OpenVPN හි CA අත්සන් යතුර /etc/openvpn වෙතින් පිටත තබන්න

නිබන්ධනයක එකම ලෙස පෙනෙන නාමාවලි දෙකක් සම්පූර්ණයෙන් වෙනස් කාර්යයන් කරයි. එකක් සහතික අධිකාරිය රඳවා ගනී: එහි පෞද්ගලික යතුර, අනුක්‍රමික ගණන සහ එය අත්සන් කළ සියල්ලේ වාර්තාව. අනෙක ඩීමනය ආරම්භ වී සේවාලාභීන්ට සේවය කිරීමට අවශ්‍ය දේ රඳවා ගනී. දෙකම එකම සත්කාරකයේ එකම ගිණුම යටතේ තැබීම එක් දහවලකට පහසු සහ යෙදවීමේ ඉතිරි ආයුෂ පුරා මිල අධික ය, මන්ද එවිට ඩීමනය ඕනෑම අනන්‍යතාවක් සෑදිය හැකි එකම යතුර අසල ක්‍රියාත්මක වන බැවිනි.

CA කාර්ය අවකාශයේ ඇති දේ

PKI නාමාවලිය නිකුත් කරන්නාගේ තත්ත්වයයි, වින්‍යාසය නොවේ. එහි CA හි පෞද්ගලික යතුර සහ සහතිකය, අනුක්‍රමික ගොනුව, නිකුත් කළ සහතික ලැයිස්තුව, සහ ඒවායින් සාදන ලද සෑම අනන්‍යතාවකම ද්‍රව්‍ය ඇත.

ඉල්ලීමක් අත්සන් කිරීම එම තත්ත්වය වෙනස් කරයි, එබැවින් කාර්ය අවකාශය VPN සේවාව නොක්‍රියාත්මක වන සත්කාරකයක පරිපාලක-පාලිත ගිණුමකට අයත් වේ. CA හි පෞද්ගලික යතුර කියවිය හැකි ඕනෑම අයෙකුට සේවාදායකය විශ්වාස කරන සහතිකයක් නිකුත් කළ හැක, එබැවින් යතුරේ ආරක්ෂාව එක් ගොනුවක ඇති මුළු විශ්වාස ආකෘතියයි. පියවරක් ඉතිරි කර ගැනීමට එය දෙවන ස්ථානයකට පිටපත් කිරීම ආරක්ෂා කළ යුතු දෙවන දෙයක් සහ අමතක කළ යුතු දෙවන දෙයක් නිර්මාණය කරයි. සෑම අත්සනක්ම අනුක්‍රමිකය වැඩි කර ලැයිස්තුවට සටහනක් එක් කරයි, එබැවින් කාර්ය අවකාශය ගොනු පසුම්බියක් නොව තත්ත්වයේ එක් පිටපතකි.

පොදු CA සහතිකය වෙනස් ය. එය බෙදාහැරීමට ය, සහ සේවාලාභීහු සහ සේවාදායකයෝ එකිනෙකා තහවුරු කිරීමට එයම භාවිතා කරති.

ඩීමනය ආරම්භ වන විට කියවන දේ

ක්‍රියාත්මක සේවාදායකය කුඩා කට්ටලයක් පරිභෝජනය කරයි: තමන්ගේ සහතිකය, තමන්ගේ පෞද්ගලික යතුර, සහකරුවන් තහවුරු කිරීමට CA සහතිකය, සහ තෝරාගත් මාදිලියට අවශ්‍ය යතුරු ද්‍රව්‍ය. එම මාර්ග ආරම්භයේ දී සහ නැවත පූරණයේ දී කියවයි.

හිමිකම සැබවින්ම ආරම්භ වන ඒකකයට එරෙහිව ඇගයිය යුතුය, අන්තර්ක්‍රියාකාරී root ෂෙලයට එරෙහිව නොවේ. ප්‍රකාශිත වැලිපෙට්ටිකරණය ගොනු පද්ධතියේ කොටසක් කියවීමට පමණක් හෝ අදෘශ්‍යමාන කළ හැක, root ලෙස අතින් කළ පරීක්ෂාව සාර්ථක වුවත්.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

තුන්වන පේළිය මිනිසුන් මඟ හරින පේළියයි. එය ඩීමනයේම ගිණුමෙන් යතුර කියවිය හැකිදැයි අසයි, වරප්‍රසාදය වැටුණු පසු අදාළ වන එකම ප්‍රශ්න ස්වරූපය එයයි. root සමඟ ශුන්‍ය පිටවීම වැටුණු පසු සිදුවන දේ ගැන ඔබට කිසිවක් නොකියයි.

ඕනෑම අවසරයක් වෙනස් කිරීමට පෙර අසාර්ථක මාර්ග දෙක වෙන් කිරීම වටී. අත්සන් අසාර්ථකත්වය PKI නාමාවලිය, එහි මව් නාමාවලිවල සෙවුම් අවසරය සහ නිකුත් කරන්නා ධාවනය කරන ගිණුම වෙත යොමු කරයි. ආරම්භක අසාර්ථකත්වය ඒකකය, එහි කාර්ය නාමාවලිය සහ සේවාදායක වින්‍යාසයේ නම් කර ඇති මාර්ග වෙත යොමු කරයි. මුළු ගසම සැමට කියවිය හැකි කිරීම ඉන් කිසිවක් නිවැරදි නොකරයි, සහ දෙකම රඳා පවතින මායිම ඉවත් කරයි.

CA යතුර සේවාදායකයට පිටපත් කිරීම පසුව ඇයි අසාර්ථක වන්නේ

පිටපත සාමාන්‍යයෙන් නිදොස්කරණ පියවරක් ලෙස ආරම්භ වේ: යමෙකුට VPN සත්කාරකයේ සේවාලාභියෙකු අලුත් කිරීමට අවශ්‍ය වන අතර, CA යතුර /etc/openvpn වෙත වැටෙන අතර අලුත් කිරීම සාර්ථක වේ. ක්ෂණික කාර්යය සාර්ථක වේ, මායිම නැති වේ.

පසුව සේවාදායකය උපස්ථ වන අතර අත්සන් අධිකාරිය උපස්ථවලට එකතු වේ. තිර රුවක්, ආධාරක කට්ටලයක් හෝ වින්‍යාස නාමාවලියේ පිටපතක් දැන් CA වලංගු වන තාක් විශ්වාසදායක අනන්‍යතා නිකුත් කිරීමේ හැකියාව දරයි. එම පිටපත ඇති අයෙකුට සේවාදායකය පිළිගන්නා ඕනෑම නමකට සහතිකයක් සෑදිය හැක, කිසිදා නිකුත් නොකළ නම් ඇතුළුව. එම නිකුතුවේ එකම වාර්තාව ඔවුන් තබා ගැනීමට තෝරා ගන්නා දෙයයි.

එවැනි තත්ත්වයකින් ගොඩ ඒම ගොනුවක් මැකීමේ කාරණයක් නොවේ. යතුර නිරාවරණය වූයේදැයි තීරණය කළ යුතුය, වූයේ නම් CA කරකැවිය යුතුය, සහ සෑම සහකරුවෙකුටම විශ්වාසය නැවත බෙදිය යුතුය. වෙන් වූ කාර්ය අවකාශයක් මුළු සංවාදයම මඟ හරියි.

ගිණුම්, නාමාවලි, උපස්ථ

නිකුත් කරන්නාට තමන්ගේ ගිණුම සහ ගෘහ නාමාවලිය දෙන්න, ප්‍රායෝගික නම් VPN සත්කාරකයෙන් පිටත තබන්න. ඩීමනයට වෙනත් ගිණුමක් දෙන්න, යෙදවූ ද්‍රව්‍ය කියවීමේ අයිතිය සහ සහතික නිකුත් කරන කිසිවකට ලිවීමේ අයිතිය නොමැතිව. පොදු සහතික පිටතට පිටපත් කර යෙදවන්න, පෞද්ගලික නිකුත් කරන්නාගේ තත්ත්වය කිසිදා ඇතුළට නොඅදින්න. භූමිකා දෙකේ උපස්ථ වෙන් වෙන්ව ගන්න, මන්ද ඒවායේ සංවේදීතාව සහ ප්‍රතිසාධන කතා වෙනස් බැවිනි.

අවලංගු කිරීමෙන් පසු සේවාදායක වින්‍යාසය නම් කරන CRL ගොනුව යාවත්කාලීන කරන්න, පසුව නව සම්බන්ධතා එය කියවන පරිදි සේවාව නැවත පූරණය කරන්න. Easy-RSA ලේඛන කාර්ය අවකාශයේ වින්‍යාසය සහ අත්සන් ගලායාම ආවරණය කරයි; ඒ වටා ඇති හිමිකම් නීති ඔබේ සත්කාරකය පිළිබඳ තීරණයක් ලෙසම පවතී. සේවාව කුමක් පූරණය කළේදැයි openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate සමඟ තහවුරු කරන්න, නැවත පූරණය එය ගත්තා යැයි උපකල්පනය කිරීම වෙනුවට.

වෙන්වීම ඔප්පු කරන පරීක්ෂණය

ක්‍රියාත්මක වන අවස්ථාව පමණක් නොව, සෘණ අවස්ථාව ද පරීක්ෂා කරන්න. සැලසුම් කළ පරිදි නිකුත් කරන්නාගේ ගිණුමෙන් සහතිකයකට අත්සන් කරන්න, පසුව එම ගිණුමට සේවාව ආරම්භ කළ නොහැකි බව හෝ සේවාදායකයේ පෞද්ගලික යතුර කියවිය නොහැකි බව තහවුරු කරන්න. පසුව ඩීමනයේ ගිණුමට CA හි පෞද්ගලික යතුර කියවිය නොහැකි බව තහවුරු කරන්න.

එම පරීක්ෂණ තුනට විනාඩි කිහිපයක් ගත වන අතර කාර්ය මණ්ඩලය මාරු වුවත් පවතී, මන්ද ඒවා පුරුද්ද ගැන නොව අවසර ගැන ප්‍රකාශ වන බැවිනි. ප්‍රතිඵලය එය ආවරණය කළ මාර්ග සහ ගිණුම් සමඟ, ඔබ ඒවා ක්‍රියාත්මක කළ දිනය සමඟ ලියන්න. නැති නම් මෙම යෙදවීම උරුම වන ඊළඟ පුද්ගලයා කිසිදා මායිමක් නොතිබූ නිබන්ධනයකින් මායිම නැවත ලබා ගනී. දින දරන ලද වාර්තාවක්ම ඊළඟ සමාලෝචනය දහවලක් වෙනුවට විනාඩි කිහිපයක් කරයි.