ඔබේ VPN සේවාලාභියා සහතිකයක් විශ්වාස කිරීමට පෙර පරීක්ෂා කරන්නේ කුමක්ද
සහතික අනතුරු ඇඟවීම ඔබේ සේවාලාභියා පරීක්ෂා කරන දොරටු හතරක් හරහා යවන්න: CA විශ්වාසය, දාම ගොඩනැගීම, සමකක්ෂයේ නම සහ අරමුණ, සහ අවලංගු කිරීමේ ප්‍රතිපත්තිය.
ඔබේ VPN සේවාලාභියා පවසන්නේ සහතිකය සත්‍යාපනය කළ නොහැකි වූ බවයි, සහ සංවාදය එතැනින් නතර වේ. ගොනුව ඇත, සේවාදායකය ක්‍රියාත්මකය, සහ එම පැතිකඩ පසුගිය මාසයේ වෙනත් ලැප්ටොප් එකක ක්‍රියා කළේය. එම එක් පේළියේ අනතුරු ඇඟවීම යටතේ සේවාලාභියා සමකක්ෂ සහතිකය දොරටු හතරක් හරහා යැවීය: ඔබ වින්‍යාස කළ සහතික අධිකාරිය අත්සන් මාර්ගයට සහතික වේ, එම මාර්ගය අධිකාරියට ළඟා වේ, සමකක්ෂයේ නම ඔබ ඉල්ලූ නමයි, සහ සහතිකය දැන් මෙම අරමුණ සඳහා භාවිත කළ හැකිය. වැසුණු දොරටුව සොයා ගන්න, අලුත්වැඩියාව සාමාන්‍යයෙන් එක් ගොනුවකි; එම පියවර මඟ හැරියොත් සම්පූර්ණ සවස බණ්ඩල නැවත ආයාත කරනු ඇත.
පැතිකඩ සංස්කරණය කිරීමට පෙර සංවාදය කියවන්න
සහතික දෝෂවල වචන පහළ ඇති පුස්තකාලය විසින් සකසනු ලබයි, ඔබ ස්ථාපනය කළ VPN නිෂ්පාදනය විසින් නොව, එබැවින් නිශ්චිත අකුරු පේළිය ඔබේ පළමු සාක්ෂියයි. «දේශීය නිකුත් කරන්නාගේ සහතිකය ලබා ගත නොහැක» මාර්ගයට හෝ විශ්වාස නංගුවට යොමු කරයි. «සහතිකය කල් ඉකුත් වී ඇත හෝ තවම වලංගු නැත» කාලයට යොමු කරයි. «සහාය නොදක්වන සහතික අරමුණ» දිගු කළ යතුරු භාවිතයට යොමු කරයි. නම නොගැළපීම අවශ්‍ය වූ නම පවසයි. හතරෙන් එකක්වත් සේවාලාභියා නැවත ස්ථාපනය කිරීමෙන් හරි නොයයි.
කිසිවක් වෙනස් කිරීමට පෙර ලොග් මට්ටම වැඩි කරන්න. OpenVPN --verb 4 සමඟ ධාවනය කරන විට අත්ලාන්තිය වටා සත්‍යාපන අසාර්ථකත්වය වාර්තා කරයි, සහ strongSwan එහි අනන්‍යතා සහ දාම තීරණ charon ලොගයට ලියයි. පසුව ඔබ පරීක්ෂා කරන සහතිකය කුමක්දැයි තහවුරු කරන්න, මන්ද මිනිසුන් සාමාන්‍යයෙන් තැටියේ ඇති ගොනුව පරීක්ෂා කරන අතර පැතිකඩ පැරණි පිටපතක් ඇතුළත තබයි. පැතිකඩ PEM කොටස් ඇතුළත තබන විට ඇතුළත ඇති සහතිකය පරීක්ෂා වේ.
සහතික අධිකාරිය අනන්‍යතාවලට අත්සන් කරයි, අවසරවලට නොවේ
අධිකාරිය නමක් සහ අත්සන් යතුරක් රඳවා ගනී. එය තම ප්‍රතිපත්තිය අනුව පොදු යතුරක් එම නමට බඳින සහතික නිකුත් කරයි, වලංගුතා කවුළුවක් සහ භාවිත සීමා අමුණා. ඔබේ සේවාලාභියාට නිකුත් කරන්නා හඳුනා ගැනීමට අවශ්‍ය වන්නේ අධිකාරියේ සහතිකය පමණි; එයට අත්සන් යතුර කිසිදා අවශ්‍ය නොවේ, සහ එම යතුර සේවාලාභීන්ට යැවීම යෙදවුම විශ්වාස කරන ඕනෑම අනන්‍යතාවක් නිර්මාණය කිරීමේ හැකියාව ඔවුනට දෙනු ඇත.
අධිකාරියක් විශ්වාස කිරීම එය අත්සන් කළ සෑම සහතිකයක්ම අපේක්ෂකයෙකු කරයි, නිවැරදි සමකක්ෂය නොවේ. එම අභ්‍යන්තර CA හි වෙබ් සේවාදායක සහතිකයද අපේක්ෂකයෙකි. ඒ නිසා නම සහ අරමුණු දොරටු ඇත, ඒ නිසා හානි වූ CA යතුරක් ඕනෑම තනි සේවාදායකයකට වඩා වැදගත් වේ: එය අධිකාරිය කිසිදා නිකුත් කළ සෑම අනන්‍යතාවකටම ළඟා වේ. එක් එක් උපාංගය සඳහා වෙන වෙනම සේවාලාභී සහතික නිකුත් කරන්න, එවිට නැති වූ ලැප්ටොප් එකක් සම්පූර්ණ යෙදවුමේ යතුරු නැවත සෑදීමක් නොව එක් අවලංගු කිරීමක් වේ.
සේවාලාභියා ගොඩනැගීමට උත්සාහ කරන මාර්ගය නැවත ගොඩනගන්න
මාර්ගය සමකක්ෂ සහතිකයේ සිට ශුන්‍ය හෝ වැඩි අතරමැදි සහතික හරහා ඔබේ විශ්වාස ගබඩාවේ මූලයට ළඟා වේ. නැති වූ අතරමැදි සහතිකය වඩාත් පොදු දාම දෝෂයයි, සහ සේවාලාභියාගේ පැත්තෙන් එය විශ්වාස නොකළ මූලයක් මෙන්ම පෙනේ. පළමුව පත්‍රය කියවන්න, පසුව ඔබ යැවීමට සිතන ද්‍රව්‍යයෙන් OpenSSL මාර්ගය ගොඩනගන්නට හරින්න.
openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crtශුන්‍ය පිටවීමේ තත්ත්වය යනු මාර්ගය එම ගොනුවලින් ගොඩනැගූ බවයි; අසාර්ථකත්වය ළඟා විය නොහැකි වූ සහතිකය නම් කරයි. openssl verify සාර්ථක වී සේවාලාභියා තවමත් ප්‍රතික්ෂේප කරන්නේ නම්, වෙනස වන්නේ සේවාදායකය සැබවින්ම යවන දෙය හෝ පැතිකඩ පූරණය කරන විශ්වාස ගොනුවයි. OpenVPN හි අතරමැදි සහතික සේවාදායක සහතික ගොනුව සමඟ යා හැකිය හෝ --extra-certs සමඟ වෙන වෙනම දිය හැකිය, සහ එකම විෂය නම යටතේ ලියූ මූල දෙකක් ඇති බණ්ඩලයක් ඔබේ එක් සේවාලාභියෙකු වැරදි ශාඛාවට යවනු ඇත.
නම සහ අරමුණ වෙන වෙනම දොරටු
දාම ගොඩනැගීම කිසිදා නම ඔබේදැයි නොඅසයි. OpenVPN එය පරීක්ෂා කරන්නේ පැතිකඩ --verify-x509-name සකසන විට පමණි, සහ සාමාන්‍ය නම පමණක් ගැළපීමේ පැරණි පුරුද්ද අනන්‍යතා subjectAltName තුළ ජීවත් වන සහතිකවල කැඩී යයි. IKEv2 යෙදවුම් වින්‍යාස කළ අනන්‍යතාව SAN සටහන් හෝ වෙනස් කළ නම සමඟ ගැළපයි, සේවාලාභියා අනුව, සහ වයිල්ඩ්කාඩ් හෝ %any අගයක් ඔබ සිතූ සංසන්දනය නිශ්ශබ්දව අක්‍රිය කරයි.
ඊළඟට කාලය සහ අරමුණ පැමිණේ. ඔරලෝසුව පැය කිහිපයක් ඉදිරියෙන් ඇති ලැප්ටොප් එකක් තවම වලංගු නොවන සහතිකය ප්‍රතික්ෂේප කරයි, සහ කල් ඉකුත් වූ අතරමැදි සහතිකයක් පත්‍රය ක්‍රියාත්මකව තිබියදී මාර්ගය අසාර්ථක කරයි. අරමුණු අසාර්ථකත්ව දිගු කළ යතුරු භාවිතයේ serverAuth නොමැති සහතිකයකින් හෝ අත්ලාන්තියේ අත්සනට අවසර නොදෙන keyUsage එකකින් පැමිණේ, එය OpenSSL සහාය නොදක්වන සහතික අරමුණක් ලෙස වාර්තා කරයි. නිවැරදි අච්චුවෙන් නැවත නිකුත් කරන්න; එම පණිවිඩයේ සත්‍යාපනය අක්‍රිය කිරීමට කිසිදු හේතුවක් නැත.
අවලංගු කිරීම ක්‍රියාත්මක වන්නේ යමෙක් එය වින්‍යාස කළහොත් පමණි
CRL හෝ OCSP ප්‍රතිචාරය ස්වයංක්‍රීයව පරීක්ෂා නොකෙරේ. OpenVPN සේවාදායකයක සේවාලාභී සහතික ලැයිස්තුවක් සමඟ සංසන්දනය කරන්නේ --crl-verify එකකට යොමු කරන විට පමණි. සේවාදායක සහතිකයේ සේවාලාභී පැත්තේ පරීක්ෂාව ක්‍රියාත්මක කිරීම මත රඳා පවතින අතර බොහෝ විට නොමැත. strongSwan ට සමකක්ෂයක් සඳහා CRL බැලීමට පෙර එහි අවලංගු කිරීමේ ප්ලගිනය සහ ප්‍රතිපත්තියක් අවශ්‍ය වේ.
එය ඔබට අවසානයේ ලැබෙන ටිකට් පත පැහැදිලි කරයි: අවලංගු කළ සේවාලාභී සහතිකයක් තවමත් සම්බන්ධ වේ, සහ සැමෝම අවලංගු කිරීම කැඩී ඇතැයි නිගමනය කරයි. කිසිවක් පරීක්ෂා නොකළේය. CRL ප්‍රකාශයට පත් කර නැවුම් කරන්න, නැතහොත් සේවාලාභී සහතික කෙටි ආයුෂ සහිතව තබා පැරණි අවලංගු කිරීමක් කෙටි කලක් පමණක් වැදගත් වන පරිදි කරන්න, සහ සිද්ධියක් අතරතුර අවශ්‍ය වීමට පෙර රසායනාගාර සහතිකයක් මත අවලංගු කිරීමේ මාර්ගය පුහුණු වන්න.
සත්‍යාපනය ක්‍රියාත්මකව තබන අලුත්වැඩියා අනුපිළිවෙල
ගොනු ස්පර්ශ කිරීමට පෙර රෝග ලක්ෂණ අනුව වර්ග කරන්න, මන්ද වගුවේ සෑම පේළියක්ම ඔබව වෙනත් වස්තුවකට යවයි.
| Client says | Most likely gate | First check |
|---|---|---|
| unable to get local issuer certificate | trust anchor or missing intermediate | your own openssl verify against the files the profile loads |
| expired or not yet valid | validity window | leaf and intermediate dates against the device clock |
| unsupported certificate purpose | extended key usage | serverAuth present, keyUsage allows the handshake |
| name mismatch | peer identity | subjectAltName entries versus the profile name |
ලැයිස්තුව එකම වටයකින් සම්පූර්ණ කරන්න: පැතිකඩ පූරණය කරන ගොනුව තහවුරු කරන්න, මාර්ගය ඔබම ගොඩනගන්න, සේවාදායකය අතරමැදි සහතිකය යවන්නේදැයි පරීක්ෂා කරන්න, ඔරලෝසුව සංසන්දනය කරන්න, SAN කියවන්න, EKU කියවන්න, පසුව නැවත සම්බන්ධ වී එම ලොග් පේළිය අතුරුදහන් වන ආකාරය බලන්න. උපාංගයකට CA කිසිසේත් දිය නොහැකි නම්, පින් කිරීම අවංක විකල්පයයි, මන්ද OpenVPN 2.6 --peer-fingerprint පිළිගෙන සත්‍යාපනය ඉවත් කිරීම වෙනුවට විශ්වාසය එක් යතුරකට පමණක් සීමා කරයි. මෙම ක්ෂේත්‍ර එකින් එකෙහි අර්ථය සඳහා RFC 5280 යොමුවයි.