Hal magac guud, laba shahaado: liis ogolaansho mise tirtirid?

Dib u soo saarista shahaadada kombuyuutarka hoos yimaada isla magaca guud waxay u ekaanaysaa beddelaad, qof walbana wuxuu u malaynayaa in tan hore ay dhimatay. Sidaas ma aha. Kii hore wuxuu ahaanayaa shahaado ansax ah oo ay saxeexday isla hay'adda, iyo hawlo kasta oo macaamiisha ku aqbala magac ayaa sii aqbalaya. Waxa kala sooca hubinta aqoonsiga iyo hubinta xogta gelitaanka waa lambarka taxanaha, halkaasna waa inuu ku jiraa hagaajinta.

Ka bilow siyaasadda magacaynta ee server-ku isticmaalo

Laba hawlo ayaa la isku qala: aqbalidda macmiil sababtoo ah wuxuu sheegtaa inuu yahay qof, iyo ka saaridda hal shahaado gaar ah adeegga. Tan koowaad waa hubin magac, tan labaad waa hubin tirtirid. Waxay ka jawaabaan su'aalo kala duwan, iyo rakibaadku wuxuu yeelan karaa mid ka mid ah midka kale la'aan.

Akhri qaabeynta server-ka oo xuso isha aqoonsiga ee la isticmaalayo. username-as-common-name wuxuu magaca isticmaalaha la xaqiijiyay ka dhigaa magaca wax ku oolka ah ee raadinta gaar u ah macmiilka. La'aanteed, magaca guud ee mawduuca shahaadada ayaa la isticmaalaa. Jawaabtu wax kasta ha ahaatee, qor ka hor intaadan taaban liis ogolaansho kasta.

Labada waddo waxay bixiyaan magacyo ogolaansho oo kala duwan isla shahaadada. Halkan qiyaasiddu waxay ka dhigan tahay inaad tafatirto faylka khaldan oo aad go'aan ka gaarto in hawsha aysan shaqayn.

Hubi waxa dhab ahaan aqbala macmiilka

Mid ku xiran fayl u dhigma client-config-dir wuxuu bixiyaa xulashooyin gaar u ah macmiilka; keligiis ma aha qaanuun gelitaan. Gelitaanka magac wuxuu u baahan yahay ccd-exclusive, kaas oo diida macaamiisha aan lahayn fayl u dhigma. Deynta tan rakibaad shaqaynaya waxay goynaysaa qof kasta oo magaciisu aanu lahayn fayl, marka faylalka tiri ka hor intaadan wax beddelin.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Tirada ayaa ah hubinta: isbarbardhig liiska galka iyo aqoonsiyada aad filayso inay ku xirmaan.

Kadib xaqiiji in magac kasta oo fayl uu si sax ah ugu dhigma aqoonsiga wax ku oolka ah, oo ay ku jiraan xarfaha waaweyn iyo yaryar iyo bannaanada. Faylka loogu talagalay office-laptop waxba ma qabto shahaado mawduuceedu u akhriyo Office-Laptop. Bannaanada dhammaadka sidoo kale way ka dhuuntaan liis caadi ah, sidaasna faylka u eg inuu jiro ayaa u hadha mid aan la akhrin.

Hubi CRL-ka uu rarto gateway-ga

CRL waxay magacaabtaa shahaadooyinka la tirtiray iyadoo ku saleysan soo-saaraha iyo lambarka taxanaha, taasna waa faahfaahinta ay ka maqan tahay hubinta magaca. Laba shahaado ayaa wadaagi kara magac guud oo ku kala duwanaan kara lambarka taxanaha, kaliya liis heer lambar taxane ah ayaa kala sooca.

Xaqiiji waddada la qaabeeyay, taariikhda soo-saarista iyo goobta cusboonaysiinta xigta ka hor intaadan faylka aaminin.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Isbarbardhig lambarka taxanaha ee CRL-ka iyo lambarka taxanaha ee shahaadada aad rabto inaad haysato. Isbarbardhiggaas waa imtixaanka oo dhan, oo hal mar indhaha lagu sameeyo ayaa ka qiimo badan in la aamino qoraal aan cidina akhrin. U qaybi CRL-ka la cusboonaysiiyay waddada uu gateway-gu hore u akhriyo. CRL ku yaal galka khaldan waxba ma dhaqan galiso, mana jiro diiwaan macmiil oo xusi doona.

Beddel, kadibna caddee labada natiijo

Soo saar beddelka isla magaca guud, diiwaangeli labada lambar taxane, kadibna kaliya tirtir kii hore. Habkaas wuxuu hayaa aqoonsi shaqaynaya inta aad diyaarinayso isbeddelka.

Marka hore tijaabi beddelka: waa inuu xaqiijiyaa oo gaaraa wax kasta oo magaciisu xaq u leeyahay. Kadib tijaabi shahaadada hore oo xaqiiji in la diiday, sababtoo ah beddelaad guuleystay waxba kama sheegto tirtirka. Haddii labaduba wali xirmaan, gelinta tirtirka lama akhrinayo ama lambarka taxanaha hore marnaba lama liisinin. Haddii midkoodna aanu xirmin, waxaad jabtay qaanuunka gelitaanka ee ma aha xogta gelitaanka.

Fadhiyada hore loo aasaasay waa arrin gooni ah, sababtoo ah tirtirku wuxuu khuseeyaa xaqiijin cusub ilaa gateway-ga sidoo kale loo qaabeeyay inuu gooyo xiriirada socda. Go'aanso haddii ka saarista degdegga ah loo baahan yahay ka hor intaadan qof u ballanqaadin.

Waxa hubinta magacu marnaba karin

Liis ogolaansho wuxuu ka jawaabaa haddii aqoonsigaan uu xirmi karo. Ma sheegi karo shahaadada ay aqoonsigaas isticmaalay, wuxuuna aqbali doonaa xog gelitaan hore inta ay ansax tahay oo aan la tirtirin. Farqigaas wuxuu soo baxaa inta lagu jiro dhacdo, marka beddelka la soo saaray bilo ka hor oo kii hore wali shaqeeyo.

Halka loo baahan yahay hawlo heer shahaado ah, isticmaal hab magacaabaya shahaadada: gelitaannada CRL, ama qabato hubin oo ku hubisa faraha aqoonsiga uu maamuluhu hayo. Labaduba waxay u baahan yihiin dayactir, labaduna waxay daacad ka yihiin shayga ay baadhaan. buugga OpenVPN 2.6 wuxuu diiwaangeliyaa crl-verify iyo gelitaanka gaar u ah macmiilka sida xulashooyin gooni ah, sababtaas daraaddeed.

Qor hawsha keeba qabto, kadib tijaabi xaaladda taban. Tirtir aadan marnaba arag inuu diido xiriir waa qaabeyn aad rajaynayso inuu shaqeeyo.