Cusboonaysiinta shahaadada VPN iyada oo aan aqoonsigeeda la beddelin

Cusboonaysiinta shahaadada beddela aqoonsiga ma aha cusboonaysiin, waa guur xiran tirigga dayactirka. Macmiilku wuxuu xaqiijiyaa magac, silsilad iyo mararka qaar fure gaar ah, saddexdaasna way is beddeli karaan iyada oo taariikhda dhicitaanka aan is beddelin. Ka hor inta aadan codsan beddelka, qor waxa uu macmiilku dhab ahaan hubiyo: magaca martigeliyaha ama aqoonsiga faca, ujeeddada shahaadada, siyaasadda furaha iyo silsiladda soo saaraha. Cusboonaysiintu waa caadi ama isku-dubbaridaysan iyada oo ku xiran waxa beddelku beddelo.

Saddex shuruudood ayaa go'aamiya qaabka cusboonaysiinta

Saddexda shuruudood waa haddii wax jirdhiso caleenta, haddii silsiladdu is beddesho, iyo yaa kale magaca xaqiijiya. Ka jawaab dhinaca macmiilka halkii aad ka jawaabi lahayd raaxada CA, sababtoo ah macmiilka ayaa guul-darraysta saddexda saacadood ee habeenkii.

Ku bilow baaritaanka shahaadada aad haysato. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName wuxuu daabacaa mawduuca, soo saaraha, daaqadda ansaxnimada iyo magacyada shahaadadu dhab ahaan u ansax tahay. Goobtaas ugu dambeysa ayaa ugu muhiimsan oo inta badan loo qaato: codsiga cusboonaysiinta ee ka booda SAN uu macmiilku ku tiirsan yahay wuxuu soo saaraa shahaado farsamo ahaan ansax ah laakiin shaqo ahaan khaldan. Koobi liiska SAN shahaadada hore gudaha codsiga halkii aad ka dib u qori lahayd xusuusta.

Shuruudda kowaad: haddii wax jirdhiso caleenta

Haddii macmiilladu aaminaan CA la dayactiray oo xaqiijiyaan magaca, cusboonaysiinta caleenta oo leh fure cusub way ku qarsooneysaa iyaga. Haddii macmiil kasta uu jirdhiso shahaadada caleenta, faraha-gacmeeda ama furaha dadweynaha, beddelku waa isbeddel isku-dubbaridaysan oo leh kala-guur adag, sababtoo ah jirdhiska hore ma xaqiijin karo shahaadada cusub.

Ogow kiiska aad ku jirto ka hor inta aadan wax dalban. Jirdhis aan qofna diiwaangelin wali waa jirdhis marka uu jabto.

Shuruudda labaad: isbarbar dhig jirdhisyada iyo silsiladda

Faraha-gacmeedku waxay jirdhiska ka dhigaan mid la hubin karo: openssl x509 -noout -fingerprint -sha256 -in server.crt shahaadada hore iyo tan cusub, iyo openssl x509 -noout -pubkey si loo isbarbar dhigo furayaasha dadweynaha. Haddii habaynta macmiilka, borofayl mobiil ama kaydka kalsoonida qalabku uu ka kooban yahay mid ka mid ah qiyamkaas, waxaad haysataa jirdhis. Borofayllada VPN mobiilka waa meel dhuumasho caadi ah, sababtoo ah borofaylka hal mar ayaa la qaybiyaa oo dib looma baaro.

Haddii beddelku ka yimaado dhexdhexaadiyaha isla markaas oo macmiilku hore u haysto ama uu heli karo, waxba kama beddelmo dhinaca kalsoonida. Dhexdhexaadiye cusub, soo saare kale ama silsilad si khaldan loo gaarsiiyay waxay cusboonaysiinta ka dhigaan isbeddel kalsooni, guul-darraystuna waxay u egtahay soo saare aan la aqoon halkii ay u ekaan lahayd shahaado dhacday.

Hubi silsiladda uu serverku dhab ahaan diro openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, oo xaqiiji gudaha openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Tan ka hor isbeddelka samaynta waxay ku siinaysaa saldhig aad kala barbar dhigto ka dib.

Shuruudda saddexaad: yaa kale magaca xaqiijiya

VPN isku-ururiye, isku-dheellitirka culayska, baaritaanka la-socodka, isku-xirka RADIUS ama SAML iyo borofayl mobiil mid kastaa wuxuu hayn karaa koobkiisa magaca la filayo ama barroosinka kalsoonida. Cusboonaysiintu waa daqiiqadda ay koobiyadaas kala duwanaadaan, sababtoo ah shahaadadu way is beddeshaa koobiyaduna ma beddelaan.

Liiso macmiil kasta ka hor isbeddelka oo go'aan ka gaar mid kasta haddii uu u baahan yahay cusboonaysiin. Midka aad illowdo ayaa ku wici doona.

Waxaa jira dabin waqti sidoo kale. Baar bilowga ansaxnimada iyo sidoo kale dhicitaanka, sababtoo ah shahaado loo diyaariyay firfircoonid dambe waa la diidaa haddii si aad u horeysa loo rakibo, khaladkuna wuxuu u eg yahay dhibaato saacad halkii uu u ekaan lahaa dhibaato diyaarin. openssl x509 -noout -dates faylka cusub ka hor inta aadan geyn waa baaritaan laba ilbiriqsi ah. Sidoo kale hay marinka soo kabashada la taageeray iyo habaynta loo yaqaan wanaag, si cusboonaysiin khaldan loo beddeli karo iyada oo la soo celinayo shahaadada iyo furaha hore.

Geyn, xaqiiji xaqiijin cusub, ka dib ka bax

Tunnel la aasaasay wuxuu ka tarjumayaa xaqiijinta dhacday markii la dhisay, sidaas darteed wuxuu u ekaan karaa mid caafimaad qaba inta xiriir kasta oo cusub guul-darraysto. Tijaabi xaqiijin cusub iyada oo la isticmaalayo magaca adeegga dhabta ah ee macmiilladu isticmaalaan.

Dhammaystir baaritaanka heerka abka ee u muhiim ah isticmaalaha, oo xaqiiji gaarsinta silsiladda dhinaca macmiilka halkii aad ka xaqiijin lahayd dhinaca serverka. Ha xakameyn baaritaanka magaca ama shahaadada si aad u aamusto kala-guurka; taas waxay dhibaato ku-meel-gaar ah oo iswaafajin ah ka dhigtaa mid joogto ah.

Ka bax maaddada duugoobay kaliya ka dib marka la xaqiijiyo geynta, oo furaha waxyeelloobay u qaado kiis gabi ahaan ka duwan: cusboonaysiin keligeed waxba ma burinayso, sidaas darteed aqoonsiga saameysan wuxuu u baahan yahay habka burinta iyo maaraynta fadhiyada ee geynta. RFC 5280 wuxuu qeexayaa xeerarka shahaadada iyo xaqiijinta waddada ee ka hooseeya waxan oo dhan. Kala sooc cusboonaysiinta caleenta caadiga ah iyo beddelka CA, si aan macmiillada looga codsan in ay aaminaan soo saare cusub sabab la'aan.