VPN සේවාලාභී යතුරක් සාදා අත්සන් කිරීම සඳහා CSR ඉදිරිපත් කරන ආකාරය

ඉක්මනින් හෝ පසුව, VPN පරිශීලකයෙක් පෞද්ගලික යතුරක් විද්‍යුත් තැපෑලෙන් යැවීමට යෝජනා කරයි, එවිට පරිපාලකයාට සහතිකයක් සෑදිය හැක, සහ ප්‍රතික්ෂේප කළ යුත්තේ හරියටම එම යෝජනාවයි. ක්‍රියාකාරී ප්‍රවාහය පළමු විධානයේ සිටම යතුර සේවාලාභියා ළඟ තබා ගනී: සේවාලාභියා එය සාදයි, සහතික අත්සන් ඉල්ලීමක් යවයි, නිකුත් කරන්නා එය සත්‍යාපනය කර අවසර දෙයි, සහ අත්සන් කළ සහතිකය ආපසු පැමිණ එය සාදන ලද යතුර අසල වාඩි වෙයි. පහත ලැයිස්තුව සෑම පියවරකදීම සංවෘත ලෙස අසාර්ථක වේ, සහ එයයි අර්ථය, මන්ද පියවර පහෙන් දෙකක් යනු මිනිසුන් ඉක්මන් වන විට මඟ හරින පියවර වේ.

පියවර 1: යතුර ජීවත් වන තැනම එය සාදන්න

යතුර රඳවා ගන්නා යන්ත්‍රයේම සාදන්න, එහිම තබන්න. මෘදුකාංග යතුර දැඩි අවසර සහිත ගොනුවකට යයි; දෘඩාංග-සහායක හෝ කළමනාකරණ ගබඩාවක ඇති යතුර කිසිදා ගොනුවක් නොවේ, එහි ලියාපදිංචි මාර්ගය සාමාන්‍යයෙන් OpenSSL විධානයක් නොව වෙනම මෙවලමකි. කෙසේ වුවද, පෞද්ගලික අර්ධය කිසිවෙකුට බැලීමට අවශ්‍ය නැත.

මෘදුකාංග ප්‍රවාහය මෙසේ පෙනේ, යතුර සහ ඉල්ලීම එකම සැසියක සාදනු ලැබේ:

umask 077
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:3072 -out client.key
openssl req -new -key client.key -out client.csr -subj "/CN=alice-vpn/O=Example"

umask පේළිය පෙනෙන පමණට වඩා වැදගත් වේ. එය නොමැතිව පෙරනිමියෙන් අවසර දෙන පද්ධතියක යතුර සියල්ලන්ට කියවිය හැකි ලෙස ලියැවෙයි, සහ පසුව ගොනුව පිටපත් කිරීම එය පතුරවයි. පවතින යතුරක් නැවත භාවිත කිරීම එය දැනටමත් ආරක්ෂිත නම් සහ ඔබේ ප්‍රතිපත්තියට ගැලපේ නම් වලංගුය; එක් එක් උපාංගයට නව එකක් සාදා ගැනීම පැහැදිලි කිරීම පහසුය.

පියවර 2: අනන්‍යතාව ඉල්ලීම තුළ තබන්න, විද්‍යුත් තැපෑලේ නොව

ඉල්ලීම සාදන පෙර VPN ඇත්තටම ඇයි ප්‍රමාණීකරණය කරන්නේද යන්න තීරණය කරන්න, මන්ද එම පිළිතුර CSR තුළට අයත් වේ. OpenVPN සම්ප්‍රදායිකව සේවාලාභී අනන්‍යතාව සහතිකයේ පොදු නාමයට බැඳ තබයි, සහ strongSwan වැනි මෙවලම් අනන්‍යතා තන්තුවක් විෂය හෝ විෂයේ විකල්ප නාමය සමඟ ගළපයි. මගේ නම alice යැයි කියන විද්‍යුත් තැපෑල සාක්ෂියක් නොවේ, සහ විෂය එම දේම කියන ඉල්ලීම ස්වල්පයක් පමණක් වඩා හොඳය.

ඔබේ සත්‍යාපකය එකක් පරීක්ෂා කරන විට විෂයේ විකල්ප නාමය එක් කරන්න, මන්ද නවීන ගැළපීම බොහෝ විට පැරණි CN නොසලකා හරියි:

openssl req -new -key client.key -out client.csr \
  -subj "/CN=alice-vpn/O=Example" \
  -addext "subjectAltName=DNS:alice-vpn"

CN කෙටි, ස්ථාවර සහ ලැප්ටොප් ආකෘතිය වෙනුවට ගිණුමට බැඳ තබන්න. පරිශීලකයාගේ උපාංගයේ අනුක්‍රමික අංකය අඩංගු නාමය පළමු දෘඩාංග ප්‍රතිස්ථාපනය බලා සිටින උපකාරක ගැටලුවකි.

පියවර 3: අත්සන් කිරීමට පෙර ඉල්ලීම සත්‍යාපනය කරන්න

නිකුත් කරන්නා වෙනස් දේවල් දෙකක් සත්‍යාපනය කරයි, ඒවා මිශ්‍ර කිරීම සම්භාව්‍ය වැරැද්දයි. පළමුව, ඉල්ලීම අභ්‍යන්තරව සංගත බව: අත්සන එය දරන පොදු යතුරට එරෙහිව සත්‍යාපනය වේ. දෙවනුව, ඉල්ලුම්කරු ඉල්ලීම ඉල්ලන දේට හිමිකම් ඇති බව, එයට කිසිදු ගුප්ත ලේඛන පරීක්ෂාවකට පිළිතුරු දිය නොහැක.

යාන්ත්‍රික කොටස එක් විධානයකි, එය විෂය සමඟ සත්‍යාපන ප්‍රතිඵලය මුද්‍රණය කළ යුතුය:

openssl req -in client.csr -noout -verify -subject
openssl req -in client.csr -noout -pubkey | openssl pkey -pubin -noout -text

එය ඔප්පු කරන දේ සැලකිල්ලට ගන්න. සත්‍යාපනය වන ඉල්ලීමක් පෙන්වන්නේ යවන්නා ඉදිරිපත් කිරීමේ වේලාවේ ගැළපෙන පෞද්ගලික යතුර තිබූ බව පමණි; එය යවන්නා විෂයේ නම් කර ඇති පුද්ගලයා බව ඔප්පු නොකරයි, සහ ඉල්ලන ලද කණ්ඩායම හෝ මාර්ග ප්‍රවේශය අවසර නොදෙයි. ලියාපදිංචි සමාලෝචනය වෙනම දොරටුවකි, සහ කිසිවෙකු අනුමත නොකළ කණ්ඩායමක් ඉල්ලන ඉල්ලීම නිශ්ශබ්දව සංස්කරණය කිරීම වෙනුවට ප්‍රතික්ෂේප කළ යුතුය.

පියවර 4: අවසර දෙන්න, පසුව පැහැදිලි දිගු කිරීම් සමඟ අත්සන් කරන්න

ඉල්ලීම වචනානුසාරයෙන් පිළිගැනීම වෙනුවට CA ප්‍රතිපත්තිය තීරණය කරන තැන අත්සනයි. වලංගුතාව, යතුරු භාවිතය සහ භූමිකා දිගුව දිගු ගොනුවකට අයත් වේ, මාස හයකින් ඔබට මතක නොතිබෙන පෙරනිමි අගයන්ට නොවේ. VPN ප්‍රමාණීකරණය සඳහා සේවාලාභී සහතිකයට එහි අරමුණ ලෙස සේවාලාභී ප්‍රමාණීකරණය අවශ්‍ය වේ.

cat > client.ext <<'EOF'
basicConstraints = CA:FALSE
keyUsage = digitalSignature
extendedKeyUsage = clientAuth
EOF
openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key \
  -CAcreateserial -days 365 -extfile client.ext -out client.crt

දැනටමත් එකක් භාවිතයේ ඇත්නම් පවතින අනුක්‍රමික ගොනුව සමඟ -CAserial භාවිත කරන්න, සහ CA යතුර නොබැඳිව හෝ ඔබේ ප්‍රතිපත්තිය නම් කරන ආරක්ෂිත ගබඩාවේ තබන්න. සහතිකවල අනුක්‍රමික අංක එක් එක් නිකුත් කරන්නාට අනන්‍ය විය යුතුය; අනුක්‍රමික ගොනුව බිංදුවේ සිට නැවත සෑදීම අවලංගු කිරීම අපැහැදිලි කරන ගැටුම් ඇති කිරීමේ අවදානමකි.

නිකුත් වූ දේ වාර්තා කරන්න: අනුක්‍රමික අංකය, විෂය, ඉල්ලූ අනන්‍යතාව, අනුමත කළ පුද්ගලයා සහ කල් ඉකුත්වීම. එම වාර්තාව පසුව අවලංගු කිරීමේ තීරණය රඳා පවතින දෙයයි, සහ ලියාපදිංචි සලකුණ තැපැල් පෙට්ටියක පමණක් ජීවත් වන්නේ නම් එය සහතිකයෙන් පමණක් නැවත ගොඩනැගිය නොහැක.

පියවර 5: එය ගැළපෙන යතුර අසල ස්ථාපනය කර යුගලය ඔප්පු කරන්න

සේවාලාභියාට ලැබෙන්නේ සහතිකය සහ නිකුත් කරන්නාගේ දාමයයි, කිසිදා යතුරක් නොවේ. සම්බන්ධ වීමට පෙර, සහතිකය තැටියේ දැනටමත් ඇති යතුර සමඟ සැබවින්ම යුගල වන බව තහවුරු කරන්න, මන්ද නොගැළපෙන යුගලයක් බොහෝ පසුව ව්‍යාකූල අත් අල්ලා ගැනීමේ අසාර්ථකත්වයක් ඇති කරයි:

openssl x509 -in client.crt -noout -pubkey | openssl pkey -pubin -outform DER | openssl sha256
openssl pkey -in client.key -pubout -outform DER | openssl sha256

ඩයිජස්ට් දෙකම ගැළපිය යුතුය. පසුව සම්බන්ධ වී සේවාදායකයා වාර්තා කරන අනන්‍යතාව ඔබ අවසර දුන් එක බව තහවුරු කරන්න, උමං මතු වූ බව පමණක් නොවේ. යතුර නැති වුවහොත් හෝ උපාංගය මාරු කළහොත්, පිළිතුර අවලංගු කිරීම සහ නව උපාංගයෙන් නව ඉල්ලීමකි; පරිපාලකයාගෙන් වෙනත් තැනකින් යතුරක් ආපසු එවීමට ඉල්ලීම මුල් එක නැවත ලබා නොදෙන අතර ඉල්ලීම ආරක්ෂිත කළ ආකෘතිය නිශ්ශබ්දව බිඳ දමයි.