د TLS تیروتنې یوازې په شرکتي VPN کې: سم د باور زېرمه سمه کړئ

د Go جوړونه، د Composer نصب او د Python پیریدونکی ټول په کور کې کار کوي او ټول د شرکت د VPN په دننه کې ناکامېږي۔ دا بڼه تاسو ته د لارې په اړه وایي، نه د اپلیکیشن په اړه۔ په تونل کې یو څه هغه سندیزه ځنځیر بدل کړ چې ستاسو پروسه یې ویني، یا د لاس ورکولو مخکې یې بیا تنظیم کړ مخکې لدې چې کوم ځنځیر ورسیږي۔ دواړه خرابۍ په ټرمینل کې ورته ښکاري او بشپړ توپیر لرونکي ځوابونه غواړي۔

درې پیغامونه، درې میکانیزمونه

د x509 certificate signed by unknown authority تېروتنه مانا دا ده چې یو ځنځیر جوړ شو او ریښه یې په هغه باور زېرمه کې نشته چې هغه پروسه یې کاروي۔ د self-signed certificate in certificate chain تېروتنه معمولاً مانا دا ده چې د څېړنې پراکسي خپل سند ځواب کړ، او دا داسې ځنځیر دی چې ستاسو د چلولو چاپېریال یې نه پېژني۔ د لاس ورکولو پر مهال SSL EOF مانا دا ده چې اړیکه د کوم کارېدونکي سند له لیږلو مخکې وتړل شوه، او دا د منځني وسیلې یو اله چې ClientHello ردوي، هېڅ د باور ستونزه نه ده۔

د ناامن حالت بیرغ ورزیاتول درې پیغامونه ورکوي خو منځته راتلل خپل ځای ته پاتې کېږي، او هغه څېړنه هم لرې کوي چې یو ریښتینی بریدګر به یې نیولی و۔

هغه بنډل ومومئ چې پروسه یې واقعاً لولي

په Windows زېرمه کې نصب شوې شرکتي ریښه هغه براوزرونه او .NET اپلیکیشنونه سمول کوي چې سیسټم زېرمې ته مراجعه کوي۔ دا د کانټینر په دننه کې روان جوړونې لپاره هېڅ نه کوي، ځکه خپل CA بنډل لري، او نه د certifi کاروونکې Python پروسې یا خپل شامل لیست کاروونکې Node پروسې لپاره هېڅ کوي۔ Go د هغه چاپېریال سیسټم حوض لولي چې باینري پکې ځي، یعنې کانټینر، نه لپ ټاپ۔ نو یوه ماشین په یو وخت کې کارکوونکی براوزر او ناکامېدونکی جوړونکی اوزار تولیدوي۔

د اټکل پر ځای له اوزار وپوښتئ۔ python3 -c "import ssl; print(ssl.get_default_verify_paths())" هغه فایلونه چاپوي چې Python به مراجعه ورته وکړي، او node -e "console.log(process.env.NODE_EXTRA_CA_CERTS)" ښیي چې ایا سرغړونه لا دمخه ټاکل شوې ده۔ د کانټینر لپاره، هماغه څېړنه د انځور په دننه کې وچلوئ، ځکه جوړونه واقعاً هماغه چاپېریال کاروي۔

په هغه ځای کې یوه ریښه نصب کړئ چې جوړونه پکې ځي

د څېړنې ریښه له IT څخه د PEM فایل په توګه ترلاسه کړئ او د باور کولو مخکې یې د ګوتې نښه په جلا کانال کې وګورئ۔ په Debian پر بنسټ انځورونو کې، دا /usr/local/share/ca-certificates/ ته کاپي کړئ او update-ca-certificates وچلوئ؛ د RHEL کورنۍ انځورونه فایل /etc/pki/ca-trust/source/anchors/ ته ایښودلو وروسته update-ca-trust کاروي۔ په کانټینر جوړونه کې، دا ګامونه د ناکامېدونکې کمانډې مخکې ورزیات کړئ ترڅو پوړ د انحصارونو نصب له پاسه کیش شي۔

د سیمه ییز devcontainer لپاره، PEM ونښلوئ او په پیل کې هماغه تازه کول کمانډ وچلوئ، پر ځای لدې چې په داسې شخصي انځور کې یې وپخوئ چې بل څوک یې بیا نه شي جوړولی۔ هغه اوزار چې خپل بنډل راوړي خپل مستند شوی سرغړونه غواړي: pip د سند تنظیم لري، npm د cafile تنظیم لري، او ډېری نور معیاري چاپېریالي بدلونونه مني۔

دا د هر سند منلو سره یو شان نه دی۔ تاسو یوه ځانګړې ریښه، چې د څېړنې کوونکي لوري څخه ترلاسه شوې، یو چاپېریال ته ورزیاتوئ، او تصدیق د نورو هر ځنځیر لپاره روښانه پاتې کېږي۔ ولیکئ کوم فایل ورزیات شو او کله پای ته رسیږي، ځکه د څېړنې ریښه د هر بل CA په څېر نوي کېږي۔

کله چې لاس ورکول د سند مخکې مري

که هېڅ وړاندې نه شي، د باور زېرمې هېڅ بدلون به مرسته ونه کړي۔ هماغه غوښتنه د تونل د خلاص او بند حالت سره پرتله کړئ، بیا ځنځیر مستقیم د openssl s_client -connect host:443 -servername host -showcerts سره وګورئ۔ هغه اړیکه چې د VPN څخه بهر بشپړېږي او دننه بیا تنظیمېږي، د منځني اله پریکړه ده، او درمل یې د هغه هوسټ لپاره استثنا ده، نه بل سند۔ وغواړئ چې د بنډل راجستر یا API پای ټکی بې بدلون تېر شي۔

تونل ووېشل ترڅو اوزار VPN ته ځان ونه رسوي، د هغه ټرافیک څېړنه نه کوي، کوم چې ممکن سیاست مات کړي او اوزار باوري نه جوړوي۔

د هر اوزار لپاره پایله ولیکئ

لنډه یاده چې باینري، هغه باور فایل چې لولي، په لوبې کې چاپېریالي بدلون او منل شوې استثنا لیستوي، بل کس ته ټول تشخیص بچ کوي۔ یاده د لپ ټاپ له مخې نه، د اوزار له مخې وساتئ، ځکه بدل شوی شی په ندرت سره لپ ټاپ وي۔

او په ټیکټ کې دوه جملې جلا وساتئ: موږ یوه ځانګړې شرکتي ریښه نصب کړه، او موږ تصدیق بند کړ۔ یوازې یو له دواړو څخه د ملاتړ عمل دی۔