Labo shahaadooyin OpenVPN, hal magac CCD: maxaa qaldan

Laba shahaado macmiil oo leh lambarro taxane oo kala duwan, furayaal kala duwan iyo xitaa maadooyin buuxa oo kala duwan ayaa wali ku dhammaan kara hal fayl oo siyaasad ah, sababtoo ah serverku midna ma eego. Wuxuu magac ka akhriyaa shahaadda oo wuxuu furaa faylka habaynta macmiilka ee u dhigma. Haddii labada shahaado ay qaadaan isla magaca, ta labaad waxay dhaxalataa siyaasadda ta koowaad isla markii ay xirmaan.

Isqabadhka waxaa la abuuraa marka la diiwaan gelinayo oo waxaa la ogaadaa oo kaliya marka la xirmayo, badanaa marka qalabku helo cinwaan ama qayb dariiqooyin ah oo ka tirsan mishiin kale. Ka hortagga macnaheedu waa in la isku raaco goobta serverku sawiro, ka dibna qiimahaas la kaydiyo ka hor inta aan wax la saxeexin.

Qalabkaaga shahaadada kuma digniin doonaan, sababtoo ah gaar ahaanshaha gudaha X.509 iyo gaar ahaanshaha magac siyaasadeed OpenVPN waa shuruudo kala duwan oo ay fuliyaan nidaamyo kala duwan.

Serverku wuxuu raadiyaa magac, ma aha far-saxiix

Sawirka caadiga ah ee ku salaysan shahaadada, serverku wuxuu magaca guud ka qaataa shahaadda la soo bandhigay oo wuxuu ka raadiyaa fayl magacaas leh galka habaynta macmiilkiisa. Faylkaas wuxuu xajin karaa cinwaan taagan, wuxuu riixi karaa dariiqooyin ama wuxuu ku dabaqi karaa calaamado dab-damis macmiil kasta. Raadintu waa isbarbardhig xarfo ah oo la sameeyo magac fayl, sidaas darteed xajmiga xarfaha, bannaanada iyo calaamadaha oo dhan waa muhiim.

Qaar ka mid ah gelinta ayaa si ula kac ah u beddela sawirka si magac isticmaale la xaqiijiyay uu qaato magaca guud, markaasna magaca isticmaalaha ayaa ah kan gaar ahaan doona. Si kastaba ha ahaatee, qiimaha siyaasadda dooranaya waa qiimaha aad kaydiso. Go'aan ka gaar ka hor inta aad wax soo saarin; qiyaasidda isqabadh ka dib waxay ka qaalisan tahay weydiinta.

Halka laba hay'adood ku kulmaan isla magac

Hay'ad ka aqbashada shahaadooyin in ka badan hal hay'ad soo-saarid ah waxay maamushaa laba hannaan diiwaan gelin oo madax-bannaan oo ku qoraya hal meel magacyo ah. Sharciyada gaar ahaanshaha ee hay'ad kastaa waxay khuseeyaan gudaheeda, sidaas darteed labaduba waxay si sharci ah u soo saari karaan isla magaca guud iyada oo aan midkoodna wax qaldan ogaan.

Lambarro taxane ma caawiyaan. X.509 wuxuu dalbanayaa in lambarka taxanuhu gaar ka noqdo gudaha baaxadda soo-saaraha, taas oo ah sifo xisaabaadka hay'aas, ma aha aqoonsi caalami ah oo qalabka. Hubinta maadada sidoo kale waa imtixaan ka duwan hubinta magaca guud: laba shahaado ayaa wadaagi kara CN laakiin ku kala duwanaan kara unug hayadeed oo sidaas darteed qaadi kara maadooyin kala duwan. Dhammaan sifooyinkaas way waarikaraan iyada oo serverku wali labada shahaado u sawirayo hal magac fayl.

Dukumeentiga OpenSSL CA wuxuu daboolaa dejinta unique_subject oo maamusha aragtida kaydkeeda xogta, meesha bilowga daacadda ahna waa inaad akhrido habaynta soo-saaristaada halkii aad ka malayn lahayd in EasyRSA ama OpenSSL caado gaar ah uu khuseeyo.

Kaydi magaca waxtarka leh ka hor saxeexa

Hay diiwaan u sawira qalabka diiwaankiisa la ansixiyay iyo halkaas ilaa magac fayl siyaasadeed oo sax ah, si magac mar loo qoondeeyo oo uu qoondeysan sii ahaado. Kaydintu waa inay ahaataa mid atom ah, oo ficil ahaan macnaheedu yahay xaddidaad kayd xogta ama quful ku wareegsan tallaabada qoondee-kadib-saxeex, ma aha xaashi laba qof tafatiraan.

Kadib hubinta ka dhig qayb ka mid ah soo-saarista: diid saxeexa marka magaca la codsaday uu hore u jiro, oo ku dar hubintaas hay'ad kasta oo serverku aammino, sababtoo ah magac uu hay'adda kale kaydisay isna waa la qaatay. Codsi diidan oo sabab cad leh waa ka jaban yahay tikit ku saabsan qalab si joogto ah u helaya cinwaanka taagan ee qof kale.

Cusboonaysiintu si ula kac ah ayay magac dib u isticmaashaa

Dib u soo saarista qalab jira waa inay soo saarto lambar taxane cusub isla magaca siyaasadda, taasna waa dib u isticmaal sharci ah ma aha isqabadh. Waxa ka hor loo go'aansan doono waa isdhaafidda: in shahaadda hore iyo tan cusub ay wada ansax noqon karaan, iyo sida aqoonsiga hore loo casilo.

Ha u gacan gelin duplicate-cn si tan loo xalliyo. Ikhtiyaarkaas serverku wuxuu maamulaa xiriiro isku mar ah oo soo bandhiga isla magaca; ma xidho diiwaan gelinta, oo daarnaatidiisa ma ka dhigto hal cinwaan taagan oo la wadaago mid ammaan u ah laba mishiin isku mar. Tirtiriddu badanaa waxay shahaadda ku aqoonsataa soo-saare iyo lambar taxane, sidaas darteed casilidda aqoonsiga hore ma aha inay buro beddelkiisa ilaa serverku helo oo fuliyo xogta tirtiridda saxda ah.

Xaqiiji sawirka qalabka mishiinka ku jira

Ka hor inta aad qalabka siiso aqoonsigiisa cusub, magaca ka akhri shahaadda sida serverku u akhrin doono, kadibna la barbardhig faylka siyaasadda aad filayso in la doorto.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Amarka ugu horreeya wuxuu goobaha maadada ku daabacaa si gooni ah, taas oo unug hayadeed lumay ama bannaan labanlaaban isla markiiba muuqdaan. Kan labaad wuxuu xaqiijinayaa in fayl siyaasad uu jiro isla magacaas, kan saddexaadna wuxuu muujinayaa haddii serverku u habaysan yahay inuu oggolaado fadhiyo badan hal magac. Saddexda ku socodsii shahaado cusub ka hor inta ay ka baxdo tallaabada diiwaan gelinta, iyada oo khaladku wali uu qiimo yahay saxeex halkii dhacdo. Kaydi natiijada tikitka la socota si qofka xiga uu u arko magaca serverku dhab ahaan helay.

Ku dhammee xiriir dhab ah oo barbardhig cinwaanka la qoondeeyay iyo dariiqooyinka la riixay faylka siyaasadda, ma aha wixii aad ku talo jirtay inaad qorto. Haddii laba qalab ay soo sheegaan isla cinwaan taagan, diiwaanku waxaa ku jira isqabadh aan wax hubin shahaado ah waligood muujin doonin.