Waxa dhaca marka aad beddesho hay'adda shahaadada VPN

Beddelka hay'adda shahaadada VPN ma aha beddel fayl. Waqtiga uu CA cusub saxeexo shahaadadiisa ugu horreysa, qof kasta oo hubiya oo weli isku hallaynaya oo keliya tan hore waa inuu go'aan gaaro, martigeliyayaasha aan marnaba helin bar-tilmaameedka cusub waxay sii wadaan diidmada saaxiibbo wanaagsan. Waxaan arkay inay labada jiho u xumaato: albaabku wuxuu bartay CA cusub, macaamiishuna ma ay baran, sidaas darteed isku xirka cusub wuu guuldarraystay, halka tunnellada horay u kacay ay sii jireen oo ay curyaaminta u ekaato dhibaato habaynta. Waa tan waxa is beddela, sida ay u kala horreeyaan ciladaha.

Hal beddel, laba isbeddel oo gooni ah

Hay'adda shahaadada waa magac, fure dadweyne iyo furaha gaarka ah ee saxeexa. Hubiyayaashu marnaba isku hallayn maayaan «CA» si aan la taaban karin. Waxay isku hallaynaan hal shahaado gaar ah oo hore ugu jirta kaydka kalsoonida, oo waxay aqbalaan soo-saaraha kaliya haddii silsiladda saxeexyadu gaarto nuqulkaas la kaydiyay. Sidaas darteed beddelka CA wuxuu beddelaa laba shay oo si madax-bannaan u guuldarraysta: bar-tilmaameedyada la aqbalo iyo aqoonsiyada saaxiibka ee lagu soo saaray hoostooda.

Inta badan hirgelinta VPN waxay hubiyaan labada jiho. Macmiilku wuxuu xaqiijiyaa shahaadada albaabka, albaabkuna tan macmiilka. Beddelka kaliya cusboonaysiiya xidhmada macmiilka wuxuu u oggolaanayaa server-ka inuu diido macmiil kasta oo weli soo bandhiga aqoonsiga CA hore, taa lidkeeduna sidoo kale waa caadi. Marka hore liis garo meelaha fulinta: kaydka kalsoonida macaamiisha, faylka ca ee albaabka, proxy kasta oo TLS ku dhammeeya hortiisa, iyo baaritaanka ka eegaya barta ugu dambaysa dibadda.

Waxa hubiyuhu eego, sida ay u kala horreeyaan

Hubinta waddadu waxay ka soo kacdaa shahaadada saaxiibka iyada oo maraysa dhexdhexaadiyayaasha ilaa ay gaarto bar-tilmaameed la aamini karo. Tallaabo kasta waxay xaqiijisaa saxeexa, waxay eegtaa in shahaado kastaa ku jirto waqtigeeda ansaxnimada, waxayna xaqiijisaa in xaddidaadda aasaasiga ah iyo isticmaalka furaha ay u oggolaadaan soo-saaraha saxeex. Ka dib oo keliya ayaa barnaamijku eegaa shahaadada caleenta: magacyada beddelka ah ee mawduucu waa inay dabooshaan magaca la wacay, isticmaalka furaha ee la ballaariyayna waa inuu oggolaado xaqiijinta server ama macmiil.

Si aad ugu celiso safarkaas offline, u jeedi -CAfile xidhmada saxda ah ee aad geyn doonto, ma aha kaydka nidaamka. Haddii kale waxaad tijaabinaysaa martigeliyaha, ma aha isbeddelka:

openssl verify -CAfile new-ca.crt gateway.crt
openssl verify -CAfile new-ca.crt -untrusted intermediate.crt client.crt
openssl x509 -in gateway.crt -noout -subject -issuer -dates
openssl s_client -connect gw.example.net:443 -CAfile new-ca.crt

Amarkaas wuxuu kaliya ka shaqeeyaa dhageystaha TLS caadi ah sida bogga maamulka HTTPS ee albaabka; kanaalka kontoroolka OpenVPN wuxuu ka horreeyaa TLS, sidaas darteed s_client ma baari karo is-dhiibka tunnellada.

Xeerarka dhisidda waddada ee ka dambeeya khaladaas waxay ku jiraan RFC 5280 qaybta 6. Waxay sharraxaan guuldarrooyinka haddii kale u muuqda kuwo aan loo baahnayn: dhexdhexaadiye dhacay oo aan cidna xasuusan, shahaado isticmaalka furaheedu mamnuucaya saxeex, ama xaddidaad magac oo ka reebaysa martigeliyaha aad tijaabinayso.

Sababta tunnellada hore ay sii shaqeyso

TLS iyo OpenVPN labaduba waxay sii hayaan fadhi la aasaasay oo nool ka dib marka is-dhiibku dhammaado. Ma jiro wax dib u xaqiijiya shahaadada saaxiibka baakad kasta, sidaas darteed macmiil ku xirmay isbeddelka ka hor wuxuu sii marayaa taraafikada ilaa uu dib u gorgortamo, dib u xirmo ama tunnelladu dhacdo. Farqigaas ayaa sababa in beddelka CA uu saacad fiican u muuqdo kadibna ku guuldarraysto waqtiga ugu xun: laptop-ku hurdada ayuu ka soo toosaa, khariidadda NAT-ku way dhacdaa, albaabku dib ayuu u bilaabmaa.

Dib u bilaabista fadhigu waxay u sii dheereysaa khiyaaliga. Tigidhka fadhiga TLS wuxuu u oggolaanayaa macmiilka inuu soo noqdo isagoon dib u dirin shahaadooyinka, dib u bilaabistuna waxay dhaaftaa hubinta waddada sababtoo ah is-dhiibka koowaad hore ayuu u sameeyay. Sidaas darteed imtixaanka daacadda ah waa is-dhiib buuxa oo ku dhaca hannaan cusub. Dib u bilow macmiilka halkii aad dib u xiri lahayd tunnellada, oo profile tijaabo ah ka fiirso inaad damiso tigidhada si waddada dib u bilaabistu aysan u qarin karin silsilad jabtay.

Kala saar lakabka furaha taagan tan. tls-auth wuxuu kanaalka kontoroolka ku darayaa HMAC, tls-crypt wuu sireeyaa oo xaqiijiyaa, midkoodna ma qaado maaddada shahaadada, sidaas darteed wareegga mid kasta waa isbeddel gooni ah oo leh qaab guuldarro u gaar ah. Hirgelinta labada isku darsata waxay ku dhammaataa macmiil furahiisa taagan uu fiican yahay, shahaadadiisu duugowday, fariinta khaladkuna aan midkoodna sheegin.

Dabinka dib u isticmaalka magaca mawduuca

Waa lagu tijaabinayaa in dib loo isticmaalo magaca lagu gartay ee kii hore si aan waxba hoos u dhiman u beddelmin. Taasi waxay xasillooni u siinaysaa safka soo-saaraha ee is-dhexgalka waxayna baabbi'inaysaa signalka kaliya ee aad u baahan tahay. Laba shahaado oo mawduucyo isku mid ah iyo furayaal kala duwan leh laguma kala garto magac, sidaas darteed xidhmada labada bar-tilmaameed leh waxay hubiyaha siinaysaa laba musharrax oo aan lahayn xeer doorasho.

Markaas dhisidda waddadu waxay dooran kartaa midka khaldan, waxay soo sheegi kartaa «shahaadada soo-saaraha maxalliga ah lama heli karo» iyadoo bar-tilmaameedka saxda ah uu joogo, ama waxay ku guulaysan kartaa hal martigeliye oo ku guuldarraystaa mid kale oo isla xidhmadu uu hayo, sababtoo ah nidaamka musharraxiinta ayaa kala duwanaa. Haddii magaca si kale loo isticmaali karo, xilliga kala guurka ku hay labada bar-tilmaameed faylal gooni ah oo si cad u rar, kadibna isku dar marka saaxiib kastaa soo bandhigo soo-saaraha cusub. Haddii kale sii beddelka magac guud oo gooni ah — daba-gelinta jiil ama taariikh way ku filan tahay — si diiwaannada iyo qoraallada khaladku u sheegaan hay'adda uu saaxiibka guuldarraystay ku hoos soo baxay.

Wareeg aan shabakadda tuurin

Beddel la qorsheeyay, aqbal labada bar-tilmaameed muddo xaddidan halkii aad hal tallaabo ku beddeli lahayd. Soo saar CA cusub iyo dhexdhexaadiyayaasheeda, dhig bar-tilmaameedka cusub xidhmada hubiye kasta oo ku xigta kan hore, kadibna bilow soo saarista shahaadooyinka saaxiibka. Saaxiibbada aqoonsiyo hore leh waxaa lagu xaqiijiyaa bar-tilmaameedka hore; kuwa cusubi waxay ku shaqeeyaan kan cusub.

Haddii sidaas loo sameeyo, tallaabo kastaa waa la celin karaa. Guuldarrada aad ka fogaaneysid waa beddel isku mar ah: macmiilka seegay cusboonaysiinta xidhmada wuxuu la kulmaa albaab hore uga fadhiistay bar-tilmaameedka hore, is-dhiibku wuu dhintaa, oo ma jiro diiwaan sheegaya dhinac kee duugow.

U fadhiiso jihada ka soo horjeeda. Dib u soo saar aqoonsi kasta oo ay tahay inuu sii noolaado, xaqiiji in mid kastaa soo bandhigo silsiladda cusub, kadibna ka saar bar-tilmaameedka hore xidhmada. Ka saar adeegga furaha gaarka ah ee CA hore, sababtoo ah soo-saare weli saxeexi kara macneheedu waa wareeggu ma dhammaanin. Kaydi shahaadooyinka iyo diiwaannada soo-saarista si loo hantiyo. Soo-saare lumay waxaa lagu soo celiyaa isla kalsoonidaas; soo-gaadhista waxay u baahan tahay aqoonsiyo cusub oo aan dib ugu noqon bar-tilmaameedka hore.

Xaqiiji natiijada, ma aha liiska faylalka

Fayl kalsooni oo ku jira galka la filayo wuxuu caddeeyaa wax yar. Barnaamijku wuxuu akhriyi karaa waddo kale, qaab kale ama nuqul ku jira xidhmo uu casriyeyn beddelo. Baadh dhaqanka labada daraf, ma aha jiritaanka fayl.

Xaqiiji in isku xir cusub oo aqoonsi cusub leh uu guulaysto, kadibna xaqiiji in aqoonsiga uu soo saaray CA fadhiistay la diido. Imtixaanka labaad ayaa ah kan dadku seegaan, waana kan kaliya ee muujiya in hay'adda hore aysan mar dambe gelitaan siinin. Meesha hirgelintu ku tiirsan tahay CRL ama OCSP, hubi in qodobbada qaybinta ee shahaadooyinka cusub la xalliyo iyo in saaxiibbada wax weydiiya ay gaaraan jawaab-bixiyaha.

Ku dhammee macmiil aan waligiis xirmayn: tirtir xaaladda profile-kiisa, xir, oo akhri silsiladda la gorgortay. Saaxiib dib u bilaabaya fadhi kaydsan wuxuu farxad ku soo sheegayaa in guuritaanku guulaystay isagoo aan waxba xaqiijin.