Shahaadada VPN ee la cusboonaysiiyay: qaar ka mid ah macaamiisha ayaa wali diida

Badhka deegaanka ayaa dib u xirmaya cusboonaysiinta ka dib, saddex qalabna way diidaan, mid kastaa oo digniin ku saabsan aqoonsiga gateway-ga. Cusboonaysiinta lafteedu waa caadi. Waxa ay saddexdan qalab hayaan waa pin ku yaal shaygii hore, iyo pin maaha liis CA, hubin magac ama gelitaan kaydka kalsoonida. Isbarbar dhig saddexda habab ka hor intaadan taaban macmiil kasta.

Hal cusboonaysiin, laba habdhaqan

Macaamiisha dib u xirma waxay leeyihiin go'aan kalsooni oo wali maraya, kuwa diidana waxay leeyihiin shuruud aan shahaadada cusub buuxin. Farqigaas waa macluumaad, ma aha qaylo. Akhri fariinta macmiilka guul-darraystay si sax ah. Aan isku mid ahayn magaca, soo-saare aan la aqoon iyo faraha is beddelay waa saddex xukun oo kala duwan, oo kaliya kan ugu dambeeya ayaa tilmaamaya pin.

Sidoo kale hubi profile-ka uu doortay macmiilka guul-darraystay. Nuqul la soo dhoofiyay oo ku nool kaydkiisa u gaar ah ma beddelmo marka maamuluhu wax ka beddelo faylka asalka ah meel kale.

Cusboonaysiin waxay beddeshaa shayga, ma aha oo kaliya taariikhda

Faraha ayaa aqoonsada nuxurka shahaadada ee la codeeyay. Cusboonaysiin waxay abuurtaa shahaado cusub, sidaas darteed faraha way beddelmaa xitaa marka magaca mawduuca iyo furaha dadweynaha ay isku mid yihiin. Taasi waa la filayay oo aan waxyeello lahayn macaamiisha ku kalsoon CA oo xaqiijiya magaca. Waa dilaan macmiil loo habeeyay inuu aqbalo hal shahaado oo sax ah, oo sidoo kale waa dilaan macmiil kaydkiisa kalsoonidu aanu waligiis helin soo-saaraha cusub.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Sadarka labaad wuxuu ka jawaabayaa su'aal kale, in lammaanaha fure ee badbaaday. Cusboonaysiin dib u isticmaasha furaha waxay hayaan qiimahaas oo beddeshaa oo kaliya shahaadada, waana isla xaaladdaas marka maamuluhu u malaynayo in aan waxba is beddelin. Baadh shahaadada la gaystay, ma aha tan ku jirta host-ka dhisidda. Isbarbar dhigga fayl ku jira kaydka ayaa caddaynaya waxa la abuuray, ma aha waxa dhageystuhu hadda soo bandhigayo.

Akhri waxa macmiilku pin-garaynayo

Qaar macaamiisha ah waxay ku hayaan faraha profile-kooda oo isbarbar dhigaan xiriir kasta. Kuwa kalena waxay ku kaydiyaan kaydka kalsoonida ee platform-ka, kuwa kalena waxay ku tiirsan yihiin oo kaliya CA. Hagaajintu way kala duwan tahay xaalad kasta, marka marka hore aqoonso habka.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Amarka ugu horreeya wuxuu muujinayaa pin ku jira profile caadi ah; kan labaad wuxuu muujinayaa faraha ay endpoint-ku dhab ahaan hadda bixiyo. Marka labadaas ay kala duwan yihiin, waxaad heshay cilladda adigoon mala-awaalayn. Ha ku dhejin qiimaha cusub macmiil kasta oo cabanaya. Macmiil ku diida sababo soo-saare awgood ayaa sii wadi doona diidmada, oo waxaad naftaada baraysaa in faraha ay ahayd dhibaatada markii aysan ahayn.

Isbarbar dhig shahaadada ay bixiso backend kasta

Natiijooyinka googo'an waxay badanaa ka dhigan yihiin in ka badan hal endpoint, cusboonaysiin lagu dabaqay hal nood ayaa kuwa kale uga tagaa inay soo bandhigaan shaygii hore. Isbarbar dhig backend kasta ciwaanka, ma aha magaca la wadaago.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Koox uu hal nood dib ugu haray ayaa sharraxaysa macmiil ku xirma isku dayga labaad oo ku guul-darraysta kan koowaad. Waxay sidoo kale sharraxaysaa hubin la-socod ah oo gudba inta isticmaalayaashu cabanayaan. Marka hore hagaaji dib-u-harista. In la rogrogo habaynta kalsoonida ka hor inta nood kastaa uusan bixin shahaadada cusub waxay abuurtaa daaqad aan waxba ka shaqayn, oo ka dib rogrogista waxay uga tagtaa macaamiisha inay si lama filaan ah u guul-darraystaan.

Beddel kalsoonida iyada oo loo marayo waddada la maamulo

Xaqiiji beddelka iyada oo loo marayo kanaal maamuleed hore u aaminan ka hor intaadan meel kasta ka aqbalin. Taariikh dhacdo oo macquul ah maaha caddayn lahaansho. Cusboonaysii habaynta la maamulo iyada oo loo marayo habka iska leh, oo leh is-dul-saar kasta oo la qorsheeyay oo aqoonsiyo la aqbali karo, oo hayso xaqiijinta magaca ee geyntu u baahan tahay. Pin aan hubin magac lahayn waa naqshad ka itaal yar kalsoonida CA ee ay beddeshay.

Kadib xaqiiji macmiil kasta, xiriir, xaqiiji aqoonsiga uu aqbalay, oo qor nooca shahaadada uu hadda aaminsan yahay. Digniin hal mar la diiday waxay u leedahay inay ku soo noqoto cusboonaysiinta xigta.