Isku magac fayl ca.crt, shahaado kale: maxa la barbardhigaa

Laba profile ayaa labaduba keena fayl la yiraahdo ca.crt, hal tunnel ayaa soo kaca kan kalena wuu guuldareystaa khalad silsilad ah. Labada fayl is barbar furid ayaa tani dhif ku xallisa, iyo daminta xaqiijinta ayaa u xallisa jihada qaladka ah. Su'aasha khaladku dhab ahaan weydiinayo ayaa ka cidhiidhi badan: shahaado kee ayaa hab kastaa u rarayaa sidii aaminka kalsoonidiisa, oo labaduba ma isku shay baa? Marka hore ka jawaab taas oo inta kale ee baaritaanka ayaa jiha heli doonta. Magaca faylku waa calaamad baakadaynta, jidka ku qoran profile-kana ma aha mid amar leh, sidaas darteed wax walba waxay ku xiran yihiin waxa habku dhab ahaan akhriyo.

Soo hel shahaadada macmiilku dhab ahaan rarayo

OpenVPN wuxuu aqbalaa maamulka laba qaab, qaabkuna wuxuu go'aamiyaa baytka muhiimka ah. Profile wuxuu tilmaami karaa fayl dibadeed ca, ama wuxuu ku dhex dari karaa shahaadada qayb <ca> gudaha profile-ka laftiisa. Marka labaduba jiraan, qaybta la dhexgeliyey ayaa guuleysata oo faylka profile-ka agtiisa ah waligiis lama furo.

Akhri profile-ka guuldareysta oo ogaado qaabka uu isticmaalayo ka hor intaadan wax barbardhigin. Nuqul laga soo qaatay galka deriska, ama baakadda uu profile-ka kale ka yimid, wax kama sheegayso waxa habkani ku kalsoon yahay. Isla taas waxay khuseysaa jidka ku jira habeynta: waxaa lagu xalliyaa iyadoo la eegayo meesha macmiilku ka bilaabmay, taas oo aan had iyo jeer ahayn galka aad eegayso. Akhri profile-ka, ma aha galka.

Shahaadooyinka waxaa lagu gartaa waxa ay ka kooban yihiin: furaha dadweynaha, mawduuca iyo soo saaraha, muddada ansaxnimada, iyo saxeexa waxaas oo dhan. Laba fayl oo bayt isku mid ah waa isku shahaado magac kasta loo bixiyo, laba fayl oo isku magac ahna waxay noqon karaan maamulayaal aan xiriir la lahayn. Magacu waa calaamad baakadaynta, ma aha aqoonsi.

Qaado faraha faraha labada nuqul adigoo isticmaalaya openssl

Faraha faruhu waa hash ku saabsan DER encoding-ga shahaadada, qaabka saxeexu daboolayo, sidaas darteed dhammaadka sadarka iyo qoraalka madaxa ma saameyn karaan. U xisaabi fayl kasta oo waxaad haysataa laba xarig oo hex ah oo ay kala soocaan colon oo ama is waafajiya ama ma aha. Wax kale oo shahaadada ku jira looma baahna in la akhriyo si looga jawaabo su'aasha barbardhigga.

openssl x509 -in /etc/openvpn/office/ca.crt -noout -fingerprint -sha256
openssl x509 -in ~/profiles/lab-ca.pem -noout -fingerprint -sha256

Waa lagu tijaabin karaa in openssl loo jeediyo profile-ka laftiisa, laakiin wuxuu akhriyaa qaybta shahaadada ugu horreysa ee faylka ku timaadda, profile-kuna wuxuu inta badan qaataa <cert> ka hor <ca>. Soo saar qaybta maamulka, ka dibna qaado faraha faraha faylka la soo saaray, waayo taasi waa nuqulka macmiilku dhab ahaan isticmaali doono.

sed -n '/^<ca>$/,/^<\/ca>$/p' office.ovpn | sed '1d;$d' > /tmp/office-ca.pem
openssl x509 -in /tmp/office-ca.pem -noout -fingerprint -sha256

Faraha faraha isku mid ah waxay ka dhigan tahay in maaddada kalsoonidu isku mid tahay iyo in khaladka silsiladdu sabab kale leeyahay, taas oo ah baaritaan kale. Faraha faraha kala duwan waxay ka dhigan tahay shahaadooyin kala duwan, qaybta xigtana halkaas ayay ka bilaabataa.

Akhri is-ma-simidka ka hor intaadan maleeynin weerar

Faraha faraha kala duwan waxay ka dhigan tahay shahaadooyin kala duwan oo aan wax dheeraad ah ahayn. Dib u soo saarid, wareejin, maamul magac beddelay, ama xidhmo duugoobay dhammaantood waxay soo saaraan faylal kala duwan oo leh taariikhihii si buuxda sharci ah. Kee ayaa ka tirsan rakibaadda waa su'aal loo dirayo hawlwadeenka ama diiwaanka rakibaadda, ma aha waqtiga wax-ka-beddelka faylka. Kaydku waxay koobiyaan shaabado waqti, sidaas darteed fayl cusub si otomaatig ah uma noqdo aaminka saxda ah.

Xidid is-saxeexa waa caadi, sidaas darteed mid helitaankiisu ma aha caddayn dhibaato. Shaqada xaqiijiyaha waa inuu dhiso waddo ka timaadda shahaadada server-ka ilaa aaminka la siiyay, khaladka silsiladduna inta badan waxay ka dhigan tahay in waddadaas aan la dhamaystirin.

Hubi in aaminka profile-ka guuldareysta uu yahay maamul rakibaaddu weli wax ka soo saarto. Haddii faraha faruhu aanay wax ku waafaqsanayn diiwaanka rakibaadda, profile-ku si fudud wuu duugoobay, oo wax hagaajin ah oo dhinaca macmiilka ah ma hagaajin doono taas.

Hagaaji kalsoonida adigoon damin xaqiijinta

Hagaajinta muddada gaaban waa in la damiyo xaqiijinta ama lagu daro shahaado kasta oo silsiladda ku jirta sidii aamin. Labaduba waxay ka dhigaan fariinta inay libdho, labadubana waxay beddelaan serverrada macmiilku aqbali doono laga bilaabo markaas. Dib u shid xaqiijinta, rakib aaminka loogu talagalay oo mar kale tijaabi.

Haddii silsiladdu hadda dhisto laakiin khalad kale soo baxo, taasi waa horumar: xaqiijinta magaca, taariikhaha ansaxnimada iyo baabi'inta waa hubinno gooni ah oo leh fariimo gooni ah. Hayso labada faraha faraha iyo qoraalka khaladka asalka ah oo wada jira tikidhka, si qofka xiga uu u arko aaminka la raray iyo kii la filayay. Lammaanaha faraha faruhu wuu yar yahay oo lagu dhejin karo qoraal gudbin, dhacdada xigtana markaas waxay qaadan doontaa shan daqiiqo halkii galab.

Ka hel maamulka saxda ah isla marinka la xaqiijiyay ee keenay profile-ka. Shahaado ka soo jiidashada server-ka sababtoo ah mawduuceeda waa mid la yaqaan waa fal kale, waxayna si aamusnaan ah u ballaarisaa waxa macmiilku ku kalsoonaan doono.