Xiriirka la diiday maaha dhibaato shahaado: buug-gacmeed VPN

Macmiilku wuxuu leeyahay xiriirka waa la diiday isla markiiba ka dib markii aad dib u soo saartay CRL, sidaas darteed CRL wuxuu u muuqdaa dembiile. Ma aha. Diidmadu waa jawaab lakabka gawaarida, xaqiijinta shahaadaduna waxay dhacdaa mar dambe, gudaha isku-gacan-qaadka tunnel-ka. Is-xigxiga waqtigu waa macne, ma aha caddayn.

Laba baaritaan ayaa kiisaska kala sooca wax ka yar hal daqiiqo, midkoodna ma taabto dejinta kalsoonida.

Khaladka ka akhri lakabka abuuray

ECONNREFUSED oo ka imanaya connect waxay la macno tahay in isku dayga gawaarida la diiday: wax baa ku jawaabay reset, ama stack-ku wuxuu soo sheegay deked aan la gaari karin. Dhibaatada shahaadadu ma soo saari karto khaladkaas, sababtoo ah isku-gacan-qaadka TLS waligiis ma bilaabmo xiriir gawaarid la'aan. Haddii aad aragto diidmo, macmiilku waligiis ma gaarin heerka uu shahaado soo bandhigo. Xaqiiqdaas keliya waxay meesha ka saaraysaa baabi'intu inay sabab tahay.

Taas lidkeeduna waa run. Shahaado la baabi'iyay waxay soo saartaa xiriir TCP dhamaystiran iyo isku-gacan-qaad guuldarraystay, kaas oo lagu diiwaangeliyo server-ka sida khalad xaqiijin.

Diidmada TCP: qofna ma dhegeysto

TCP ahaan, hubi in tusaalaha loogu talagalay uu shaqaynayo oo uu ku xiran yahay cinwaanka iyo dekedda ku jirta profile-ka. ss -lntp wuxuu muujinayaa dhegeystayaasha, maqnaanshootooduna waa sharraxaadda caadiga ah. Dabka-derbiga ee diida halkii uu tuuri lahaa wuxuu soo saaraa isla fariinta dhinaca macmiilka, taas darteed labadaba waad hubisaa.

Sidoo kale hubi qoyska cinwaanka. Adeeg ku xiran 127.0.0.1 ama IPv6 kaliya wuxuu diidi doonaa macmiilka u go'aada midka kale.

Kadib akhri diiwaanka adeegga halkii aad qiyaasi lahayd. Dib u bilaabid ka dib dayactirka CA waxay ku guuldarraysan kartaa fayl aan la akhrin karin ama maqan oo waligiis ma gaaro xaaladda dhegeysiga, diiwaankuna wuxuu magacaabaa faylka. Taasi waa guuldarradii bilaabista, khalad ka duwan shahaado la diiday.

UDP ma laha isku-gacan-qaad uu diido

OpenVPN UDP dul ma sameeyo xiriir macne TCP ah, sidaas darteed wakhtiga connect waxba lama diidi karo. Linux dhexdiisa, khaladka ay muujiso socket UDP wuxuu ka iman karaa ICMP port-unreachable oo ay soo saartay datagram hore. bogga buug-gacmeedka udp(7) wuxuu sharraxayaa dhaqankaas aan isku xidhnayn.

Taas darteed macmiil UDP wuxuu daabici karaa diidmo inta geeddi-socodka server-ku socdo laakiin uusan ku xidhnayn cinwaanka la filayay.

Halka CRL dhab ahaan lagu baaro

CRL waxaa lagala tashadaa inta lagu jiro isku-gacan-qaadka TLS, ka dib markii dhinaca kale soo bandhigo shahaadiisa, iyo kaliya haddii qaabeynta server-ku ogolaato. Ikhtiyaarka OpenVPN crl-verify wuxuu tilmaamaa faylka, guuldarraduna waxay ka muuqataa diiwaanka server-ka sida khalad xaqiijin oo magacaabaya shahaadada.

Sidaas darteed macmiil la baabi'iyay wuxuu ku xirmaa lakabka gawaarida kadibna wuu ku guuldarraystaa xaqiijinta. Isla server, isla deked, fariin gebi ahaan kale.

Marka aad gaarto heerkaas, hubi soo-saaraha CRL iyo taariikhaha ansaxnimada. CRL uu saxeexay CA khaldan, ama mid dhacay ka hor inta uusan macmiilku xirmin, wuxuu soo saaraa khaladaad xaqiijin oo aan wax xiriir ah la lahayn shahaadada macmiilka laftiisa.

Buug-gacmeed gaaban oo loogu talagalay marka xigta

Marka hore xaqiiji gawaarida: dhegeyste jooga, qoyska cinwaanku saxan yahay, dabka-derbiga ma diido. Kadib xaqiiji in adeeggu gaaray xaaladda dhegeysiga adoo akhrinaya diiwaanka bilaabista. Kadibna kaliya eeg khaladaadka isku-gacan-qaadka ee fariimaha xaqiijinta. Nidaamkaas si joogto ah u hay, sababtoo ah tallaabo kastaa waxay meesha ka saartaa fasalka sababaha oo dhan.

Qor gawaarida, meesha loo socdo ee la go'aamiyay, dekedda iyo qoraalka saxda ah ee khaladka. Dib u rakibidda macmiilka waxay baabi'isaa caddayntaas oo badanaa wax ma beddelo.