Ma keygaas OpenVPN ee la daabacay waa CA, keyga fac ama tls-auth?

Qof ayaa soo sheegaya in furaha VPN uu yahay mid dadweyne, jumladana waxay qarinaysaa saddex xaaladood oo gebi ahaan kala duwan. Waxay noqon kartaa shahaado CA oo macmiil kastaa yeelanayo, fure aqoonsi gaar ah oo aan waligiis ka bixin hal mishiin, ama sir la wadaago oo kanaalka kontoroolka ah oo labada daraf ay tahay inay hayaan. Dayactirka, degdegga iyo baaxadda waxyeelladu way kala duwan yihiin xaalad kasta, sidaas darteed hawsha koowaad waa kala-soocid, ma aha ficil. Haddii qaybta khaldanto, tallaabo kasta oo xigta waa hawlo waxba tarayn.

Ka bilow tilmaanta, ma aha magaca faylka

Akhri qaabeynta firfircoon oo hel tilmaamaha tilmaamaya maaddada la hadlayo. Xulashooyinka TLS ee OpenVPN waxay isticmaalaan ca maaddada shahaadada la aamini karo, cert shahaadada faca maxalliga ah iyo key furaha gaarka ah ee ku xiran.

Magacyada faylalku waxba ma caddeeyaan. Fayl lagu magacaabo key.pem wuxuu yeelan karaa shahaado, block ku jira borofaylka waxaana ku jiri kara isla shayga fayl gaar ah oo diskka ku yaal. Fur faylka oo eeg madaxiisa halkii aad magaca aamini lahayd. Hal baaritaan ayaa meesha ka qaadaysa inta badan mugdiga warbixinta.

Haddii borofaylku yahay xidhmo PKCS#12, ku fur meel la kontoroolo si aad u aragto waxa dhab ahaan ku jira. Hal xidhmo waxay qaadi kartaa shahaado, silsiladeeda iyo fure gaar ah, taasoo macnaheedu yahay daadinta xidhmada waa daadinta saddexda.

Qor kala-soocidda ka hor inta qof fayl beddelin: shay, tilmaan, faca kee ayaa haysta iyo yaa akhrin kara. Jumladaas ayaa jawaabta intiisa kale ku tiirsan.

Shahaadada CA waxaa loogu talagalay in la wadaago

Shahaadada CA ee dadweynuhu waa maaddo kalsooni. Macmiilladu waxay u baahan yihiin si ay u xaqiijiyaan serverka, qaybintaana waa xaalad caadi ah ee ma aha dhacdo. Daabacaaddeedu ma daabacdo furaha saxeexa gaarka ah ee CA, waana isla shaygaas oo u oggolaan lahaa weeraryahan inuu abuuro aqoonsiyo cusub.

Farqigaas waxaa mudan in si cad loogu qoro tikitka, sababtoo ah labada waa la isku qaldaa si joogto ah. Su'aasha laga jawaabayo waa haddii faylka daatay uu yahay shahaadada ama furaha saxeexa, oo hal eegis oo ku saabsan waxa faylka ku jira ayaa go'aamisa. Shahaadadu waxay qaaddaa fure dadweyne iyo saxeex; furaha saxeexa gabi ahaan kama muuqdo.

Qaybintu wali waxay u baahan tahay taxaddar. Macmiilladu waa inay shahaadada ka helaan wadada la ansixiyay ee gudbinta borofaylka, ma aha goob lagu dhejiyo, shahaadada ku timaadda waddo aan la aamini karin waa la beddeli karaa inta jidka lagu jiro.

Furaha faca iyo sirta tls-auth ma aha

Furaha gaarka ah ee facu waa maaddo aqoonsi. Marka la koobiyaa, serverku ma kala saari karo qalabka loogu talagalay qof kasta oo koobka haysta, sababtoo ah haysashada gaarka ah ayaa ahayd sifada la muujinayay. Sii wadista fasaxa iyo beddelka waa go'aamada milkiilaha VPN, ma aha kan faylka helay.

Sirta tls-auth waa shay saddexaad. Waxay ku dartaa xaqiijinta HMAC hareeraha baakadaha kanaalka kontoroolka si baakadaha si khaldan loo xaqiijiyay loo tuuro ka hor is-weydaarsiga TLS, mana aha furaha gaarka ah ee faca ama furaha sirta xogta barnaamijka.

Haddii sirtaas la wadaago ay dadweyne tahay, caqabadda ay bixisay way luntay qof kasta oo haysta. Taas kama dhalato in qof kasta oo haysta uu gudbo hubinta shahaadada iyo isticmaalaha ee ka dambeeya, taasina waa sababta kala-soociddu ka muhiimsan tahay heerka digniinta. Sheeg caqabaddee dhacday, oo sheeg kuwee hadhay.

Dayactir doorka daatay, ma aha deriska

Sir la wadaago lama samayn karo mid gaar ah mar kale iyadoo magaca faylka la beddelo ama xiriirka soo dejinta la qariyo. Beddelku waxa uu ka dhigan yahay abuurista qiime cusub iyo in lagu qaybiyo fac kasta isbeddel isku-dubbarid leh, beddelka hal dhinac oo keliya ayaa u burburiya heshiiska dhammaan kuwa wali haysta qiimihii hore.

Haddii aqoonsiga faca la muujiyay, isticmaal habka tirtirka iyo dib-u-diiwaangelinta ee hawlwadeenka ee aqoonsigaas. Beddelka ereysirka akoon aan xiriir la lahayn ma buriyo shahaado la koobiyeeyay, beddelka faylka tls-auth-na ma sameeyo.

Xaqiiji waxa serverka la dajiyay dhab ahaan dhaqan geliyo ka hor inta aad ku tiirsanaato mid ka mid ah kuwaas. Liiska tirtirka oo aan la cusboonaysiin, ama hubinta doorka oo la damiyay inta lagu jiray hakad, ayaa jawaabta gebi ahaan beddela. Akhri qaabeynta socota, ma aha koobka kaydka.

Ku qiimee taraafikii hore shuruudihiisa

Fayl la muujiyay kaligiis ma sheego haddii fadhiyadii hore loo qabtay la furfuri karo. Taas waxay ku xiran tahay habka dhigaalka furaha, maaddada la muujiyay iyo waxa diiwaannada ah, oo labadaba ‘taraafikii oo dhan waa lumay’ iyo ‘waxba ma dhicin’ waa mala-awaal la'aan xaqiiqooyinkaas.

Ha daabicin koob kale oo aqoonsiga ah inta aad weydiinayso qaybta uu ku jiro. Beddelkeeda la wadaag magacyada tilmaamaha iyo metadata aan sir ahayn wadada taageerada la ansixiyay.

Gunaanadka faa'iidada leh wuxuu magacaabaa shayga, doorkiisa, ilaalinta lumay iyo tallaabada isku-dubbaridka ah ee loo baahan yahay. Wax kasta oo ka gaaban waa cinwaan, ma aha qiimeyn.