترافیک په الوتنه کې لوستل کیدای شي۔ معنا یې دا ده چې کړونکی له مخکې هیڅ دلیل نه لري چې باور وکړي کیلي د هغه سرور ده چې هغه غوښتې وه۔

په هماغه تشه کې ریښتیني بریدونه ژوند کوي۔ هغه کړونکی چې د هر سند منلو لپاره تنظیم شوی، که د غیرفعال شوې تصدیق تنظیم له لارې وي یا د یو ځل ټکول شوي او هیر شوي «بیا هم باور وکړه» تڼۍ له لارې، به په خوښۍ سره هر هغه چاته کوډ کړي چې ځواب ورکوي۔ منځګړیتوب د تصدیق په پړاو کې، د تطبیق معلوماتو له حرکت مخکې پېښیږي۔ پرته له هویت څېړنې کوډ کول یو غیرفعال کتونکی بهر ساتي او نور ډېر څه نه کوي۔

پر صادروونکي باور د نوم څېړنه نه پرېږدي

د ځنځیر اعتبار، د نوم سمون او د سند موخه جلا پرېکړې دي۔ ځنځیر کېدای شي معتبر وي پداسې حال کې چې نوم غلط دی، او نوم کېدای شي سمون وکړي پداسې حال کې چې سند بل رول لپاره صادر شوی وي۔ RFC 5280 هغه ساحې تعریفوي چې دا محدودیتونه لري، او چې کړونکی څومره کلک یې پلي کوي، دا د هر تطبیق خبره ده۔

OpenVPN بېلونه ښکاره کوي۔ verify-x509-name د تمه شوي موضوع په name، name-prefix یا subject سمون سره ټینګوي۔ remote-cert-tls server غواړي چې د ملګري سند د سرور سند په توګه کارېدونکی وي، دا هغه سند چې یوازې کړونکی وي ردوي، حتی کله چې صادروونکی باوري وي۔ د دواړو تنظیماتو هیڅ یو هم د CA فایل لېږلو سره نه بدلیږي۔

له هرې پرېکړې مخکې سند وګورئ:

• openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName ښیي چې څوک یې صادر کړی، د کومو نومونو لپاره او تر کله۔
• openssl verify -CAfile ca.crt server.crt څېړي چې هغه ځنځیر چې تاسو یې لېږل غواړئ، پاڼی په رښتیا اعتباروي که نه۔
• openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -CAfile ca.crt -verify_return_error د ویب پورتال په څېر TLS پای ټکو لپاره کار کوي؛ په 1194 کې د OpenVPN پروتوکول ساده TLS جریان نه دی، نو هغه ازموینه هلته نه تطبیقیږي۔

هغه سند چې پوره شوې نیټه، د هغه نوم لپاره subjectAltName نه لري چې تاسو ورسره نښلوئ، یا serverAuth کارول نه لري، پرته له دې چې لنګر څومره په احتیاط سره نصب شوی وي، ناکام کیږي۔

پنځه څېړنې تر دې چې یو ومنئ

ګوتې نښه د هغه کانال له لارې پرتله کړئ چې هغه اړیکه نه ده چې تاسو یې سمول غواړئ: یو کنسول، هغه نصب کوونکی چې لا دمخه یې لرئ، یو لاسلیک شوی تنظیماتي فایل۔ پر سرور openssl x509 -in server.crt -noout -fingerprint -sha256 او په کړونکي لاګ کې هماغه ارزښت کافي دي چې پوه شئ یو شی ګورئ۔

بیا پرېکړه وکړئ چې څه نصب کوئ: یوه پاڼه، یا هغه واکمن چې نور هم جوړولی شي۔ بیا پرېکړه وکړئ چې چېرته ځي، او هغه تطبیقونه ونوموئ چې هغه زېرمه لولي۔ د لرې کولو لار ولیکئ تر څو چې لا یې یاد وي، ځکه باور وکړه او مخکې لاړ شه همداسې یوه لنډمهاله داخله تلپاتې کیږي۔

په پای کې، بدلون پلان کړئ۔ ټینګ شوی سند یا ګوتې نښه باید هغه مهال چې سند څرخي، د هماغه باوري کانال له لارې نوی شي، او خصوصي CA خپل د صادرولو او لغوه کولو ژوند دوره لري۔ که خصوصي کیلي وغورځي، د هماغه سند یوې کاپي ته بیا باور کول هیڅ شی نه سمومي؛ هویت باید بدل شي۔

که خبرداری له پنځو څېړنو ټولو ژوندی پاتې شو، ګټوره پوښتنه دا نه ده چې کومه تڼۍ یې غلي کوي، بلکې دا ده چې کړونکی په رښتیا کومه زېرمه لولي او هغه ریښه له کومه راغله۔ دې ته ځواب ووایاست، او هغه داخله چې تاسو یې کوئ به د غبرګون پر ځای پرېکړه شي۔