Ka hay furaha saxeexa CA ee OpenVPN meel ka baxsan /etc/openvpn

Laba gal oo cashar ku eg yihiin si isku mid ah ayaa qabta shaqooyin gabi ahaan kala duwan. Mid wuxuu hayaa hay’adda shahaadada: furaheeda gaarka ah, tirinta lambarka taxanaha iyo diiwaanka wax kasta oo ay saxeexday. Kan kalena wuxuu hayaa waxa daemonku u baahan yahay si uu u bilaabo oo ugu adeego macaamiisha. In labadaba la dhigo isla martigeliyaha isla akoonka waa ku habboon hal galab oo qaali ah inta ka hartay nolosha rakibidda, sababtoo ah daemonku wuxuu markaas socdaa agteeda furaha kaliya ee abuuri kara aqoonsi kasta oo uu rabo.

Waxa goobta shaqada ee CA ka kooban tahay

Galka PKI waa xaaladda soo-saare, ma aha habayn. Waxa uu ka kooban yahay furaha gaarka ah iyo shahaadada CA, fayl lambarka taxanaha, tusmada shahaadooyinka la soo saaray iyo walxaha aqoonsi kasta oo laga soo saaray.

Saxeexidda codsi waxay beddeshaa xaaladdaas, taas ayaa sabab u ah in goobta shaqadu ay leedahay akoon uu maamulo maamule ku sugan martigeliye aan adeegga VPN ku shaqayn. Qof kasta oo akhrin kara furaha gaarka ah ee CA waxa uu soo saari karaa shahaado uu serverku aamini doono, marka ilaalinta furahu waa dhammaan qaabka kalsoonida ee hal fayl. In loo koobiyaa meel labaad si tallaabo loo badbaadiyo waxay abuurtaa shay labaad oo la ilaaliyo iyo shay labaad oo la illoobo. Saxeex kastaa waxa uu kordhiyaa lambarka taxanaha oo ku daro gelitaan tusmada, taas ayaa sabab u ah in goobta shaqadu tahay hal koobi oo xaalad ah halkii ay ahaan lahayd faylal gal ah.

Shahaadada dadweynaha ee CA way ka duwan tahay. Waxaa loogu talagalay in la qaybiyo, waana tan ay macaamiisha iyo serveradu isku hubiyaan.

Waxa daemonku akhriyo marka uu bilaabo

Server shaqaynaya waxa uu isticmaalaa koox yar: shahaadadiisa, furahiisa gaarka ah, shahaadada CA ee lagu hubiyo dadka kale iyo walxaha furaha ee habka la doortay uu u baahan yahay. Wuxuu akhriyaa dariiqyadaas bilowga iyo mar kale marka dib loo raro.

Lahaanshaha waa in lagu qiimeeyaa unugga dhab ahaan bilaaba, ma aha qolka root ee is-dhexgala. Sandboxing la sheegay waxa uu qayb ka mid ah nidaamka faylasha ka dhigi karaa akhris-kaliya ama aan muuqan xitaa marka tijaabo gacan ah root ahaan guulaysato.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Safka saddexaad waa tan dadku boodaan. Waxay weydiisaa akoonka daemonka laftiisa haddii uu akhrin karo furaha, waana tan kaliya ee su’aasha muhiim ah marka mudnaanta la tuuray. Baxsiga eber root ahaan waxba kama sheego waxa dhaca tuurista ka dib.

Laba dariiq oo khalad ah waa in la kala saaraa ka hor inta aadan beddelin ogolaansho kasta. Guuldarrada saxeexu waxay tilmaantaa galka PKI, ogolaanshaha raadinta galkiisa waalidka iyo akoonka socodsiiya soo-saaraha. Guuldarrada bilowga waxay tilmaantaa unugga, galkiisa shaqada iyo dariiqyada lagu sheegay habaynta serverka. In geedka oo dhan laga dhigo mid qof walba akhrin karo midkoodna ma hagaajiso, waxayna meesha ka saartaa xadka labaduba ku tiirsan yihiin.

Sababta koobista furaha CA ee serverka ugu guuldarraysto mar dambe

Koobintu waxay badanaa ku bilaabataa tallaabo cilad-raadin: qof wuxuu rabaa in uu cusboonaysiiyo macmiil ku yaal martigeliyaha VPN, marka furaha CA wuxuu ku dhammaadaa /etc/openvpn oo cusboonaysiintu way shaqaysaa. Hawsha degdegga ah way guulaysataa, xadkuna wuu tagay.

Kadib serverka waa la kaydiyaa, oo hay’adda saxeexu waxay ku biirtaa kaydka. Sawir, xirmo taageero ama koobi galka habaynta ayaa hadda qaada awoodda soo saarista aqoonsiyo la aamini karo inta CA uu ansax yahay. Qof kasta oo haysta koobkaas waxa uu abuuri karaa shahaado magac kasta oo serverku aqbali karo, oo ay ku jiraan magacyo aan waligood la soo saarin. Diiwaanka kaliya ee soo-saarkaas waa kan ay doortaan in ay hayaan.

Ka soo kabsashada xaaladdaas maaha arrin ah tirtirista fayl. Waa in aad go’aansato haddii furaha la muujiyay, CA wareeji haddii sidaas ay tahay, oo kalsoonida dib ugu qaybi saaxiib kasta. Goob shaqo oo gooni ah ayaa ka fogaata wada hadalka oo dhan.

Akoonno, galo, kayd

Siin soo-saaraha akoonkiisa iyo galkiisa guriga, oo ka fog martigeliyaha VPN marka ay wax ku ool tahay. Siin daemonka akoon kale, oo leh gelitaan akhris oo walxaha la rakibay iyo gelitaan qoraal oo wax aan shahaado soo saarin. Ku rakib adigoo koobiya shahaadooyinka dadweynaha dibadda oo aan waligaa gudaha u soo jiidin xaaladda gaarka ah ee soo-saaraha. Kaydi labada door si gooni ah, sababtoo ah xasaasigooda iyo sheekooyinkooda soo celintu way kala duwan yihiin.

Ka dib burrin, cusboonaysii faylka CRL ee ay sheegto habaynta serverka, kadibna dib u rar adeegga si isku xirka cusub u akhriyaan. Dukumeentiga Easy-RSA wuxuu daboolaa qaabka goobta shaqada iyo socodka saxeexa; xeerarka lahaanshaha ku wareegsan weli waa go’aan ku saabsan martigeliyahaaga. Hubi waxa adeeggu raray isagoo isticmaalaya openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate halkii aad ka qaadan lahayd in dib-u-rarista ay qaadatay.

Tijaabo caddaynaysa kala-soocidda

Hubi kiiska diidmada, ma aha kaliya kan shaqeeya. Ka saxeex shahaado akoonka soo-saaraha sida loo qorsheeyay, kadibna xaqiiji in isla akoonkaas uusan bilaabi karin adeegga ama uusan akhrin karin furaha gaarka ah ee serverka. Kadibna xaqiiji in akoonka daemonku uusan akhrin karin furaha gaarka ah ee CA.

Saddexda hubin waxay qaataan dhowr daqiiqo oo ka gudbaan isbeddelka shaqaalaha, sababtoo ah waa hadallo ku saabsan ogolaanshaha ma aha caado. Qor natiijada oo la socoto dariiqyada iyo akoonnada ay dabooltay, iyo taariikhda aad fulisay. Qofka xiga ee dhaxla rakibiddan haddii kale waxa uu mar kale ka soo saari doonaa xadka cashar aan waligiis mid lahayn. Diiwaan taariikh leh ayaa sidoo kale ah waxa ka dhigaya dib-u-eegista xigta daqiiqado halkii galab.