රහස් පදය පමණක් ඇති OpenVPN පැතිකඩට යන්නේ කුමන CA ගොනුවද?
CA ක්ෂේත්‍රය සත්‍යාපනය කරන්නේ සේවාදායකයාය, පරිශීලකයා නොවේ. පැතිකඩ දැනටමත් ගෙන යන දේ බලන්න, ද්‍රව්‍ය වර්ග හතර වෙන් කරන්න සහ ඊළඟ දෝෂය කියවන්න.
ප්‍රශ්න හතරක් පිළිවෙලින් කරන්න, එවිට CA සංවාදය තවදුරටත් අපැහැදිලි නොවේ. ක්‍රියාකරු සැබවින්ම නිකුත් කළේ කුමන ද්‍රව්‍යද, පැතිකඩ දැනටමත් කුමක් අඩංගුද, කුමන ක්ෂේත්‍රය අසන්නේද, ගොනුව පූරණය වූ පසු කුමක් සිදුවේද? ක්‍රියාකරුගේම උපදෙස්වලින් පිළිතුරු දිය නොහැකි පළමු ප්‍රශ්නයේදී නවතින්න, මන්ද ඊට ඔබ්බෙන් අනුමාන කිරීම යනු පොදු CA සහතිකයක් කිසිදා සේවාදායකයෙන් පිටවිය යුතු නොවූ පුද්ගලික යතුරක් සමඟ යුගල වන මාර්ගයයි.
අනුපිළිවෙල වැදගත්: අවසාන ප්‍රශ්න දෙක අර්ථවත් වන්නේ කුමන ද්‍රව්‍ය පැවතිය යුතුදැයි දැනගත් පසුවය.
පැතිකඩ දැනටමත් ගෙන යන දෙයින් පටන් ගන්න
පැතිකඩ පෙළ සංස්කාරකයකින් විවෘත කර ගොනුවක් සොයන පෙර ca කොටස සොයන්න. ක්‍රියාකරුගේ පොදු CA අඩංගු අන්තර්ගත ca කොටස යනු පැතිකඩ ස්වයංපෝෂිත බවයි, තවමත් CA ගොනුවක් ඉල්ලන සේවාලාභියා සමහරවිට වෙනත් පැතිකඩක් හෝ අසම්පූර්ණ ආයාතයක් කියවමින් සිටිය හැක. පැතිකඩේ ඒ වෙනුවට මාර්ගයකට යොමු වන ca පේළියක් තිබේ නම්, එම මාර්ගය සමහර ඒකාබද්ධ කිරීම්වලදී සේවාලාභියාගේ කාර්ය නාමාවලියට සාපේක්ෂ වන අතර අනෙක්වාහිදී නිරපේක්ෂ වේ. යමක් වෙනස් කිරීමට පෙර ඔබට ඇති ස්වරූපය සටහන් කරන්න.
ca /absolute/path/operator-ca.crt auth-user-pass remote-cert-tls server
පැතිකඩ යොමු වන ගොනු සඳහා ලබා දුන් පැකේජය පරීක්ෂා කරන්න: CA සහතිකයක්, සමහරවිට වෙන් වූ සේවාලාභී සහතිකයක් සහ යතුරක්, සහ සමහරවිට tls-auth හෝ tls-crypt ගොනුවක්. ගොනු හතරකට යොමු වී දෙකක් සමඟ පැමිණෙන පැතිකඩ අසම්පූර්ණය, ක්ෂේත්‍ර දෙසට යොමු කිරීමේ කිසිදු ප්‍රමාණයකින් එය නොගැලවේ. අහම්බෙන් ඔබ ළඟ ඇති සහතිකයක් ප්‍රතිස්ථාපනය කරනවාට වඩා ක්‍රියාකරුගෙන් නැති කොටස ඉල්ලන්න.
ද්‍රව්‍ය වර්ග හතර වෙන් කරන්න
CA සහතිකය යනු සේවාදායකයාගේ අනන්‍යතාවය තහවුරු කිරීමට භාවිතා කරන පොදු ද්‍රව්‍යයකි. සේවාලාභී සහතිකයක් පරිශීලකයා හෝ උපාංගය සේවාදායකයාට හඳුනා දෙයි. පුද්ගලික යතුර යනු එම සේවාලාභී සහතිකයේ රහස් අර්ධයයි, එය කිසිදා CA හි අත්සන් යතුර හෝ සේවාදායක යතුර නොවිය යුතුය. tls-auth හෝ tls-crypt ද්‍රව්‍යය පාලන නාලිකාව ආරක්ෂා කරන වෙන් වූ හවුල් රහසකි. මේ හතර හුවමාරු කළ නොහැකි අතර, CA ක්ෂේත්‍රය සේවාලාභී සහතිකයකට යොමු කිරීමෙන් විශ්වාස ගැටලුවක් වගේ පෙනෙන සත්‍යාපන අසාර්ථකත්වයක් ඇති වේ.
රහස් පදය පමණක් සමඟ සත්‍යාපනය ඔබට අවශ්‍ය හතරෙන් කුමක්ද යන්න වෙනස් කරයි, ඒවායේ අර්ථය නොවේ. auth-user-pass සහ remote-cert-tls server සමඟ සේවාලාභියා තවමත් CA එකකට එරෙහිව සේවාදායකයා සත්‍යාපනය කරයි, එබැවින් සේවාලාභී සහතිකයක් නොමැති විටදී පවා CA ක්ෂේත්‍රය දිස්වේ. සේවාලාභී සහතිකයක්ද අවශ්‍යද යන්න තීරණය කරන්නේ ක්‍රියාකරුගේ ප්‍රතිපත්තියයි, කිසිදු සංවාදයකට එය ඔබට කියවිය නොහැක.
සේවාලාභියා විශ්වාස ගොනුව වෙත යොමු කරන්න
CA සහතික ගොනුවම තෝරන්න, එය අඩංගු ෆෝල්ඩරය නොවේ, සේවාලාභී අනන්‍යතාවය අඩංගු .p12 බණ්ඩලයද නොවේ. Windows තුළ මාර්ග වාක්‍ය ව්‍යූහය සහ ගොනු තේරීම බොහෝ මාර්ගෝපදේශවල Linux උදාහරණවලට වඩා වෙනස් ලෙස හැසිරේ, එබැවින් ස්ථාපිත සේවාලාභියා පිළිගන්නා දෙය භාවිතා කර එය ධාවනය කරන ගිණුමට ගොනුව කියවිය හැකි බව තහවුරු කරන්න. අවසර ගැටලුවක් සහ නැති ගොනුවක් සංවාදයේදී එකම ලෙස පෙනුණද වෙනස් ලොග් පේළි ඇති කරයි. තේරීමෙන් පසු සේවාලාභියා තේරීම රඳවා ගත් බව තහවුරු කිරීමට පැතිකඩ සැකසීම් නැවත විවෘත කරන්න.
<ca> -----BEGIN CERTIFICATE----- ...operator-provided public CA... -----END CERTIFICATE----- </ca>
සේවාලාභියා අන්තර්ගත කොටස් සඳහා සහාය දක්වන්නේ නම්, අතින් එකලස් කළ පැතිකඩකට වඩා ක්‍රියාකරුගේ අන්තර්ගත පැතිකඩට මුල් තැන දෙන්න. අන්තර්ගත ද්‍රව්‍ය පැතිකඩ සමඟ ගමන් කර නැවත ආයාතයේදී රැඳේ, නිරපේක්ෂ මාර්ගය පැතිකඩ තවත් යන්ත්‍රයකට ගෙන යන මොහොතේම කැඩී යයි.
එකම දෝෂය නොව, ඊළඟ දෝෂය කියවන්න
නිවැරදි CA ලබා දීමේ අරමුණ දෝෂය වෙනස් කිරීමයි, එය අතුරුදහන් කිරීම නොවේ. CA පූරණය වූ පසු සේවාදායක අනන්‍යතාවය අසාර්ථක වීම යනු සහතිකය අපේක්ෂිත නාමය හෝ remote-cert-tls අපේක්ෂාව සමඟ නොගැළපුණු බවයි, එය රහස් පදය ප්‍රතික්ෂේප කිරීමට වඩා වෙනස් අලුත්වැඩියාවකි. රහස් පදය ප්‍රතික්ෂේප වීම යනු TLS ස්ථරය සාර්ථක වූ බවත් අක්තපත්‍රය වැරදි බවත්ය. පළමු නව පණිවිඩය රඳවා ගන්න; එයයි ප්‍රයෝජනවත්.
සම්බන්ධ වුවත් කිසිවකට ළඟා නොවන සේවාලාභියා විශ්වාසය සම්පූර්ණයෙන්ම පසුකර ගොස් ඇති අතර දැන් මාර්ගකරණය හෝ DNS ප්‍රශ්නයකට මුහුණ දෙයි.
එම සංවාදය පසුකිරීමට කිසිදා සත්‍යාපනය අක්‍රීය නොකරන්න. ඕනෑම සහතිකයක් පිළිගන්නා සේවාලාභියාට CA ඉල්ලීමට හේතුවක් නැත, ඔහු ගොඩනගන උමග ක්‍රියාකරු අපේක්ෂා කළ එක නොවේ.