Sida OpenVPN u xalliso shahaadada iyo furaha: PEM gudaha ah ama waddo

Fariintu waxay tidhaahdaa OpenVPN ma rari karto shahaado gudaha ah, halka magaca faylka maskaxdaada ku jiraa uu wax kale sheegayo. Waxa parser-ku helay ayaa ka muhiimsan waxa nidaamka faylku hayo, sababtoo ah tilmaamaha cert waxa uu aqbalaa laba nooc oo qiimo ah oo gebi ahaan kala duwan. Mid waa waddo uu furo; tan kale waa qoraal PEM oo ka soo galay habaynta dhexdeeda. Ilaa aad ogaato nooca uu helay macmiilka socda, wax kasta oo hagaajin ah waa qiyaas.

Laba qaab oo kaydin, hal tilmaame

Tilmaamaha cert, key iyo ca mid kastaa waxa uu aqbalaa waddo ama block gudaha ah. Marka qiimuhu waddo yahay, OpenVPN waxa uu furaa faylkaas oo ka akhriyaa shayga diskiga. Marka habayntu ka kooban tahay block lagu xaddiday tags cert, isla tilmaamuhu waxa uu isticmaalaa waxa u dhexeeya tags-kaas, mana jiro fayl gaar ah oo ku lug leh.

Labada qaab waxay ugu dambayn soo saaraan isla nooc shay, sidaas darteed hawlgal shaqaynaya waxa uu u dhexgeli karaa iyaga iyada oo aan wax kale isbeddelin. Profile-ka sita shahaadada macmiilka iyo furaha gaarka ah oo gudaha lagu daray waa isku filan, koobiintiisa mishiin kale waxay shaqaysaa iyada oo aan la koobiyin galka shahaadooyinka sidoo kale.

Ka soo horjeeda ma run aha. client.crt oo la dhigo profile-ka gudaha geliya xogtiisa waxba ma beddelo, sababtoo ah waxba habaynta dhexdeeda ma tilmaamayo faylkaas. Kani waa sababta ugu caansan ee fayl si cad u jira uu ugu muuqdo mid la iska indhatiray.

Sida block gudaha ah uu shay noqdo

Waxa gudaha ah waxa laga soo saaraa habaynta oo loo dhiibaa parser-ka PEM qoraal ahaan. Parser-kaas waxa uu filayaa xadadka caadiga ah: sadar BEGIN, xamuul base64 iyo sadar END oo u dhigma. Haddii block-ka lagu jaray koobi fashilmay, bogga soo dejintu ku duubtay HTML, ama lagu furay tifaftire sidii u caadiyay xariiqyada, parser-ku waxa uu ku fashilmaa waxa u muuqda mid jira.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

Taas ayaa sidoo kale sabab u ah in ereyada khaladku ay marin-haboon yihiin. Ereyga gudaha ah waxa uu qeexaa halka raraha uu eegay, ma aha waxa uu halkaas ka helay. Fayl lagu magacaabay habayn iyo shay gudaha lagu daray waxay soo saari karaan cabasho isku mid ah marka bytes-ka aasaasiga ah aan la isticmaali karin.

Hubi nooca profile-ka la raray si dhab ah u isticmaalayo, ma aha faylka tifaftirahaadu si shil ah u furay:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

Sida tixraaca waddo loo xalliyo

Qiimaha waddo waxa lagu furaa iyada oo la xidhiidha galka shaqada macmiilka, ma aha galka ka kooban habaynta. systemd hoostiisa galkaas shaqadu waa waxa unit-ku dejiyo, socodka is-dhexgalka ee shell-kaaga waxa uu dhaxlaa wax aad uga duwan. Taas ayaa sabab u ah in isla faylka habayntu uu shaqeeyo marka gacanta lagu tijaabiyo oo uu ku fashilmo adeeg ahaan.

Waddooyinka qaraabada ah waxay dhaxlaan isla mugdi. Marka aad aragto magac fayl qaawan, waydii waa maxay galka hadda ee habsocodka wax soo saarka, halkii aad ka fikiri lahayd in uu la mid yahay terminal-kaaga.

Shahaado si gooni ah loo kaydiyay, falanqayn offline ah waxay xaqiijisaa shayga ka hor inta aadan wax ka sarreeya cilad-dhigin:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

Amarradaas waxay caddaynayaan in faylalladu akhrisan karaan oo qaab ahaan sax yihiin. Ma caddaynayaan in dhinaca kale uu aaminaayo soo-saare, in shahaadadu ay weli ku jirto waqtigeeda ansaxnimada, ama in furahu isaga leeyahay.

Waxa khaladka parser-ku kuu sheegi karo iyo waxa aanu kuu sheegi karin

Fashilka falanqayntu waxa uu dhibaatada ku koobaa hal gelin iyo hal marxalad. Ma sheegayo nooca labada qaab kaydin midka uu macmiilku isticmaalay, mana sheegayo in shayga la aqbali lahaa. Kuwaasi waa su'aalo gooni ah oo leh caddaymo gooni ah.

Marka falanqayntu guulaysato, fashilka xiga waxa uu ka tirsan yahay marxalad dambe. Diidmada kalsoonida, aqbal-la'aanta ujeeddada ama aqbal-la'aanta furaha waxa soo sheega dhinaca kale ama lakabka TLS, ma aha raraha. Isla faylka oo si isdaba joog ah loo beddelo ma dhaqaajin doono khaladkaas.

Inta aad baadhaysid kaalinta xasaasiga ah ka fogee warbixinada dadweynaha. La wadaag magacyada tilmaamaha, qoraalka khaladka iyo qaabdhismeedka block-ka, iyada oo la saaray waxa furaha iyo wax kasta oo aqoonsi leh. Buugga openvpn(8) waxa uu diiwaangeliyaa labada qaab ee tilmaamaha faylka iyo habdhaqanka galka shaqada ee ka dambeeya.