remote-cert-tls server: OpenVPN පැතිකඩක එය පරීක්ෂා කරන්නේ කුමක්ද
මෙම උපදෙස පරීක්ෂා කරන්නේ අනෙක් පාර්ශ්වයේ සහතිකයේ කේතනය කර ඇති භූමිකාවයි, එහි නම නොවේ. කිසිවක් අක්‍රීය කිරීමට පෙර භූමිකාව, විශ්වාස නැංකුව සහ සත්කාරක නාම පරීක්ෂාව සසඳන්න.
OpenVPN පැතිකඩක විවිධ කොටස් තුනක් විවිධ ප්‍රශ්න තුනකට පිළිතුරු දෙයි, සහ ඒවා එකට මිශ්‍ර කිරීම නිසාම මිනිසුන් වැඩ කළ පරීක්ෂාවක් ක්‍රියා විරහිත කරයි. අනෙක් පාර්ශ්වයේ සහතිකය මා විශ්වාස කරන අධිකාරිය විසින් අත්සන් කර තිබේද? එම සහතිකය TLS සේවාදායක භූමිකාව ප්‍රකාශ කරයිද? එය මා ළඟා වීමට අදහස් කළ නිශ්චිත සේවාදායකයද? remote-cert-tls server පිළිතුරු දෙන්නේ මැද ප්‍රශ්නයට පමණක් වන අතර, එය සහතිකය තුළ ඇති දිගු කිරීම් කියවීමෙන් කරයි.
හිසෙහි මිශ්‍ර කිරීම පහසු පරීක්ෂා තුනක්
විශ්වාස නැංකුව ca උපදෙසේ පවතී. භූමිකා පරීක්ෂාව remote-cert-tls උපදෙසට අයත් වේ. අනන්‍යතා පරීක්ෂාව verify-x509-name උපදෙසට අයත් වේ, පැතිකඩක් එය භාවිතා කරන විට, නැතහොත් යෙදවීම එක් කරන ඕනෑම නාම පරීක්ෂාවකට.
ඒවා විවිධ අසාර්ථකතා ආවරණය කරයි:
| Question | Directive | Failure it catches |
|---|---|---|
| Who signed this? | ca | Certificate from an unrelated authority |
| Is this a server? | remote-cert-tls | Client certificate presented by a peer |
| Is this my server? | verify-x509-name | Another valid server from the same CA |
පැතිකඩක තුනම තිබිය හැකි අතර CA ඉතා පුළුල් ලෙස බෙදා ගන්නේ නම් එය තවමත් දුර්වල විය හැක, එය උපදෙසේ ප්‍රශ්නයක් නොව යතුරු කළමනාකරණයේ ප්‍රශ්නයකි.
භූමිකා පරීක්ෂාව කියවන්නේ කුමක්ද
උපදෙස මැක්‍රෝවකි. එය යතුරු භාවිත අවශ්‍යතාවකට සහ TLS වෙබ් සේවාදායක භූමිකාව නම් කරන දිගු කළ යතුරු භාවිත අවශ්‍යතාවකට විහිදේ, එබැවින් අනෙක් පාර්ශ්වයේ සහතිකය එම අරමුණ ඇත්ත වශයෙන්ම ප්‍රකාශ කළ යුතුය. සේවාලාභී සත්‍යාපනය සඳහා නිකුත් කළ සහතිකයක් එය සපුරා නොදක්වයි, එකම අධිකාරිය දෙකම අත්සන් කළ විට පවා.
මෙය වැදගත් වන්නේ කුඩා යෙදවීම්වල බෙදාගත් CA සාමාන්‍ය බැවිනි. එක් අධිකාරියක් සෑම සේවාලාභියෙකුට සහ සේවාදායකයට අත්සන් කරයි, සහ භූමිකා පරීක්ෂාවක් නොමැතිව එම සහතිකවලින් ඕනෑම එකකට අත් හදා බැලීමේ සේවාදායක පැත්ත සම්පූර්ණ කළ හැකි විය. පරීක්ෂාව එම තත්ත්වය අසාධ්‍ය නොකරයි, නමුත් එහි සුළු අනුවාදය ඉවත් කරයි.
උපදෙස නිර්මාණයෙන් අසමමිතික ය: සේවාලාභීන් remote-cert-tls server දරයි, සහ සේවාදායක remote-cert-tls client දරයි. ඒවා මාරු කරන්න, එවිට සෑම සම්බන්ධතාවයක්ම කැඩුණු සහතිකයක් මෙන් පෙනෙන භූමිකා දෝෂයකින් අසාර්ථක වේ.
පැරණි පැතිකඩ සමහර විට එම අරමුණටම ns-cert-type භාවිතා කරයි. වර්තමාන අත්පොත් පිටු එම විකල්පය ප්‍රතිස්ථාපිත ලෙස සලකයි, එබැවින් තවමත් එය මත රඳා පවතින පැතිකඩක් නිදොස් කිරීමට වඩා සංක්‍රමණය කිරීම වටී.
එය අක්‍රීය කිරීම විසඳුමක් ලෙස දැනෙන්නේ ඇයි
භූමිකා පරීක්ෂාව අසාර්ථක වූ විට, සම්බන්ධතාවය සත්‍යාපන දෝෂයකින් නතර වන අතර පැහැදිලි පියවර වන්නේ එම පේළිය මකා දැමීමයි. ඉන්පසු සම්බන්ධතාවය ඉහළ යයි, එය ප්‍රගතියක් ලෙස දැනෙන අතර ඇත්ත වශයෙන්ම උපදෙස වළක්වා ගැනීමට ඇති අසාර්ථකතා ආකාරයයි. දැන් ඔබ එම භූමිකාවට කිසිදා අදහස් නොකළ සහතිකයක් ඇති අනෙක් පාර්ශ්වය පිළිගනී.
ඒ වෙනුවට දෝෂය කියවන්න. එය අසාර්ථක වූ පරීක්ෂාව නම් කරයි, සහ අනෙක් පැත්තේ සහතිකය ඇත්ත වශයෙන්ම කුමන දිගු කිරීම් දරයි දැයි බැලීමට පරීක්ෂා කළ හැක. විනාඩි දෙකක කියවීමක් දෝෂය නිකුතුවේද නැතහොත් වින්‍යාසයේද යන්න තීරණය කරයි. අනුමාන කිරීමට දහවල් කාලයක් ගත වන අතර සාමාන්‍යයෙන් දුර්වල වූ පැතිකඩකින් අවසන් වේ. දිගු කළ යතුරු භාවිතය අහිමි වූ අලුත් කළ සේවාදායක සහතිකයක් අලුත් කිරීමේ සැබෑ දෝෂයකි, සේවාලාභියා ලිහිල් කිරීමට හේතුවක් නොවේ.
නාම පරීක්ෂාව වෙනම උපදෙසකි
භූමිකා පරීක්ෂාව සපුරාලීම යනු අනෙක් පාර්ශ්වය ඔබේ අධිකාරිය විසින් අත්සන් කළ යම් සේවාදායකයක් බවයි. එය කුමක්ද යන්න ගැන කිසිවක් නොකියයි, එකම CA ගේට්වේ කිහිපයකට සහතික නිකුත් කරන විට සහ ඒවායින් එකක් අනාරක්ෂිත හෝ නැවත භාවිත කළ විට එය වැදගත් වේ.
verify-x509-name සහතිකයේ විෂය ඔබ වින්‍යාස කරන අගයක් සමඟ සසඳයි, නිශ්චිත විෂය, උපසර්ගය හෝ තනි ක්ෂේත්‍රයක් සඳහා ගැළපුම් ආකාර සමඟ. ගේට්වේ ඇත්ත වශයෙන්ම හඳුනා ගන්නා ක්ෂේත්‍රය භාවිතා කරන්න, සහ නම වෙනස් වූ විට එය හිතාමතා යාවත්කාලීන කිරීමට බලාපොරොත්තු වන්න.
උපදෙස් දෙකෙන් කිසිවක් හොඳ යතුරු හැසිරවීම වෙනුවට නොපවතී. සේවාලාභී යතුරු ගොනුව පැතිකඩ සමඟ මෙතැනින් එහා පිටපත් කරන්නේ නම්, අනෙක් පාර්ශ්වයේ අනන්‍යතාව බෙදාහැරීමේ ලැයිස්තුව තරම් පමණක් ශක්තිමත් වේ.
පැතිකඩ සංස්කරණය කිරීමට පෙර සහතිකය පරීක්ෂා කරන්න
අනෙක් පාර්ශ්වයේ සහතිකය සහ සේවාලාභී ලොගය එම අනුපිළිවෙලින් කියවන්න. සහතිකය එය ප්‍රකාශ කරන භූමිකා මොනවාදැයි කියයි; ලොගය එය ප්‍රතික්ෂේප කළ පරීක්ෂාව කුමක්දැයි කියයි.
මෙම විධාන විස්තරාත්මක සම්බන්ධතාවයකින් භාවිත දිගු කිරීම් සහ සත්‍යාපන පේළි මුද්‍රණය කරයි:
openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verifyදිගු කිරීම් සේවාදායක භූමිකාව පෙන්වන්නේ නම් සහ ලොගය තවමත් භූමිකා අසාර්ථකතාවක් වාර්තා කරන්නේ නම්, පැතිකඩ නරක සහතිකයකට වඩා වැරදි සහතික ගොනුවකට යොමු වේ. දිගු කිරීම් සේවාලාභී සත්‍යාපනය පමණක් පෙන්වන්නේ නම්, සේවාලාභියා දෙස බැලීම නවත්වා නිකුතුව නිවැරදි කරන්න. කෙසේ වෙතත්, සම්බන්ධතාවය නීරෝගී යැයි කීමට පෙර පරීක්ෂාව නැවත පිහිටුවන්න, මන්ද සත්‍යාපනය ඉවත් කිරීමෙන් පසු සාර්ථක අත් හදා බැලීමක් එය ප්‍රතිස්ථාපනය කළ දෝෂයට වඩා අඩු දෙයක් ඔප්පු කරයි.