CA නැවත නොගොඩනඟා VPN සේවාලාභියා එක් කිරීම

තවත් ලැප්ටොප් පරිගණකයකට තවත් සහතිකයක් අවශ්‍ය වේ, නමුත් සෙවුම් ප්‍රතිඵලවල පළමු නිබන්ධනය PKI ෆෝල්ඩරය මකා දමන විධානයකින් ආරම්භ වේ. එම විධානය පළමු සැකසුමට අයත් ය, ලියාපදිංචියට නොවේ, එය ක්‍රියාත්මක කිරීමෙන් CA, නිකුතු ඉතිහාසය සහ පැරණි නිකුත් කරන්නා විශ්වාස කළ සෑම සේවාලාභී පැතිකඩක්ම ඔබට අහිමි වේ. තීරණය පටු ය: නිකුත් කරන්නාට තවමත් භාවිත කළ හැකි තත්ත්වයක් තිබේද, නව උපාංගය ඔබේ ලියාපදිංචි ප්‍රතිපත්තියට ගැලපේද? කොන්දේසි තුනක් එය තීරණය කරයි, ඉන් එකක් පමණක් නැවත ගොඩනැගීම සාධාරණීකරණය කරයි.

නැවත ගොඩනැගීම සැබවින්ම විනාශ කරන දේ

PKI නැවත ආරම්භ කිරීම ෆෝල්ඩරය හිස් ව්‍යුහයකින් ප්‍රතිස්ථාපනය කරයි: නව CA යතුරක් සහ සහතිකයක්, හිස් නිකුතු දත්ත සමුදායක් සහ නව අනුක්‍රමික අංක ගණකයක්. සේවාලාභීහු තමන් විසින්ම අනුගමනය නොකරති; ඔවුන්ගේ පැතිකඩ පැරණි CA අගුළු ලයි, එබැවින් සෑම උපාංගයක්ම නැවත ලියාපදිංචි විය යුතු අතර ළඟා විය නොහැකි ඒවා අතින්.

වඩාත් නිහඬ පාඩුව ගිණුම්කරණයයි. අවලංගු කිරීම රඳා පවතින්නේ කුමන අනුක්‍රමික අංක කාට නිකුත් කළාද යන්න දැන ගැනීම මත ය. දර්ශකය මකා දැමුවත් අත්සන් කළ හැක, නමුත් ඉතිරි සහතිකවලින් කුමක් අවලංගු කිරීමට අදහස් කළාද යන්න විශ්වාසයෙන් පැවසිය නොහැක. නිකුත් කරන්නාගේ තත්ත්වය නොමැතිව සහතික ඇති CA ෆෝල්ඩරය පද්ධතියේ වැරදි අර්ධය ප්‍රතිසාධනය කරන උපස්ථයකි.

CA හි පෞද්ගලික යතුර ක්‍රියාත්මක වන සේවාදායකයා අසලට පිටපත් කිරීම ප්‍රතික්ෂේප කළ යුතු තවත් කෙටි මාර්ගයකි: එය නොබැඳිව තැබිය යුතු අත්සන් අධිකාරිය විශ්වාස කළ නොහැකි ගමනාගමනයක් ඇති සත්කාරකයේ තවත් ගොනුවක් බවට පත් කරයි.

පළමු කොන්දේසිය: නිකුත් කරන්නාගේ තත්ත්වය තවමත් ළඟා විය හැකිද

තීරණයට පෙර සේවාදායකයා සැබවින්ම විශ්වාස කරන ෆෝල්ඩරය සොයන්න. සේවාදායකයා CA ලෙස ඉදිරිපත් කරන සහතිකය PKI ෆෝල්ඩරයේ ඇති එක සමඟ ඇඟිලි සලකුණ අනුව සසඳන්න, ගොනු නාමය අනුව නොවේ:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

සලකුණු ගැලපේ නම් ලියාපදිංචිය අතිරේක ය, කිසිවක් නැවත නොගොඩනඟන්න. වෙනස් නම් සේවාදායකයා විශ්වාස නොකරන CA සමඟ අත්සන් කරයි: සහතිකය පිරිසිදුව ස්ථාපනය වුවත් අත් ගැටීමේදී අසාර්ථක වේ, එම දෝෂය පැය ගණනක් සේවාලාභී දෝෂයක් ලෙස වැරදි ලෙස හඳුනා ගැනේ.

පසුව නිකුතු තත්ත්වය සොයන්න: දර්ශක ගොනුව, අනුක්‍රමික ගණකය සහ CRL අංක ගොනුව. දර්ශකය නොමැතිව යතුර තිබේ නම් නිකුත් කළ හැක, නමුත් අවලංගු කිරීම් වාර්තා කිරීමේ ගැටලුව උරුම වේ. එය වෙනස්කම් වාර්තාවේ සටහන් කරන්න, මන්ද ඊළඟ අවලංගු කිරීමේ ඉල්ලීම එය හෙළිදරව් කරනු ඇත.

දෙවන කොන්දේසිය: නව පෞද්ගලික යතුර කා සතුවද

මෙය පරිශීලකයින්ට දැනෙන තීරණයකි, එබැවින් පැහැදිලිව ගන්න. සේවාලාභියා විසින් සාදා ඉල්ලීමක් ලෙස යවන යතුර පෞද්ගලික අර්ධය පළමු විධානයේ සිටම උපාංගයේ තබා ගනී, පරිපාලකයා එය කිසිදා ස්පර්ශ නොකරයි. සේවාදායකයා විසින් සාදන යතුර මෙවලම් නොමැති උපාංග සඳහා පහසු ය, නමුත් පරිපාලකයා සෑම යතුරකම භාරකරු බවට පත් කර සේවාදායක බිඳවැටීමේ බලපෑම පුළුල් කරයි.

පවතින CA එකට එරෙහිව Easy-RSA 3 සමඟ ඉල්ලීම ආයාත කිරීම සහ අත්සන් කිරීම විධාන දෙකකි:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

සහතික වර්ගය හිතාමතා තෝරන්න. සේවාලාභියා වෙනුවට සේවාදායක සහතිකයක් ලෙස අත්සන් කරන ඉල්ලීම හොඳින් පෙනෙන නමුත් අනෙක් පාර්ශවය විසින් ප්‍රතික්ෂේප කරන ගොනුවක් ලබා දෙයි, දෝෂ පණිවිඩය කලාතුරකින් හේතුව පවසයි. openssl ca සමඟ අත්සන් කරන්නේ නම් එම තේරීම ඔබ ලබා දෙන දිගුවල ඇත, පෙරනිමි කොටසේ නොවේ.

තුන්වන කොන්දේසිය: සේවාදායකයාට සහතිකයකට වඩා අවශ්‍යද

සහතික සත්‍යාපනය සහිත සාමාන්‍ය OpenVPN සේවාදායකයකට සහතිකයම ලියාපදිංචියයි: පොදු නාමය සේවාලාභී අනන්‍යතාවය බවට පත් වේ, ඕනෑම ෆෝල්ඩරයක්, තල්ලු කරන ලද මාර්ගයක් හෝ ස්ථිතික ලිපිනයක් එම නාමය මත රඳා පවතී. සහතිකය එකතු කර වින්‍යාසය අමතක කරන්න, උමං සම්බන්ධ වේ නමුත් අවශ්‍ය මාර්ග නොපෙනේ.

වේදිකා මෙය වෙනස් කරයි. OpenVPN Access Server සතුව තමන්ගේම පරිශීලක දත්ත සමුදායක් ඇත, එබැවින් අත්සන් කළ සහතිකයක් ගිණුමක් නොවේ; ගිණුම තිබිය යුතු අතර අවසර ලබා තිබිය යුතුය. වෙනත් ද්වාර අනන්‍යතා තන්තුවක් කණ්ඩායමකට සම්බන්ධ කරයි. එක් උපාංගයක් ලියාපදිංචි කිරීම සාමාන්‍යයෙන් පද්ධති දෙකක් ස්පර්ශ කරයි, සහතිකය පළමු එක පමණි.

අතිරේක ක්‍රියා පටිපාටිය සහ නැවත ගොඩනැගීම නිවැරදි වන විට

හානියකින් තොරව එක් උපාංගයක් එකතු කරන අනුපිළිවෙල: ඇඟිලි සලකුණෙන් නිකුත් කරන්නා තහවුරු කරන්න, PKI ෆෝල්ඩරයේ නව උපස්ථයක් ගන්න, සේවාලාභී භූමිකාව සඳහා ඉල්ලීම ආයාත කර අත්සන් කරන්න, අනුමත මාර්ගයෙන් සහතිකය එහි දාමය සමඟ භාර දෙන්න, පරිශීලකයා සම්බන්ධ වීමට පෙර සත්‍යාපනය කරන්න:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

අරමුණු පේළියේ SSL client පෙන්විය යුතුය. නිකුත් කිරීමෙන් පසු CA උපස්ථය යාවත්කාලීන කර අවසන් කරන්න, මන්ද නව අනුක්‍රමික අංකය සටහන් කිරීමට පෙර ගත් උපස්ථයක් දැන් එකතු කළ උපාංගය නොමැති තත්ත්වයක් නැවත ලබා දෙයි.

නැවත ගොඩනැගීම අවස්ථා තුනකදී නිවැරදි ය: CA යතුර බිඳී ඇත, නිකුතු තත්ත්වය නැවත ලබා ගත නොහැකි ලෙස නැති වී ඇත, නැතහොත් ඔබ හිතාමතා යතුරු ඇල්ගොරිතමය හෝ සහතික ප්‍රතිපත්තිය වෙනස් කරයි. තුනම සෑම සේවාලාභියෙකුගේම නැවත ලියාපදිංචිය සැලසුමක් අවශ්‍ය ව්‍යාපෘති ය, එක් උපාංග ඉල්ලීමක පියවර නොවේ. කිසිවක් අදාළ නොවේ නම් අතිරේකව ලියාපදිංචි කරන්න.