Waxa uu macmiilkaaga VPN hubiyo ka hor inta uusan aamin sanadka

Macmiilkaaga VPN wuxuu sheegayaa in sanadka aan la xaqiijin karin, oo wadahadalku halkaas ku joogsadaa. Faylku wuu jiraa, serverku wuu shaqeynayaa, isla borofaylkaasna bishii hore waxa uu ka shaqeeyay laptop kale. Hoosta digniintaas hal sadar ah macmiilku wuxuu sanadka lammaanaha mariyay afar irridood: hay'adda shahaado bixinta ee aad habaysay waxay dammaanad qaadaysaa marinka saxeexa, marinkaas wuxuu gaaraa hay'adda, magaca lammaanuhu waa kan aad codsatay, sanadkuna hadda waa mid u habboon ujeeddadan. Hel irridda xidhnayd oo hagaajintu badanaa waa hal fayl; haddii aad tallaabadaas dhaafto waxaad dib u soo dejisan doontaa xirmooyinka duhurnimada oo dhan.

Akhri wadahadalka ka hor inta aadan tafatirin borofaylka

Qoraallada khaladaadka sanadka waxaa qora maktabadda hoose, ma aha badeecada VPN ee aad rakibtay, sidaas awgeed xarafka saxan waa caddayntaada ugu horreysa. «Lama heli karo sanadka soo saaraha maxalliga ah» wuxuu tilmaamayaa marinka ama aaminka kalsoonida. «Sanadku wuu dhacay ama weli ma ansaxna» wuxuu tilmaamayaa waqtiga. «Ujeeddada sanadka lama taageero» waxay tilmaamaysaa isticmaalka furaha ee la ballaariyay. Magaca aan is waafaqsanaa wuxuu kuu sheegayaa magaca la rabay. Mid ka mid ah afarta lama hagaajiyo iyadoo macmiilka dib loo rakibo.

Kor u qaad heerka diiwaangelinta ka hor inta aadan wax beddelin. OpenVPN wuxuu soo sheegaa guuldarada xaqiijinta agagaarka gacan-qabsiga marka aad ku socodsiiso --verb 4, strongSwanna go'aannadiisa aqoonsiga iyo silsiladda wuxuu ku qoraa diiwaanka charon. Kadib xaqiiji sanadka aad baarayso, sababtoo ah dadku waxay caadi ahaan tijaabiyaan faylka diskiga inta borofaylku soo dhex gelinayo nuqul duug ah. Marka borofaylku soo dhex geliyo balaadhyada PEM, sanadka dhexda ku jira ayaa la tijaabiyaa.

Hay'adda shahaado bixintu waxay saxeexdaa aqoonsiyo, ma aha fasaxyo

Hay'addu waxay haysataa magac iyo fure saxeex. Waxay soo saartaa sanado ku xira fure dadweyne magacaas iyadoo raacaysa siyaasaddeeda, oo ay la socdaan muddo ansax iyo xaddidnaansho isticmaal. Macmiilkaagu wuxuu u baahan yahay oo kaliya sanadka hay'adda si uu u aqoonsado soo saaraha; waligiis uma baahna furaha saxeexa, iyo furahaas u diridda macmiillada waxay siin lahayd awood ay ku abuuraan aqoonsi kasta oo hawlgalka uu aamino.

Aaminaad hay'ad waxay ka dhigtaa sanad kasta oo ay saxeexday musharrax, ma aha lammaanaha saxda ah. Sanadka serverka shabakadda ee isla CA gudaha ah isna waa musharrax. Taas ayaa sabab u ah irridaha magaca iyo ujeeddada, taasna sabab u ah fure CA oo la waxyeeleeyay uu ka muhiimsan yahay server kasta oo keligiis ah: wuxuu gaaraa aqoonsi kasta oo hay'addu waligeed soo saartay. U qaybi sanadada macmiillada qalab kasta, si laptop lumay ay noqoto hal burin halkii ay ahaan lahayd dib u habeyn fure oo hawlgalka oo dhan.

Dib u dhis marinka uu macmiilku isku dayayo in uu dhiso

Marinku wuxuu ka bilaabmaa sanadka lammaanaha, wuxuu maraa eber ama in ka badan oo sanado dhexe ah, wuxuuna gaaraa xidid ku yaal keydkaaga kalsoonida. Sanadka dhexe ee maqan waa cilladda silsiladda ugu badan, oo dhinaca macmiilka waxay u egtahay si la mid ah xidid aan la aaminin. Marka hore akhri caleenta, kadib u ogolow OpenSSL in uu dhisa marinka isagoo ka bilaabaya maaddada aad dooneyso in aad dirto.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Xaaladda bixidda eber waxay ka dhigan tahay in marinku ka dhisnaa faylashaas; guuldarradu waxay magacawdaa sanadka aan la gaari karin. Haddii openssl verify guulaysto inta macmiilku wali diidayo, farqigu wuxuu ku jiraa waxa serverku dhab ahaan diro ama faylka kalsoonida ee borofaylku soo rarto. OpenVPN sanadada dhexe waxay la socon karaan faylka sanadka serverka ama si gooni ah ayaa loo bixin karaa --extra-certs, xirmo leh laba xidid oo isla magaca mawduuca ku qoran waxay mid ka mid ah macmiilladaada u diri doontaa laan khaldan.

Magaca iyo ujeeddadu waa irrido gooni ah

Dhisidda silsiladdu waligeed ma weydiiso haddii magacu kaaga yahay. OpenVPN waxay hubisaa oo kaliya marka borofaylku dejiyo --verify-x509-name, iyo caadada hore ee ah in la is waafajiyo magaca guud oo kaliya waxay ku jabtaa sanadada aqoonsiyadoodu ku nool yihiin subjectAltName. Hawlgallada IKEv2 waxay is waafajiyaan aqoonsiga la habaysay gelitaanka SAN ama magaca kala duwan, iyadoo ku xiran macmiilka, qiimaha wildcard ama %any wuxuu aamusnaan damiyaa isbarbardhigga aad u malaynayay in aad haysato.

Kadib waxaa yimaada waqtiga iyo ujeeddada. Laptop saacaddiisu dhowr saacadood horay u socoto wuxuu diidaa sanad aan weli ansax ahayn, sanad dhexe oo dhacayna wuxuu buriyaa marinka inta caleentu ansax tahay. Guuldarrooyinka ujeeddadu waxay ka yimaadaan sanad aan lahayn serverAuth ee isticmaalka furaha ee la ballaariyay, ama keyUsage aan oggolayn saxeexa gacan-qabsiga, taas oo OpenSSL u soo sheegto ujeeddo sanad oo aan la taageerin. Dib u soo saar qaabka saxda ah; waxba kuma jiraan fariintaas sabab lagu damiyo xaqiijinta.

Burintu waxay shaqaysaa oo kaliya haddii qof uu habaystay

CRL ama jawaabta OCSP si otomaatig ah lama tashado. Serverka OpenVPN, sanadada macmiillada waxaa lagu barbar dhigaa liis oo kaliya marka --crl-verify uu tilmaamo mid. Hubinta sanadka serverka dhinaca macmiilka waxay ku xiran tahay hirgelinta oo inta badan maqan. strongSwan wuxuu u baahan yahay balaadhkiisa burinta iyo siyaasad ka hor inta uusan fiirin CRL lammaane.

Taas ayaa sharraxaysa tikitka aad ugu dambayn heli doonto: sanad macmiil oo la burtay wali wuu isku xiraa, qof walbana wuxuu gunaanadaa in burintu ay jaban tahay. Waxba ma hubinayay. Daabac oo cusboonaysii CRL, ama hay sanadada macmiillada mid gaaban oo ku filan in burin duug ah muddo gaaban muhiim noqoto, oo ku tababar marinka burinta sanad shaybaadh ah ka hor inta aadan u baahnayn inta lagu jiro dhacdo.

Nidaam hagaajin oo xaqiijinta daaran hayaa

U kala saar calaamadaha ka hor inta aadan taaban faylal, sababtoo ah saf kasta oo shaxda ka mid ah wuxuu kuu diraa shay kale.

Liiska ku mar hal mar: xaqiiji faylka uu borofaylku soo rarto, marinka adiga qudhaa dhis, hubi in serverku diro sanadka dhexe, is barbar dhig saacadda, akhri SAN, akhri EKU, kadib dib u xiriir oo daawan sida safka diiwaanka islaas uu u libdhayo. Haddii qalab aan si dhab ah loo siin karin CA, pinning waa beddelka daacadda leh, sababtoo ah OpenVPN 2.6 wuxuu aqbalaa --peer-fingerprint wuuna yareeyaa kalsoonida hal fure halkii uu ka tirtiri lahaa hubinta. Macnaha mid kasta oo ka mid ah goobahan waxaa laga helaa RFC 5280.