Furaha gaarka ah ee VPN meeshee ku noolaataa: fayl, CNG ama TPM?

Laba su'aal ayaa go'aamiya halka furaha gaarka ah ee VPN ku habboon yahay: in maaddada furaha laga koobi karo martigeliyaha, iyo in habsocod u isticmaali karo iyada oo aan qofna ku jirin kiiboodhka. Calaamadda suuqgeynta ee kaydka midkoodna kama jawaabto. Daemon-ka tunnel-ka ee dib u soo noqonaya kadib dib u bilow wuxuu u baahan yahay isticmaalid la'aan ilaalin, taas oo meesha ka saarta wax kasta oo ku xiran PIN uu qof qoro.

Dooro inta u dhaxaysa koobid iyo isticmaal

Koobidda iyo isticmaalku si kala duwan ayay u guuldareystaan, sidaas darteed u qaado laba shuruudood halkii mid. Weeraryahanka akhrin kara baytiga furaha wuxuu aqoonsiga u guuriyaa martigeliye kale, mashiinka asalka ahna ma ogaado. Weeraryahanka aan akhrin karin baytiga laakiin gaara habsocodka saxeexa wali wuu xaqiijinayaa inta helitaankaas jiro.

Furaha faylka ku jira si fudud ayaa loo koobiyaa, sidaas darteed sidoo kale waa kan ugu fudud ee dib loo kaydiyo loona soo celiyo. Kaydka furaha software-ku wuxuu beddelaa API, ma aha xadka: bixiyuhu wuu diidayaa wicitaannada dhoofinta ee u gaar ah, laakiin isla macnaha maamulaha ee furaha rakibay ayaa badanaa leh waddooyin kale oo xagga maaddada ah. Aan la dhoofin karin ee bixiyaha software-ku waa bayaan ku saabsan hawlgallada la taageeray, ma aha caddayn derbi hardware ah. U qaado inuu yahay xannibaad ka hortagga koobidda caadiga ah, ma aha difaac ka hortagga qof horey u haysta fadhiiskaaga.

TPM ama kaarka casriga ah wuxuu hawlgalka saxeexa ku fuliyaa gudaha hardware-ka oo kaliya natiijada soo celiyaa. Taasi waxay xidhaa wadada koobidda, wadada isticmaalkana waxay u furan tahay wax kasta oo codsan kara saxeex.

Is waafaji kaydka iyo daemon-ka tunnel-ka

Daemon-ku wuxuu tan ka xaddidaa si ka badan siyaasadda amniga. WireGuard wuxuu qaataa fure gaar ah oo base64 ah fayl ama gelinta wg set mana laha waddo xagga kaydka shahaadooyinka, sidaas darteed furaha interface-ka ee TPM taageero leh lama tixgelinayo. OpenVPN oo ka dhisnaa OpenSSL 3 wuxuu fure ku rari karaa URI bixiye, strongSwan-na waxay bixisaa plugin TPM oo ay la socoto taageerada PKCS#11, laakiin labaduba waxay ku xiran yihiin sida xirmadaada loo soo ururiyay.

Daemon aan gaari karin kaydka la doortay wuxuu xadka hardware-ka ka dhigaa qurxin. Qof ayaa furaha hal mar dhoofiya, fayl ku dhex reeba, qeybta kale ee naqshadda si aamusnaan ah ayay ugu shaqaysaa koobkaas.

Cusboonaysiintu waa qeybta kale ee is waafajinta, halkaasna ayaa inta badan naqshadaha burburaan. Kayd shaqeeya marka hore la diiwaangeliyo laakiin u baahan gelitaan console marka la soo saaro mar kasta ayaa la dhaafi doonaa markii ugu horeysa ee shahaadadu ku dhamaato saacad aan ku habboonayn. Tijaabi wadada soo saarista inta furaha hadda jira uu weli leeyahay bilo.

Liis-garee furaha ka hor guuritaanka

Diiwaangeli waxa furaha yahay iyo halka uu ku nool yahay ka hor inta aanad beddelin, sababtoo ah guurida lumisa subject alternative names waxay tunnel-ka u jebisaa si loo akhriyo khalad marin ah. Soo saar shahaadada, xaqiiji in furaha gaarka ah laga akhriyi karo halka daemon-ku filayo, oo hubi in lammaanuhu runtii is waafajiyo.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

Labada soo koobid ee ugu dambeeya waa inay isku mid noqdaan. Haddii aanay ahayn, daemon-ku wuu dhammeeyaa habaynta kadibna wuu ku guuldareystaa isku day kasta khalad shahaado ama saxeex ah oo aan meelna u jeedin sababta dhabta ah. U dhigma WireGuard wuu gaaban yahay, sababtoo ah furaha dadweynaha si toos ah ayaa laga soo qaatay kan gaarka ah: wg pubkey < /etc/wireguard/wg0.key waa inuu daabacaa furaha lammaanaha ee server-kaagu horey u kaydiyay.

Oggolaanshaha waxay ka tirsan yihiin isla liiskaas. stat -c '%a %U:%G' /etc/wireguard/wg0.key waa inuu soo celiyaa 600 root:root, wax kasta oo koox ama adduunku akhriyi karo waxay la macno tahay furaha horey ayay ugu furnaayeen habsocodyo aadan waligaa u qasdin.

Hubi kaydka iyo wadada isticmaalka

Xaqiijintu waxay leedahay saddex qaybood, tan saddexaadna waa tan la boodaa. Xaqiiji in furaha uu ku jiro kaydka aad dooratay, xaqiiji in daemon-ku raray furahaas ee aan ahayn koob hadhay, kadibna xaqiiji inuu wali bilaabmo marka artefakt-ka dhoofintu maqan yahay.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Windows-ka amarka ugu horreeya wuxuu liis-gareeyaa kaydka gaarka ah oo daabacaa bixiyaha furaha agtiisa gelin kasta, halkaasna waxaa ka soo muuqda shahaado u muuqata mid hardware taageero leh laakiin fadhiisata bixiyaha software-ka. Tan labaad waxay liis-gareysaa furaha uu hayo bixiyaha kriptografi ee madal, sidaas darteed aqoonsi VPN oo halkaas maqan iyadoo shahaadadiisu jirto waxay la macno tahay qeybta gaarka ah meel kale ayay ku nooshahay. Irridda Linux ipsec listcerts waxay soo sheegtaa waxa strongSwan rartay, oo ay ku jiraan furaha ka yimid plugin-ka TPM. Is barbardhig faraha ama hash-ka furaha dadweynaha liiska halkii aad ka aamin lahayd tirada gelinnada.

Tijaabada taban waa tan caddeysa naqshadda. U rar furaha la dhoofiyay meel ka baxsan gal-dhexe habaynta daemon-ka, dib u bilow adeegga, oo akhri diiwaanka aqoonsiga uu soo bandhigayo. Tunnel-ka si kastaba u kaca waxa uu isticmaalayaa kaydka; bilowga guuldareystay waxay la macno tahay naqshaddu runtii waxay ku shaqaynaysay koob.

Qor cusboonaysiinta iyo dib u noqoshada

Dib u noqoshada aad bay ugu kala duwan tahay labada qoys, kala duwanaanshahaasna waxaa iska leh qoraalka naqshadda, ma aha wicitaanka dhacdada. Furaha faylka waa la kaydin karaa isagoo sir ah oo la soo celin karaa, sidaas darteed guurid guuldareysatay waa la beddeli karaa. Furaha aan la dhoofin karin haba yaraatee lama kaydin karo, taas oo soo saarista iyo dib u diiwaangelinta ka dhigta wadada kaliya ee soo kabashada marka qalabku dhinto.

Hubi dhicidda ka hor inta aanay noqon xannibaad: openssl x509 -in vpn.crt -noout -checkend 2592000 wuxuu ku dhammaadaa kood aan eber ahayn marka shahaadadu ku dhammaato soddon maalmood gudahood, sidaas darteed si toos ah ayay u gashaa hubinta ilaalinta. Toddobaad kasta oo la socodsiiyo khadkaas waxay qabataa cusboonaysiinta aan qofna qorsheynin.

Ka saarista waxay ku dhacdaa server-ka: tirtir lammaanaha ama buri lambarka taxanaha, kadibna xaqiiji in tunnel-ku guuldareysto, sababtoo ah macmiil leh fadhi kaydsan ayaa qarin kara burin badh dhammaystiran muddo. Burinta waa inay sidoo kale gaartaa wadada CRL ama OCSP ee ururiyaha, ma aha oo kaliya keydka xogta CA. Shahaadadu waa dukumeenti dadweyne, profile-ka RFC 5280 wuxuu daboolaa sida loo xaqiijiyo; wax ka mid ah xaqiijintaas ma difaaco fure gaar ah oo la koobiyay ka hor wareegga.

Ku qor go'aanka hal meel: kaydkee furaha haysta, habsocodkee isticmaali kara, yaa dib u soo saari kara iyo dib u noqoshada waa maxay. Cutubkaas waa waxa ay weydiiyaan hantidhawrka, waana waxa ka badbaada isbeddelka shaqaalaha.