Macmiil la baabi'iyay wali wuu isku xiraa: liistada waligeed ma iman

Baabi'in waligeed ma gasho tunnel socda si ay u tirtirto fadhi. Liistadu waa gelinta hubinta shahaadada waxaana la eegaa inta lagu jiro isweydaarsiga kanaalka kontoroolka ee bilaabaya fadhi TLS. Xaqiiqadan keliya waxay sharraxdaa labada yaab: macmiil la baabi'iyay wuu dib u xirmayaa sababtoo ah liistadu waligeed ma gaadhin hubiyaha, fadhina jiraa wuu sii noolaanayaa sababtoo ah qofna waxba dib uma hubin.

Liistadu waa gelin, ma aha fal

Marka fadhi la dhisayo serverku wuxuu hubiyaa shahaadada macmiilka marka loo eego ankkada kalsoonida, amarna baabi'intu waxay go'aankaas ku daraysaa raadinta liistada. Hubintu waxay ku dhacdaa serverka, sidaas darteed macmiilku ma arki karo in shahaadadiisa la baabi'iyay oo wuxuu sii bixiyaa isla shahaadadaas. Sidaas darteed profile wali isku xiraya wuxuu kaliya caddeeyaa in hubiye qaar uu silsiladda aqbalay, ma aha in baabi'intu guul darreysatay.

Liistadu lafteedu waa shay saxeexan oo leh taariikhda soo saarista iyo taariikhda cusboonaysiinta xigta. Liistada aan la xiriirin, mid ay saxeexday hay'ad kale ama mid ay taariikhda cusboonaysiinteeda xigta dhaaftay ma beddelin tan hadda, iyo haddii liistada duugoobay la diido ama si aamusan loo aqbalo waxay ku xiran tahay baahinta.

Xiriir cusub iyo fadhi socda

Baabi'inta waxaa la qiimeeyaa marka fadhi la dhiso ama dib looga wada hadlo, ma aha kanaalka xogta paket kasta. Macmiil horey u xirmay wuxuu hayaa fureyaasha socodka, sidaas darteed wuxuu sii mariyaa paketada ka dib marka shahaadadiisu ka muuqato liistada. Inta u dhaxaysa dib-u-wadahadalka caadiga ah waxaa lagu cabbiraa saacado, sidaas darteed liistada cusboonaysiinta ah waxay u shaqayn kartaa kuwa cusub inta tunnel socda uu sii jiro.

Dhaqangelinta degdega ah waxay u baahan tahay ficil ula kac ah ee ma aha liistada oo keliya. Dib u bilowga adeegga wuxuu qasabaa macmiil kasta inuu dib u xirmo, halka joojinta hal fadhi iyada oo loo marayo interface maamulka ay ka tagto kuwa kale aan la taaban. Mid kasta oo dhacdo dooro oo qor midka aad isticmaashay. Labada ikhtiyaar waxay leeyihiin saameyn kala duwan, waana go'aanka dhabta ah.

Gaarsii faylka hubiyuhu dhab ahaan akhriyo

Liistada waa in laga abuuraa diiwaanka hay'adda ka dibna loo koobiyaa mishiin kasta oo hubiya shahaadada. In laga abuuro host-ka CA oo aan waligeed lagu rakibin serverka waa guul darrada ugu caansan, waxayna u egtahay sida sax ah sifo baabi'in oo jaban.

ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pem

Laba faahfaahin ayaa go'aamisa haddii faylka dhab ahaan la akhriyo. Waddada qaraabada ah waxaa lagu xalliyaa marka loo eego galka habaynta, sidaas darteed koobi lagu reebay guriga hawlwadeenka ayaa laga yaabaa inaan waligeed la helin. Daemon-kuna badanaa wuxuu ka tanaasulaa mudnaanta kadib bilowga, sidaas darteed akoonka socodka wuxuu u baahan yahay fasax raadin galka waalid kasta iyo fasax akhrin faylka. Labadaba ku hubi akoonka socodka ee ma aha root, haddii kale imtixaanku wuxuu caddeeyaa wax qaldan.

Host-yada systemd unit adkaysan karaa wuxuu kaloo qarin karaa waddada, iyada oo leh arag akhris-kaliya ama galka nidaamka la ilaaliyo. Gudaha adeegga lama kala garto fayl maqan, sidaas darteed hubi xaddidaadda unit ka hor intaadan raadin khalad oggolaansho. Akhri faylka unit ka hor intaadan eedayn qaabka faylka.

Ku xaqiiji serverka, ee ma aha macmiilka

Diiwaanka serverku wuxuu magacaabaa waxa dhacay: furista liistada, rarista iyada ama hubinta oo guul darreysatay lambarka taxanaha la baabi'iyay. Macmiilku wuxuu soo sheegaa oo kaliya guul darreysi guud oo gacan-qaadis, sidaas darteed diiwaannada macmiilka waa meel xun oo lagu raadiyo go'aan baabi'in.

Ku hubi isku day cusub oo ka yimid profile la baabi'iyay kadibna joogso. Xiriir guuleystay oo ka yimid profile-kaas waa calaamadda in la baaro waddada faylka iyo akoonka socodka, ee ma aha in loo maleyo liistada inay qaldanayd. Hayso isku daygaas guuleystay sidii imtixaan aqbal, oo ha tirin dib u xiriir aadan arag.

Wax aan waxba baabi'in

Tirtirista profile-ka laptop, ka saarista faylka shahaadada macmiilka ama u sheegista isticmaalaha inuu joojiyo xirista waxba kama beddelo serverka. Shahaadadu way sii ansaxnaanaysaa ilaa hay'addu ay diiwaangeliso baabi'inta oo hubiyuhu akhriyo liistada ka dhalatay.

Taas ayaa ah sababta silsiladda loo qorayaa: diiwaangeli baabi'inta, abuur oo saxeex liistada, qaybi faylkaas si sax ah, oo xaqiiji in akoonka adeeggu akhriyi karo. Xiriir kastaa wuu gaaban yahay, mid kasta oo maqan wuxuu ka tagaa macmiil la baabi'iyay isagoo faraxsan isku xiraya. Liis-dhamaad ka kooban afar sadar ayaa ka fiican mala-awaal aan sadar lahayn.