Ku darista macmiil VPN iyada oo aan CA dib loo dhisin

Waxaad u baahan tahay shahaado kale oo laptop kale ah, laakiin casharka ugu horreeya ee natiijada raadinta wuxuu ku bilaabmaa amar tirtira galka PKI. Amarkaas waxaa iska leh habaynta ugu horreysa, ma aha diiwaangelinta, oo fulintiisu waxay ku kaa qaadayso CA, taariikhda soo saarista iyo profayl kasta oo macmiil ah oo aaminay soo saare hore. Go’aanku wuu ka cidhiidhi yahay: soo saaraha weli ma leeyahay xaalad la isticmaali karo, qalabkuna ma ku habboon yahay siyaasadda diiwaangelintaada? Saddex shuruud ayaa go’aaminaya, hal keliyaana waxay qiil u tahay dib u dhis.

Waxa dib u dhisku dhab ahaan burburiyo

Dib u bilaabista PKI waxay galka ku beddeshaa qaab madhan: fure iyo shahaado CA cusub, keydka soo saarista oo madhan iyo tiriyaha nambarka taxanaha cusub. Macmiillada iskood uma raacaan; profayladooda waxay dhejiyaan CA hore, sidaas darteed qalab kasta waa in dib loo diiwaangeliyo, kuwa aan la gaari karin na gacanta.

Khasaaraha aamusan waa xisaabta. Ka noqodku wuxuu ku xiran yahay inaad ogaato nambarada taxanaha aad ciddee siisay. Tirtir tusmada oo weli waad saxeexan kartaa, laakiin si kalsooni leh uma sheegi kartid shahaadooyinka soo baxay kee ayaad rabtay inaad ka noqoto. Galka CA oo leh shahaadooyin aan lahayn xaaladda soo saare ee u dhiganta waa keyd soo celiya qeybta khaldan ee nidaamka.

Koobista furaha gaarka ah ee CA agtiisa server shaqeynaya waa dariiqa kale ee gaaban ee ay tahay inaad diiddo: waxay awoodda saxeexa ee ay tahay inay bannaanka shabakadda ku noqoto u beddeshaa fayl kale oo ku yaal martigeliyaha leh taraafik aan la aamini karin.

Shuruudda koowaad: xaaladda soo saaraha weli waa la gaari karaa

Ka hor go’aan, hel galka uu serverku dhab ahaan aamino. Isbarbar dhig shahaadada uu serverku u soo bandhigo CA iyo tan ku jirta galka PKI iyada oo la adeegsanayo faraha, ma aha magaca faylka:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Haddii farahu iswaafaqaan, diiwaangelintu waa mid kordha oo waxba dib ha u dhisin. Haddii ay kala duwan yihiin, waxaad ku saxeexaysaa CA uusan serverku aaminin: shahaadadu si nadiif ah ayay u rakantaa laakiin way ku guuldareysataa gacan qaadka, khaladkaasna saacado ayaa si khaldan loogu aqoonsadaa cillad macmiil.

Kadib raadi xaaladda soo saarista: faylka tusmada, tiriyaha taxanaha iyo faylka nambarka CRL. Haddii tusmadu maqan tahay laakiin furahu jiro, waad soo saari kartaa, laakiin waxaad dhaxlaysaa dhibaatada diiwaangelinta ka noqodka. Ku qor diiwaanka isbeddelka, maxaa yeelay codsiga ka noqodka ee xiga ayaa muujin doona.

Shuruudda labaad: yaa haysta furaha gaarka ah ee cusub

Tani waa go’aan ay dareemaan isticmaalayaashu, sidaas darteed si cad u qaado. Fure uu macmiilku abuuray oo loo soo gudbiyay codsi ahaan wuxuu qeybta gaarka ah ku hayaa qalabka laga bilaabo amarka koowaad, maamuluhuna waligiis ma taabto. Fure uu serverku abuuray wuu fudud yahay qalabka aan qalabka lahayn, laakiin maamulaha wuxuu ka dhigaa ilaaliyaha fure kasta wuxuuna ballaariyaa saameynta jebinta serverka.

Iyada oo Easy-RSA 3 ka soo horjeedda CA jira, soo dejinta iyo saxeexa codsigu waa laba amar:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Dooro nooca shahaadada si ula kac ah. Codsiga loo saxeexay shahaado server halkii macmiil wuxuu bixiyaa fayl u eg mid quruxsan oo ay diiddo dhinaca kale, fariinta khaladkuna marar dhif ah ayay sheegtaa sababta. Marka la isticmaalo openssl ca, isla doorashada waxay ku jirtaa ballaarinta aad gudbiso, ma aha qaybta caadiga ah.

Shuruudda saddexaad: serverku ma u baahan yahay wax ka badan shahaado

Server caadi ah oo OpenVPN ah oo leh xaqiijin shahaado, shahaadadu waa diiwaangelinta lafteeda: magaca guud wuxuu noqdaa aqoonsiga macmiilka, galka, waddada la riixo ama cinwaanka joogtada ahna waxay ku xiran yihiin magacaas. Ku dar shahaadada oo halmaan habaynta, tunnelku wuu xirmayaa laakiin waddooyinka loo baahan yahay ma soo baxaan.

Madallada ayaa tan beddela. OpenVPN Access Server wuxuu hayaa keydkiisa isticmaalayaasha, sidaas darteed shahaado la saxeexay ma aha akoon; akoonku waa inuu jiraa oo la oggolaadaa. Albaabbada kale waxay ku xiraan xarig aqoonsi koox. Diiwaangelinta hal qalab caadi ahaan waxay taabataa laba nidaam, shahaadaduna waa tan ugu horreysa oo keliya.

Habka kordhaya iyo marka dib u dhisku sax yahay

Taxanaha ku daraya hal qalab iyada oo aan waxyeello lahayn: xaqiiji soo saaraha faraha, qaado keyd cusub oo galka PKI, soo dejiso oo saxeex codsiga doorka macmiilka, u gudbi shahaadada iyo silsiladeeda marinka la oggolaaday, kadibna xaqiiji ka hor inta uusan isticmaaluhu xirmayn:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Sadarka ujeeddada waa inuu muujiyaa SSL client. Ku dhammee cusboonaysiinta keydka CA ka dib soo saarista, maxaa yeelay keyd la qaaday ka hor diiwaangelinta taxanaha cusub wuxuu soo celiyaa xaalad aan lahayn qalabka aad hadda ku dartay.

Dib u dhisku waa sax saddex xaaladood: furaha CA waa la jebiyay, xaaladda soo saarista si aan laga soo kaban karin ayaa lumay, ama si ula kac ah ayaa waxaad beddelaysaa algorithm-ka furaha ama siyaasadda shahaadada. Saddexdauba waa mashaariic u baahan qorshe dib u diiwaangelin macmiil kasta, ma aha tallaabooyin codsi hal qalab. Haddii midna aan khuseyn, si kordha u diiwaangeli.