Faylka CA kee ayaa galaya borofaylka OpenVPN ee siraha kaliya leh?

Mar afar su'aalood si taxane ah u dhaafo oo wada-hadalka CA ma aha mid mugdi ah. Waa maxay maaddada ay dhab ahaan soo saartay hawlgalka, maxay borofaylku horey u qaaday, goobtee ayaa weydiinaysa, oo maxaa dhacaa marka faylka la raro? Joog su'aasha ugu horreysa oo aadan ka jawaabi karin tilmaamaha hawlgalka laftiisa, sababtoo ah in ka badan in laga mala-awaalo waa dariiqa shahaadada CA ee dadweynaha ay ku dhamaato iyadoo lammaane la ah fure gaar ah oo aan waligiis ahayn inuu ka baxo serverka.

Taxanaha ayaa muhiim ah: labada su'aalood ee ugu dambeeya waxay macne samaynayaan oo kaliya marka aad ogaato maaddada ay tahay inay jirto.

Ka bilow waxa borofaylku horey u qaaday

Ku fur borofaylka tifaftiraha qoraalka oo raadi qayb ca ka hor inta aadan raadin fayl. Qaybta ca ee gudaha ku jirta oo qaadaysa CA-da dadweynaha ee hawlgalka waxay ka dhigan tahay borofaylku isku filan yahay, macmiilka weli weydiinaya fayl CA waxaa laga yaabaa inuu akhrinayo borofayl kale ama soo-galinta aan dhammaystirnayn. Haddii borofaylku beddelkiisa leeyahay sadar ca oo tilmaamaya waddo, waddadaas waxay ku xidhan tahay shaqada macmiilka qayb ahaan is-dhexgalka qaarkood oo waa mid buuxda kuwa kale. Qor nooca aad haysato ka hor inta aadan wax beddelin.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Hubi xirmada la keenay faylasha borofaylku tilmaamayo: shahaado CA, mararka qaarkood shahaado macmiil iyo fure gaar ah, iyo laga yaabo fayl tls-auth ama tls-crypt. Borofayl tilmaamaya afar fayl laakiin la yimaada laba waa mid aan dhammaystirnayn, oo wax tilmaamid goobo ah ma hagaajinayso taas. Weydii hawlgalka qaybta maqan halkii aad ka beddeli lahayd shahaado aad si kadis ah haysato.

Kala sooc afarta nooc ee maaddada

Shahaadada CA waa maaddo dadweyne oo loo isticmaalo xaqiijinta aqoonsiga serverka. Shahaadada macmiilku waxay u aqoonsataa isticmaalaha ama qalabka serverka. Furaha gaarku waa qaybta qarsoon ee shahaadadaas macmiilka, oo waa inuusan waligiis noqon furaha saxeexa CA ama furaha server. Maaddada tls-auth ama tls-crypt waa sir gaar ah oo la wadaago oo ilaalinaya kanaalka kontoroolka. Afartan wax is-beddel ma leh, oo goobta CA u jeedinta shahaado macmiil waxay soo saartaa guuldarro xaqiijin oo u eg dhibaato kalsooni.

Xaqiijinta siraha kaliya waxay beddeshaa midka afarta ka mid ah aad u baahan tahay, ma aha macnahooda. auth-user-pass iyo remote-cert-tls server macmiilku weli wuxuu xaqiijiyaa serverka CA, taas darteed goobta CA way soo muuqataa xitaa marka aanay jirin shahaado macmiil. Siyaasadda hawlgalka ayaa go'aamisa in shahaado macmiil sidoo kale loo baahan yahay, oo wada-hadalna ma sheegi karo taas.

U jeedi macmiilka faylka kalsoonida

Dooro faylka shahaadada CA laftiisa, ma aha galka ku jira iyo ma aha xirmada .p12 ee qaadaysa aqoonsiga macmiilka. Windows dhexdiisa qaabka waddada iyo doorashada faylku si ka duwan ayay u dhaqmaan marka la barbardhigo tusaalooyinka Linux ee hagaha badankood, sidaas darteed isticmaal waxa macmiilka rakiban aqbali karo oo xaqiiji in faylka la akhrin karo akoonka ku socodsiiya. Dhibaato fasax iyo fayl maqan waxay wada-hadalka ugu eg yihiin laakiin waxay soo saaraan sadarrada log kala duwan. Doorashada ka dib dib u fur dejinta borofaylka si aad u xaqiijiso in macmiilku doorashada haysto.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Haddii macmiilku taageero qaybo gudaha ah, dooro borofaylka gudaha ee hawlgalka halkii mid gacan lagu soo ururiyay. Maaddada gudaha waxay la socotaa borofaylka oo ka badbaadaysaa soo-gelin kale, halka waddada buuxda ay jabto isla daqiiqada borofaylku u guuro mashiin kale.

Akhri khaladka xiga, ma aha isla kan

Ujeeddada bixinta CA saxda ah waa in khaladka la beddelo, ma aha in la waayo. Guuldarro aqoonsiga serverka ka dib marka CA la raro waxay ka dhigan tahay shahaadadu ma aha mid la jaanqaadday magaca la filayay ama filashada remote-cert-tls, taas oo ah hagaajin ka duwan diidmada siraha. Diidmada siraha waxay ka dhigan tahay lakabka TLS guulaystay oo aqoonsiga waa khalad. Hayso fariinta cusub ee ugu horreysa; taas ayaa faa'iido leh.

Macmiil isku xira laakiin aan meelna gaarin wuxuu si buuxda uga gudbay kalsoonida oo hadda wuxuu wajahayaa su'aal marin ama DNS.

Marnaba ha damin xaqiijinta si aad uga gudubto wada-hadalkaas. Macmiil aqbala shahaado kasta sabab uma hayo inuu weydiiyo CA, oo tunnelka uu dhisayo ma aha kii hawlgalku ku talaggalay.