Shahaadada VPN ee is-saxeexan: waxa ay ka dhigan tahay iyo waxa ay aaminsan tahay

Halkan laba aaminaad ayaa sameeya waxyeellada ugu badan: in shahaadada VPN ee is-saxeexan ay ka dhigan tahay in tunnel-ka aan la sirin, iyo in rakibidda wax kasta oo macmiilka VPN uu codsaday ay saameynayso oo keliya VPN-ka. Midkoodna kama badbaado la kulanka deployment dhab ah. Shahaadada is-saxeexan waxay qeexdaa xiriirka saxeexa, ma aha go'aanka amni, iyo baaxadda aaminnada aad ku dartay waxay ku xiran tahay kaydka ay ku dhacdo. Waxaan arkay helpdesk oo u soo dejiyay xididka bixiye Windows mishiin si uu u aamuso hal digniin, ka dibna galabta oo dhan ku qaatay sharraxa why browser-ku u joojiyay ka cabashada portal aan xiriir la lahayn. Labada qaybood ee su'aashan waxay wada jiraan, markaa u qaado mid.

Shahaadadu ma aha kayd aamin

Faylka uu server-ku soo bandhigo waxa uu qaadaa fure dadweyne, magaca mawduuca, magaca soo saaraha, taariikhaha ansaxnimada iyo kordhinta. Is-saxeexan macneheedu waa mawduuca iyo soo saaraha waa isku halbeeg oo saxeexa lagu xaqiijiyo furaha shahaadada lafteeda. Waxba kama jiraan qeexitaankaas ma sheegayo in xiriirku daciif yahay, waxnana ma sheegayo in macmiilku aqbali doono.

Aqbalidda waxay ka timaadaa meel kale: fayl CA oo aad macmiilka u tilmaanto, faraha oo aad gacanta ku barbardhigto, ama xidid horey u fadhiya kayd uu macmiilku akhriyo. Deployment-ku si buuxda ayuu u caafimaad qaban karaa iyadoo shahaadadiisu ku dhici lahayd imtixaan kasta oo dadweyne. openssl verify oo ka soo horjeeda xidhmada nidaamka waxa uu soo sheegayaa soo saare aan la aqoon, warbixintaasina waa sax, ma aha cillad.

Ikhtiyaarka ca ee OpenVPN waa kiiska ugu cad ee aamin ku eg codsiga. Faylkaas waxa uu magacaabaa barroosinnada macmiilku aqbali doono, waxana uu ku jiri karaa hal CA gaar ah ama deployment yar dhexdiisa shahaadada is-saxeexan ee server-ka laftiisa. Nooca 2.6 waxa uu kaloo aqbalaa --peer-fingerprint si loo dhejiyo faraha SHA-256 halkii la qaybin lahaa fayl CA. WireGuard ayaa ka sii fog: shahaado ma laha haba yaraatee, kaliya fure dadweyne oo taagan mid kasta oo lammaane ah, sidaas darteed su'aasha is-saxeexan kuma khusayso.

Halka aad aaminnada ku rakibto ayaa go'aamisa cidda dhaxli doonta

Isku kayd meelaha saddexda ah oo waxaad helaysaa saddex gacan oo qarax oo kala duwan. Xidhmada oo kaliya macmiilka VPN akhriyo waxay saameynaysaa macmiilkaas. Xidid ku jira kaydka nidaamka hawlgalka waxa uu saameynayaa barnaamij kasta oo la tashada kaydkaas. Browser leh kayd aamin oo u gaar ah ayaa laga yaabaa inuu iska indhatiro labadaba, taasina waa sababta digniin uga badbaadi karto soo dejinta oo u muuqatay inay shaqaynayso.

Debian ama Ubuntu, fayl ku rididda /usr/local/share/ca-certificates/ iyo socodsiinta update-ca-certificates waxay beddelaan xidhmada nidaamka oo dhan. Windows, certutil -addstore -f Root waxa uu wax ku qoraa kaydka mishiinka waxana uu u baahan yahay amarro sarreeya, halka ku darista -user ay bartilmaameedsanayso kaydka isticmaalaha hadda; labaduba ma kala beddelmi karaan. Firefox waxa uu hayaa kayd NSS u gaar ah, sidaas darteed soo dejinta heerka OS laga yaabaa in aanay waligood halkaas ka muuqan.

Baaxaddu waxay muhiim tahay sababta waxa ay hay'ad sameyn karto. CA soo saarta waxay saxeexi kartaa magacyo aanay xiriir la lahayn, sidaas darteed wax kasta oo aaminsan kaydkaas ayaa aqbali doona saxeexaas. Hal blad oo dhejisan ma samayn karto taas; waxa ay xaqiijisaa aqoonsi lammaane oo si sax ah. Haddii yoolku yahay in hal VPN la xidho, CA ku eg codsiga ama blad dhejisan ayaa gaadha, halka xidid mishiin-ballacan uu yahay tanaasul aad uga weyn waxa calaamaddu u baahan tahay.

Weli waxaad sirinaysaa iyada oo aan lahayn CA dadweyne

Gacan-gacanka TLS waxa uu soo saaraa furayaasha fadhiga, ha ahaato shahaadada lammaanaha inay silsilad ku xiranto wax aad horey u aamintay ama maya. Is-saxeexan macneheedu ma aha qoraal cad, mana aha in gaadiidka la akhrin karo inta uu duulayo. Waxa ay ka dhigan tahay in macmiilku aanu horey u lahayn sabab uu ku aamino in furaha uu ka tirsan yahay server-ka uu codsaday.

Faraqaas ayaa ku nool weerarrada dhabta ah. Macmiil loo habeeyay inuu aqbalo shahaado kasta, ha ahaato dejinta hubinta oo damisay ama badhan «weliba aamin» oo hal mar la riixay oo la illoobay, waxa uu si farxad leh u sirin doonaa qof kasta oo jawaaba. Dhexgalku waxa uu dhacaa tallaabada xaqiijinta, ka hor inta aan xogta codsiga dhaqaaqin. Sirin la'aan hubin aqoonsi waxa ay ka hayso goobjooge aan firfircoonayn banaanka oo wax kale yar samaysa.

Aaminta soo saaraha kama booddo hubinta magaca

Hubinta silsiladda, isbarbardhigga magaca iyo ujeeddada shahaadada waa go'aamo kala duwan. Silsiladdu waxay ansax noqon kartaa iyadoo magacu khaldan yahay, magacuna waxa uu isbarbardhigi karaa iyadoo shahaadada loo soo saaray door kale. RFC 5280 waxa uu qeexaa goobaha sida u qaada xaddidaadahaas, iyo sida adag ee macmiilku u dhaqangeliyo waa arrin codsi kasta leh.

OpenVPN waxa uu kala-qaybinta ka dhigaa mid muuqata. verify-x509-name waxa uu dhejiyaa mawduuca la filayo iyada oo loo marayo isbarbardhigga name, name-prefix ama subject. remote-cert-tls server waxa uu u baahan yahay in shahaadada lammaanaha ay tahay mid loo isticmaali karo shahaadada server, taas oo diidda shahaadada macmiil-kaliya xitaa marka soo saaraha la aamino. Midkoodna dejinta lama beddelo iyada oo la diro fayl CA.

Baadh shahaadada ka hor inta aadan wax go'aansan:

• openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName waxa uu muujinayaa cidda soo saartay, magacyadee iyo ilaa goorma.
• openssl verify -CAfile ca.crt server.crt waxa uu hubinayaa in silsiladda aad diraysato ay dhab ahaan ansixiso bladka.
• openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -CAfile ca.crt -verify_return_error waxa uu u shaqeeyaa TLS-meelaha ugu dambeeya sida portal web; borotokoolka OpenVPN ee 1194 ma aha qulqul TLS caadi ah, sidaas darteed imtixaankaas halkaas kuma khusayso.

Shahaado leh taariikh dhacday, aan lahayn subjectAltName magaca aad ku xiranto, ama aan lahayn isticmaalka serverAuth way guuldareysataa iyada oo aan loo eegin sida taxaddar leh ee barroosinka loo rakibay.

Shan hubin ka hor inta aadan mid aqbalin

Isbarbardhig faraha iyada oo loo marayo kanaal aan ahayn xiriirka aad isku dayeyso inaad dayactirto: console, rakibiye horey u heysata, fayl qaabeynta la saxeexay. openssl x509 -in server.crt -noout -fingerprint -sha256 server-ka iyo isla qiimahaas log-ka macmiilka ayaa ku filan inaad ogaato inaad eegayso hal shay.

Marka xigta, go'aanso waxa aad rakibayso: hal blad, ama hay'ad soo saari kartaa wax badan. Kadib go'aanso halka ay tagayso, oo magacow codsiyada akhriya kaydkaas. Qor waddada ka-saaridda inta aad weli xusuusato, sababta aamin-o-sii-socod ayaa ah sida soo dejinta ku-meel-gaar ah ay u noqoto mid joogto ah.

Ugu dambayn, qorshee isbeddelka. Shahaado ama faraha dhejisan waa in lagu cusboonaysiiyo isla kanaalka la aamino marka shahaadadu ay wareegto, CA gaarna waxa uu leeyahay meertada nololeed ee soo saarista iyo baabi'inta u gaar ah. Haddii furaha gaarka ah uu daato, dib-u-aamin nuqul ka mid ah isla shahaadada waxba ma hagaajiyo; aqoonsiga waa in la beddelo.

Haddii digniin ka badbaado shanta hubin oo dhan, su'aasha faa'iidada leh ma aha badhankee aamusiya, laakiin waa kaydka kee uu macmiilku dhab ahaan akhriyo iyo halka xididkaas ka yimid. Ka jawaab taas, oo soo dejinta aad qabanaysid waxay noqonaysaa go'aan halkii ay ka ahaan lahayd falcelin.