remote-cert-tls server: maxay ku hubisaa profile-ka OpenVPN

Saddex su'aalood oo kala duwan ayaa ka jawaabaan saddex qaybood oo kala duwan oo profile-ka OpenVPN ah, isku-darkooduna waa sida dadku ugu dhamaadaan inay damiyaan hubin shaqaynaysay. Shahaadada dhinaca kale ma waxaa saxeexay hay'adda aan aammino? Shahaadadaas ma caddaynaysaa doorka server-ka TLS? Ma tahay isla server-kaas gaar ah ee aan rabay inaan gaaro? remote-cert-tls server waxay ka jawaabtaa kaliya su'aasha dhexe, waxayna sidaas ku sameysaa iyadoo akhrinaysa fidinta ku jirta shahaadada.

Saddex hubin oo madaxa lagu isku dari karo

Meesha kalsoonidu waxay ku nooshahay amarka ca. Hubinta doorku waxay ka tirsan tahay remote-cert-tls. Hubinta aqoonsigu waxay ka tirsan tahay verify-x509-name, marka profile-ku isticmaalo, ama hubin kasta oo magac ah oo ay ku darto rakibidda.

Waxay daboolaan guul-darrooyin kala duwan:

Profile-ku wuxuu yeelan karaa saddexda oo dhan oo weli daciif noqon karaa haddii CA si aad u ballaaran loo wadaago, taas oo ah su'aal maamulka furaha ah ee ma aha amar-bixin.

Hubinta doorku maxay akhridaa

Amar-bixintu waa makro. Waxay u fidmaa shuruud isticmaalka furaha iyo shuruud isticmaalka furaha la ballaariyay oo magacaabaya doorka webserver-ka TLS, sidaas darteed shahaadada dhinaca kale waa inay dhab ahaan caddayso ujeeddadaas. Shahaadada loo soo saaray xaqiijinta macmiilka ma buuxiso taas, xitaa marka isla hay'addaas labadaba saxeexday.

Taasi waa muhiim sababtoo ah CA la wadaago waa caadi rakibidda yaryar. Hal hay'ad ayaa saxeexda macmiil kasta iyo server-ka, iyo la'aanta hubinta door, mid kasta oo shahaadooyinkaas ah wuxuu dhamaystiri karaa dhinaca server-ka ee gacan-qaadista. Hubinta ma ka dhigayso xaaladdaas mid aan macquul ahayn, laakiin waxay ka saartaa nooca fudud.

Amar-bixintu waa mid aan isle'eg ah marka la eego naqshadda: macmiiladu waxay qaadaan remote-cert-tls server, server-raduna waxay qaadaan remote-cert-tls client. Beddel iyaga oo xiriir kastaa wuu guul-darraystaa khalad door oo u eg shahaado jabtay.

Profile-yada hore waxay mararka qaarkood u isticmaalaan ns-cert-type isla ujeeddadaas. Bogagga buug-gacmeedka hadda jira waxay u arkaan ikhtiyaarkaas mid la beddelay, sidaas darteed profile-ka weli ku tiirsan waa mudan in la raro halkii la debug-gelin lahaa.

Sababta damintaadu ugu egtahay xal

Marka hubinta doorku guul-darraysto, xiriirku wuxuu joogsadaa khalad xaqiijin, talaabada cadna waa in la tirtiro safkaas. Xiriirka ayaa markaas soo baxa, taas oo u eg horumar oo dhab ahaan ah qaabka guul-darraysta ee amar-bixintu u jirto inay ka hortagto. Hadda waxaad aqbashay dhinac kale oo shahaadadiisu aanay waligeed loo qorsheyn doorkaas.

Taa beddelkeeda akhri khaladka. Waxay magacaabtaa hubinta guul-darraystay, shahaadada dhinaca kalena waa la baari karaa si loo arko fidinta ay dhab ahaan qaaddo. Laba daqiiqo oo akhris ah ayaa go'aaminaya in cilladdu ku jirto soo-saarista ama habaynta. Qiyaasidda waxay qaadataa duhurnimo oo badanaa ku dhammaataa profile daciif ah. Shahaadada server-ka ee la cusboonaysiiyay oo lumisay isticmaalka furaha la ballaariyay waa cillad dhab ah oo ku jirta cusboonaysiinta, ma aha sabab loo dabciyo macmiilka.

Hubinta magacu waa amar-bixin gaar ah

Buuxinta hubinta doorku waxay sheegaysaa in dhinaca kale uu yahay server uun oo ay saxeexday hay'addaada. Ma sheegto midka, taas oo muhiim ah marka isla CA ay shahaadooyin u soo saarto dhowr gateway oo midkood la wiiqay ama dib loo isticmaalay.

verify-x509-name waxay isbarbardhigtaa mawduuca shahaadada iyo qiime aad habaysay, iyadoo leh habab isbarbardhig oo mawduuc sax ah, horgale ama hal goob. Isticmaal goobta dhab ahaan aqoonsata gateway-ga, oo filo inaad si ula kac ah u cusboonaysiiso marka magacu isbeddelo.

Mid kasta oo ka mid ah labada amar-bixin ma beddelo maaraynta furaha wanaagsan. Haddii faylka furaha macmiilka lagu koobiyeeyo profile-ka agtiisa, aqoonsiga dhinaca kale wuxuu la mid yahay liiska qaybinta oo keliya.

Baar shahaadada ka hor intaadan tafatirin profile-ka

Akhri shahaadada dhinaca kale iyo log-ga macmiilka, isla nidaamkaas. Shahaadadu waxay kuu sheegtaa doorka ay caddaynayso; log-gu waxay kuu sheegtaa hubinta diidey.

Amarradan waxay daabacaan fidinta isticmaalka iyo safafka xaqiijinta xiriir faahfaahsan:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Haddii fidintu muujiso doorka server-ka oo log-gu weli soo sheego guul-darro door, profile-ku wuxuu u badan yahay inuu tilmaamo fayl shahaado qaldan ee ma aha shahaado xun. Haddii fidintu muujiso kaliya xaqiijinta macmiilka, jooji fiirinta macmiilka oo hagaaji soo-saarista. Si kasta, soo celi hubinta ka hor intaadan xiriirka ugu yeerin caafimaad qab, sababtoo ah gacan-qaadis guuleystay ka dib marka xaqiijinta la saaro waxay caddeynaysaa wax ka yar khaladkii ay beddeshay.