ستاسو VPN کلاینټ د سند باور کولو دمخه څه ګوري
د سند خبرداری د هغو څلورو دروازو له لارې تېر کړئ چې ستاسو کلاینټ ګوري: CA باور، د زنځیر جوړول، د سیال نوم او هدف، او د لغوه کولو تګلاره۔
ستاسو VPN کلاینټ وایي چې سند تصدیق نشو کړای، او خبرې هماغه ځای ودروې۔ دوتنه شته، سرور روان دی، او هماغه پروفایل تېره میاشت په بل لیپ ټاپ کې کار کړی و۔ د هغې یوې کرښې خبرداری لاندې کلاینټ د سیال سند د څلورو دروازو له لارې تېر کړ: هغه سند مرجع چې تاسو برابر کړې د لاسلیک لار تضمینوي، هغه لار مرجع ته رسېږي، د سیال نوم هغه دی چې تاسو غوښتی، او سند اوس د دې هدف لپاره د کارولو وړ دی۔ هغه دروازه ومومئ چې بنده شوې او سمون معمولاً یوه دوتنه ده؛ هغه ګام پرېږدئ نو ټوله ماسپښین به بنډلونه بیا واردوئ۔
د پروفایل د سمون دمخه خبرې ولولئ
د سند غلطۍ لاندې کتابتون لیکي، نه هغه VPN محصول چې تاسو نصب کړی، نو سمه کرښه ستاسو لومړی ثبوت دی۔ «د ځایي صادروونکي سند نشي ترلاسه کېدای» لارې یا د باور انکر ته اشاره کوي۔ «د سند موده پای ته رسېدلې یا لا سم نه دی» وخت ته اشاره کوي۔ «د سند هدف نه ملاتړ کېږي» پراخ شوي کیلي کارونې ته اشاره کوي۔ د نوم نه سمون وایي چې کوم نوم غوښتل شوی و۔ له څلورو هېڅ یو د کلاینټ بیا نصبولو سره سم نه شي۔
د هر څه د بدلون دمخه د لاګ کچه پورته کړئ۔ OpenVPN د --verb 4 سره چلولو پر مهال د لاس ورکولو شاوخوا د تصدیق ناکامي راپور کوي، او strongSwan خپلې پیژندنې او زنځیر پرېکړې charon لاګ کې لیکي۔ بیا ډاډ ترلاسه کړئ چې کوم سند ګورئ، ځکه خلک معمولاً په ډیسک کې دوتنه ازمويي پداسې حال کې چې پروفایل زړه کاپي دننه ږدي۔ کله چې پروفایل PEM بلاکونه دننه ږدي، دننه ایښودل شوی سند ازمویل کېږي۔
د سند مرجع پر پیژندنو لاسلیک کوي، نه پر اجازتونو
مرجع یو نوم او یو د لاسلیک کیلي لري۔ دا د خپلې تګلارې له مخې عامه کیلي له هغه نوم سره تړونکي سندونه صادروي، چې د اعتبار موده او د کارونې محدودیتونه ورسره یوځای دي۔ ستاسو کلاینټ ته د صادروونکي د پیژندلو لپاره یوازې د مرجع سند ته اړتیا ده؛ هېڅکله د لاسلیک کیلي ته اړتیا نه لري، او هغه کیلي کلاینټونو ته لېږل به دوی ته دا وړتیا ورکړي چې هر هغه پیژندنه جوړه کړي چې ځای پرځای کول پرې باور لري۔
پر مرجع باور کول د هغې لاسلیک شوی هر سند کاندید ګرځوي، نه سم سیال۔ د هماغې داخلي CA د وېب سرور سند هم کاندید دی۔ له همدې امله د نوم او هدف دروازې شته، او له همدې امله خراب شوی CA کیلي له هر یو سرور څخه مهمه ده: دا د مرجع هر هغه پیژندنې ته رسېږي چې کله هم صادرې کړې۔ د هر وسیلې لپاره جلا کلاینټ سندونه صادر کړئ، ترڅو ورک لیپ ټاپ د ټول ځای پرځای کولو د کیلي بیا جوړول نه، بلکې یوه لغوه کول وي۔
هغه لار بیا جوړه کړئ چې کلاینټ یې جوړولو هڅه کوي
لار د سیال سند څخه پیلېږي، د صفر یا ډېرو منځنیو سندونو له لارې تېرېږي، او ستاسو د باور زېرمې ریښې ته رسېږي۔ ورک منځنی سند ترټولو عامه زنځیر خرابي ده، او د کلاینټ له اړخه دا ناباوره ریښې په څېر ښکاري۔ لومړی پاڼه ولولئ، بیا هغه توکي چې تاسو یې لېږل غواړئ OpenSSL ته پرېږدئ چې لار جوړه کړي۔
openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crtد صفر وتلو حالت مانا دا ده چې لار له هغو دوتنو جوړه شوې؛ ناکامي هغه سند نوموي چې نه شو رسېدلای۔ که openssl verify بریالی شي او کلاینټ لا هم انکار وکړي، توپیر په دې کې دی چې سرور په رښتیا څه لېږي یا پروفایل کومه باور دوتنه پورته کوي۔ په OpenVPN کې منځني سندونه کولای شي د سرور د سند دوتنې سره يوځای لاړ شي یا د --extra-certs سره جلا ورکړل شي، او هغه بنډل چې د یوه موضوع نوم لاندې دوه ریښې لري ستاسو یو کلاینټ ناسم څانګې ته لېږي۔
نوم او هدف جلا دروازې دي
زنځیر جوړول هېڅکله نه پوښتي چې نوم ستاسو دی که نه۔ OpenVPN یې یوازې هغه وخت ګوري چې پروفایل --verify-x509-name وټاکي، او یوازې عام نوم سره سمول زړه عادت هغو سندونو کې ماتېږي چې پیژندنې یې subjectAltName کې ژوند کوي۔ IKEv2 ځای پرځای کول برابر شوې پیژندنه د SAN ننوتلو یا توپیر کوونکي نوم سره سمون خوري، د کلاینټ له مخې، او wildcard یا %any ارزښت هغه پرتله چې تاسو یې شتونته یاست په خاموشۍ بندوي۔
بیا وخت او هدف راځي۔ هغه لیپ ټاپ چې ساعت یې څو ساعته مخکې دی هغه سند ردوي چې لا سم نه دی، او پای ته رسېدلی منځنی سند لاره ناکاموي پداسې حال کې چې پاڼه فعاله ده۔ د هدف ناکامۍ له هغه سند څخه راځي چې په پراخه کیلي کارونه کې serverAuth نه لري، یا داسې keyUsage لري چې د لاس ورکولو لاسلیک اجازه نه کوي، چې OpenSSL یې د نه ملاتړ شوي سند هدف په توګه راپور کوي۔ له سمې کيندې څخه بیا صادر کړئ؛ په هغه پیغام کې د تصدیق بندولو هېڅ دلیل نشته۔
لغوه کول یوازې هغه وخت چلیږي چې چا یې برابر کړی وي
CRL یا OCSP ځواب په اتوماتيک ډول نه ګورل کېږي۔ په OpenVPN سرور کې کلاینټ سندونه لیست سره یوازې هغه وخت پرتله کېږي چې --crl-verify یو ته اشاره وکړي۔ د سرور سند کلاینټ اړخه ګڼنه د پلي کولو پورې اړه لري او ډېری وخت نه وي۔ strongSwan ته د سیال لپاره CRL کتلو دمخه خپل لغوه کولو پلگ ان او یوه تګلاره اړینه ده۔
دا هماغه ټکټ تشریح کوي چې په پای کې به یې ترلاسه کړئ: لغوه شوی کلاینټ سند لا هم نښلېږي، او ټول دا نتیجه اخلي چې لغوه کول خراب دي۔ هېڅ شی ګڼنه نه کوله۔ CRL خپور او تازه کړئ، یا کلاینټ سندونه دومره لنډ عمره وساتئ چې زوړ لغوه کول لږ وخت مهم وي، او د پېښې پر مهال له اړتیا دمخه په لابراتوار سند باندې د لغوه کولو لار تمرین کړئ۔
د سمون هغه ترتیب چې تصدیق پرانيستې ساتي
د دوتنو له لمس دمخه د نښې له مخې ترتیب کړئ، ځکه د جدول هر قطار تاسو بل شي ته لېږي۔
| Client says | Most likely gate | First check |
|---|---|---|
| unable to get local issuer certificate | trust anchor or missing intermediate | your own openssl verify against the files the profile loads |
| expired or not yet valid | validity window | leaf and intermediate dates against the device clock |
| unsupported certificate purpose | extended key usage | serverAuth present, keyUsage allows the handshake |
| name mismatch | peer identity | subjectAltName entries versus the profile name |
لیست په یوه پاس کې بشپړ کړئ: هغه دوتنه تایید کړئ چې پروفایل پورته کوي، لار پخپله جوړه کړئ، وګورئ چې سرور منځنی سند لېږي که نه، ساعت پرتله کړئ، SAN ولولئ، EKU ولولئ، بیا بیا ونښلئ او هماغه لاګ کرښه ورکېدل وګورئ۔ که وسیلې ته CA هېڅ نشي ورکول کېدای، پننګ ریښتینی بدیل دی، ځکه OpenVPN 2.6 د --peer-fingerprint مني او د تصدیق لرې کولو پرځای باور یوې کیلي ته محدودوي۔ د دې هر څخه د مانا لپاره RFC 5280 حواله ده۔