Jooji hal OpenVPN macmiil: sababta baabi'inta ay tahay kabaalka khaldan

Joojinta gelitaanka hal macmiil iyo si joogto ah u saarista waxay u eg yihiin isla hawl ilaa aad isku daydo inaad mid ka mid ah ka noqoto. Baabi'inta shahaadada waxay qortaa diiwaan uu serverku u qaato mid kama dambays ah, oo inaad ka noqoto waxay ka dhigan tahay inaad gacanta ku saxdo keydka xogta soo saaraha. Tuurista tunnelka nool waa amar maamul oo aan waxba ka beddelin kalsoonida. Dooro kabaalka adigoo weydiinaya haddii furaha wali lagu kalsoonaan karo, ma aha adigoo weydiinaya sida degdeg ah ee codsigu u muuqdo.

Aaminsanaanta: la baabi'iyay iyo la hakiyay waa isku mid

Qandaraasle ayaa toddobaad la hakiyay oo jawaabta degdegga ah waa baabi'in, sababta oo ah baabi'inta waxay u dhawaataa in wax la damiyo. Waxay u muuqataa mid nadiif ah, waxay qaadataa toban ilbiriqsi, oo waxay ka tagtaa wax ka beddelka keydka xogta oo ah dariiqa kaliya ee dib u noqod. Jawaabtaas waa la fahmi karaa oo waxay u dhowdahay gubista baasaboorka marka loo eego xirista albaab. Qalab la hakiyay iyo fure la shaaciyay waxay u baahan yihiin habayn kala duwan, oo midkood oo keliya ayaa jaban in la beddelo.

Farqigu wuxuu ku saabsan yahay aqoonsiga ma aha qofka. Fure wali gacanta saxda ah ku jira waa la hakiyi karaa oo la sii wadi karaa iyada oo aan kalsooni lumin. Fure laga yaabo in la koobiyeeyay waa in aan marnaba la soo celin, sababta oo ah soo celinta waxay sheegaysaa in koobigu aanu jirin.

Qor jawaabta ka hor inta aanad taaban mid ka mid ah labada nidaam. Haddii aadan sheegi karin in furaha la shaaciyay iyo in kale, jawaabta taxaddarka ah waa beddelaad.

Tuur fadhiga nool iyadoo la adeegsanayo isdhexgalka maamulka

OpenVPN waxay bixisaa isdhexgal maamul oo taxan kara fadhiyada oo mid ka mid ah ku dili kara magaca guud. Ka shid localhost, ka fogee isdhexgalka dadweynaha, oo dir amarka dilista marka fadhi ay tahay inuu hadda libdho. Amarku wuxuu xiraa kaliya tunnelkaas, oo macmiil kasta oo kale wuu shaqaynayaa.

Kani waa jawaab ka dhalatay dhibaato firfircoon, ma aha siyaasad hakad. Isla profile-ka ayaa mar kale ku xirmi kara hal daqiiqad gudahood, sababta oo ah waxba kama beddelin aqoonsigiisa. Isticmaal marka fadhiga uu tahay inuu tago oo go'aanka waarta wali la gaarayo.

Xaqiiji in fadhigu ku xirnaa ka hor inta aanad dilin, si aadan uga daba gelin macmiil aan marnaba xirmin. Amarka xaaladda ee hoose wuxuu daabacaa waxa hadda ku xiran.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Haddii dilistu sheegto in aanu jirin macmiil sidaas ah, magaca guud ee shahaadada ma aha xarigga aad qortay. Akhri soo-saarka xaaladda halkii aad ka akhrin lahayd magaca faylka profile-ka.

Waxa CRL dhab ahaan maamulo

Serverku ma eego calan baabi'in oo lagu kaydiyay shahaadada. Wuxuu akhriyaa liiska baabi'inta shahaadooyinka ee lagu magacaabay crl-verify, xiriir kasta oo cusub, oo wuu diidaa shahaadada lambarka taxanaha ah uu ku jiro liiskaas. Laba natiijo ayaa ka soo baxa, labadaba waa muhiim xagga hawlgalka. Faylku waa inuu noqdaa mid la akhrin karo akoonka uu serverku uga tago awoodiisa, oo macmiil horey u xirnaa ayaa sii shaqaynayaa ilaa uu mar kale isku xiro.

Natiijada labaad waxay dadka yaabisaa inta lagu jiro dhacdooyinka. Baabi'inta shahaadada ma xirto tunnelka hadda isticmaalaya. Ku lammaani baabi'inta dilis maamul haddii fadhigu isla markiiba dhammaanayo, oo labada fal u qaado tillaabooyin gaar ah buug-gacmeedka.

Baadh liiska si aad u aragto waxa serverku dhab ahaan dhaqan gelin doono, halkii aad ka aamini lahayd summada waqtiga faylka ugu dambeeya ee aad koobiyeysay. Qaybta muhiimka ah waa tirada lambarrada taxanaha.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Liis aan gelin lahayn iyo liis leh gelinta saxda ah waxay isku mid uga muuqdaan liiska galka, sidaas darteed tirada lambarrada taxanaha waa mudan in la daabaco. Sadarka ogolaanshaha ayaa isna muhiim u ah, sababta oo ah fayl aan daemonku akhrin karin wuxuu abuuraa guuldarro u eg macmiil la diiday.

Soo celinta diiwaan, si taxaddar leh

Soo celinta shahaadada waxay ka dhigan tahay in la rogo diiwaan ku jira keydka xogta soo saarista oo la daabaco liis cusub. easy-rsa 3 wuxuu keydkaas u hayaa sida index.txt oo ku yaal galka PKI, halka qaababkii hore ay isticmaali jireen nidaam kale. Sadarku wuxuu ku bilaabmaa xaraf xaalad iyo taariikh dhicitaan. Sadarka la baabi'iyay wuxuu geliyaa sumad waqti oo baabi'inta ka hor inta uusan ku sii socon lambarka taxanaha, magaca faylka shahaadada iyo magaca kala duwan. Sadarka dib u dhigid waxay ka dhigan tahay in la tirtiro sumaddaas waqtiga oo xarafka la rogo, inta kalena la daayo.

Marka hore ka samee faylka nuqul kayd ah, oo wax ka beddelka ku samee sida skript halkii aad ka qori lahayd tifaftiraha qoraalka. Khalad qoraal oo beddela inta goobood uu sadarku qaado wuxuu jebiyaa soo saarista shahaadad kasta oo dambe lagu daro. Taasi waa sababta loo otomaatigaynayo isbeddelka oo faylka la koobiyeeyo ka hor inta aan la taaban.

Baabi'in labaad oo isla magaca ah sidoo kale inta badan way fashilantaa, sababta oo ah orodkii hore wuxuu u raray shahaadadaas iyo furaheeda ka baxsan galalka ay qalabku filan yahay inuu ka helo. Markaas qalabku ma heli karo waxa la sheegay in la baabi'iyo, oo farriinta khaladka mar walba si cad u sheegto sababta.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Daabac liiska cusub, sax milkiintiisa, oo ka dhig serverka inuu akhriyo. Dib u rarid ayaa ku filan inta badan rakibaadda, laakiin xaqiijintu waa inay ka timaaddo xiriir cusub, maadaama fadhiga jira uusan waligiis dib u hubin waxba.

Hubi kabaalka kiiska u qalmo

Weydii hal su'aal oo go'aamisa buug-gacmeedka oo dhan: furaha gaarka ah wali ma ku yaal kaliya meesha uu ku habboon yahay. Haddii uu sidaas yahay, dilista fadhiga iyo hakad la diiwaangeliyay ayaa daboolaya kiiska oo wax diiwaan joogto ah kama tagaan. Haddii aanu sidaas ahayn, jawaabta ammaan ee kaliya waa fure cusub oo shahaadada hore la baabi'iyay ka tagaan.

Kadib ku xaqiiji natiijada isku day xiriir halkii aad ka xaqiijin lahayd farqi qaabeynta. Farqigu wuxuu kuu sheegaa waxa aad ula jeeday, xiriirku wuxuu kuu sheegaa waxa serverku dhaqan gelinayo.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Marka macmiil la soo celiyay uu xirmo oo uu ka soo muuqdo soo-saarka xaaladda, wax ka beddelka diiwaanku wuu shaqeeyay. Marka macmiil la baabi'iyay la diido oo logku sheego CRL, baabi'intu way shaqeysay. Wax kasta oo u dhexeeya waa dhibaato ogolaansho ama dib u rarid, oo waa mudan in la saxo ka hor inta codsiga xiga uusan iman.