د بدلولو دمخه: SSH کیلي د OpenVPN سند سره

واردات د سند د تېروتنې سره ناکامېږي، نو ښکاره ګام د بدلون په څېر ښکاري۔ دا احساس خلک هغه لار ته وړي چېرې چې د فایل غځېدنه بدلېږي خو ردېدل بالکل هغسې پاتې کېږي۔ په authorized_keys کې ssh-ed25519 کرښه او د OpenVPN کلاېنټ سند جلا جلا اعتبارنامې دي، چې خپروونکي، کوډ کول او لغوه کولو لارې یې بېلې دي۔ که دا څېړنې په ترتیب سره وکړئ، په یوه دقیقه کې به پوه شئ چې بدلون لږ تر لږه څه مرسته کولی شي که نه۔

په رېښتیا کوم شی لرئ؟

پنځه شیان دي چې خلک یې کیلي بولي، او یوازې یو یې هغه دی چې د TLS پروفایل غواړي۔ د SSH عامه کیلي یوه کرښه متن ده چې د ډول مخکښ او base64 مینځپانې سره۔ د OpenSSH سند هغه کیلي ده چې لاسلیک، principals او انتخابونه ورسره دي، او ssh-keygen یې د خپلې کوچنۍ CA په توګه جوړوي۔ د X.509 سند بشپړ بېل جوړښت دی، چې موضوع، د اعتبار موده، غځېدنې او د سند واکمنې لاسلیک لري۔ شخصي کیلي پټه نیمه ده، او صادر شوی بنډل معمولاً په یوه فایل کې سند، د هغې لړۍ او شخصي کیلي وي۔

لومړی ازموینه یوازې یو حکم لګوي۔ openssl فایل ته وګوښه کړئ او وغواړئ چې د سند جوړښت تحلیل کړي:

openssl x509 -in client.crt -noout -subject -issuer

که دا د unable-to-load یا PEM تېروتنې سره ناکام شي، فایل هر نوم چې ورکړی وي X.509 سند نه دی۔ نوم بدلول دننه ASN.1 بیا نه لیکي، او د عامه کیلي کرښه د PEM سرلیک متن په وتلو کې هم دا نه کوي۔

پروفایل اصلاً سند غواړي؟

د کلاېنټ سندونه د څو تصدیق کولو طریقو څخه یوه ده، او ډېر فعال TLS پروفایلونه هېڅکله یو هم نه غواړي۔ سرور کولی شي کاروونکي د پلگ ان، کاروونکي نوم او پټنوم، یا توکن بیکنډ له لارې تصدیق کړي، خو بیا هم له کلاېنټ غواړي چې د سرور هویت تایید کړي۔ که پروفایل کې د کلاېنټ سند لارښوونه نه وي، هېڅکله به سند ونه غوښتل شي، او هېڅ بدلون به لارهواک اړ نه کړي چې یو وغواړي۔

پخواني ثابت کیلي ترتیبات درېیم حالت دي۔ هغوی د TLS لاس ورکولو دمخه دي او د مخکې شریک شوي پټ فایل تمه لري، نو په هغه ځای کې د عامه کیلي نښلول هم نه شي کولی کار وکړي۔ د اعتبارنامې غلطېدو په اړه د پرېکړې دمخه ولولئ چې پروفایل په رېښتیا څه غواړي۔

بیا کوډ کول څه کولی شي او څه نه شي کولی

شخصي کیليو رېښتینې قانوني بدیله لرګینې لري۔ هماغه RSA یا EC کیلي کولی شي دودیز PEM، PKCS#8، یا د PKCS#12 بنډل دننه ولیکل شي، او وسایل په خوښۍ سره د هغوی ترمنځ بدلون کوي۔ عامه کیليو هم ورته کیسه لري: ssh-keygen کولی شي د SSH کیلي RFC 4716 بڼه راوځي، او OpenSSH خپل د سند بڼه هم پېژني۔ دا ټول ښودنه ده، او ښودنه باور نه دی۔

بدلون چې نه شي کولی هغه دا دی چې د هغې سند واکمنې لاسلیک جوړ کړي چې ستاسو کیلي یې هېڅکله نه ده لیدلې۔ سند د خپروونکي دا ادعا ده چې یوه ټاکلې عامه کیلي د یو ټاکلي هدف لپاره د یوې ټاکلې موضوع ده۔ بیا کوډ کول د کیلي بایټونه ساتي او ادعا غایبه پرېږدي، نو لارهواک د خپل باور زېرمه سره د پرتله کولو لپاره څه نه لري۔

دا هغه ګام دی چې ډېری هڅې په چوپتیا ناکامېږي: فایل اوس په .crt پای ته رسېږي، کلاېنټ یې بې شکایت لولي، او لاس ورکول بیا هم پرې کېږي ځکه مخالف لوری نشي کولی تر باوري خپروونکي پورې لړۍ جوړه کړي۔

د سند واکمنه په انځور کې چېرته راځي

رښتینی ثبت ستاسو د کنټرول لاندې د کیلي جوړې او هغې د سند لاسلیک غوښتنې سره پیلېږي چې د چلوونکي د تمې موضوع لري۔ چلوونکی حق تاییدوي، غوښتنه د CA کیلي سره لاسلیک کوي، او صادر شوی سند د هر هغې منځګړې لړۍ سره بېرته ورکوي چې کلاېنټ باید وړاندې کړي۔ بیا کلاېنټ ته هغه CA سند ته اړتیا ده چې لاسلیک یې کړی، ځکه هماغه ورته اجازه ورکوي چې تایید کړي چې هغه سرور چې ورسره خبرې کوي هماغه ځایپرځای کېدو ته اړه لري۔

هغه وروستی فایل هېرول اسان او بدلول ناشوني دي۔ د CA لاسلیک کیلي پخپله هېڅکله د کلاېنټ ترتیباتو کې نه وي، او هېڅ ډول سیمه ییز بدلون هغه لړۍ نه جوړوي چې تاسو یې باید ترلاسه کړې وای۔

د SSH کیلي بیا کارول څه لګښت لري

فرض کړئ چې یو بدلون رېښتیا هم یو څه منل شوی جوړ کړ۔ یوه کیلي جوړه د SSH لاسرسي او VPN تصدیق دواړو لپاره بیا کارول لا هم دوه خپلواک امنیتي پرېکړې یوځای کوي۔ له authorized_keys څخه یوه کرښه لرې کول SSH ننوتل بندوي، او د هماغې عامه کیلي لپاره چې VPN CA مخکې صادر کړی سند ته هېڅ نه کوي۔ د VPN لوری د خپل میکانیزم له لارې لغوه کېږي، یعنې د سندونو د لغوه کولو لیست یا د چلوونکي د ثبت ریکارډ۔

نو د کنټرول لیست د کومې چالاکۍ نه، بلکې د درېدو شرط سره پای ته رسېږي۔ که openssl فایل د سند په توګه تحلیل نه کړي، بدلون ودروئ او بیان کړئ چې څه لرئ: SSH کیلي، SSH سند، X.509 سند، شخصي کیلي یا بنډل۔ که پروفایل کلاېنټ سند ونه غواړي، ودروئ او وپوښتئ چې سرور کومه تصدیق طریقه تمه لري۔ یوازې هغه وخت چې دواړه ځوابونه X.509 ته اشاره وکړي، ثبت بله ګام کېږي، او هغه خبرې اترې په لومړي جمله کې د سم نوم سره ډېرې ژر پرمخ ځي۔