Cili skedar CA futet në një profil OpenVPN vetëm me fjalëkalim?

Kaloni nëpër katër pyetje me radhë dhe dialogu CA nuk është më i dykuptimtë. Çfarë materiali lëshoi në të vërtetë operatori, çfarë përmban tashmë profili, cila fushë pyet dhe çfarë ndodh pasi ngarkohet skedari? Ndaloni në pyetjen e parë të cilës nuk mund t'i përgjigjeni nga udhëzimet e vetë operatorit, sepse hamendësimi përtej saj është pikërisht rruga me të cilën një certifikatë CA publike përfundon e çiftuar me një çelës privat që nuk duhej të kishte dalë kurrë nga serveri.

Rendi ka rëndësi: dy pyetjet e fundit kanë kuptim vetëm kur e dini se cili material duhet të ekzistojë.

Filloni me atë që profili mbart tashmë

Hapni profilin në një redaktor teksti dhe kërkoni një bllok ca përpara se të kërkoni një skedar. Një bllok ca i integruar që mban CA publike të operatorit do të thotë që profili është i vetëmjaftueshëm, dhe një klient që ende kërkon një skedar CA mund të lexojë një profil tjetër ose një import të paplotë. Nëse profili ka në vend të kësaj një rresht ca që tregon një shteg, ai shteg është relativ ndaj drejtorisë së punës së klientit në disa integrazione dhe absolut në të tjera. Shënoni cilën formë keni përpara se të ndryshoni çdo gjë.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kontrolloni paketën e dorëzuar për skedarët të cilëve profili u referohet: një certifikatë CA, ndonjëherë një certifikatë klienti dhe çelës të veçantë, dhe ndoshta një skedar tls-auth ose tls-crypt. Një profil që referon katër skedarë por vjen me dy është i paplotë, dhe asnjë sasi e tregimit të fushave nuk e rregullon atë. Kërkoni nga operatori pjesën që mungon në vend që ta zëvendësoni me një certifikatë që e keni rastësisht.

Ndani katër llojet e materialit

Certifikata CA është material publik që përdoret për të verifikuar identitetin e serverit. Një certifikatë klienti identifikon përdoruesin ose pajisjen para serverit. Një çelës privat është gjysma sekrete e asaj certifikate klienti, dhe nuk duhet të jetë kurrë çelësi i nënshkrimit të CA ose një çelës serveri. Materiali tls-auth ose tls-crypt është një sekret i përbashkët i veçantë që mbron kanalin e kontrollit. Këto katër nuk janë të këmbyeshme, dhe drejtimi i fushës CA në një certifikatë klienti prodhon një dështim verifikimi që duket si problem besimi.

Vërtetim vetëm me fjalëkalim ndryshon cilën nga katër ju nevojitet, jo çfarë kuptojnë ato. Me auth-user-pass dhe remote-cert-tls server klienti ende verifikon serverin ndaj një CA, prandaj fusha CA shfaqet edhe kur nuk ekziston një certifikatë klienti. Politika e operatorit vendos nëse kërkohet edhe një certifikatë klienti, dhe asnjë dialog nuk mund t'ju thotë atë.

Drejtojeni klientin te skedari i besimit

Zgjidhni vetë skedarin e certifikatës CA, jo dosjen që e përmban dhe jo një paketë .p12 që përmban një identitet klienti. Në Windows sintaksa e shtegut dhe zgjedhësi i skedarëve sillen ndryshe nga shembujt Linux në shumicën e udhëzuesve, prandaj përdorni atë që pranon klienti i instaluar dhe konfirmoni që skedari është i lexueshëm nga llogaria që e ekzekuton. Një problem lejeje dhe një skedar që mungon duken njësoj në dialog por prodhojnë rreshta regjistri të ndryshëm. Pas zgjedhjes, rihapni cilësimet e profilit për të konfirmuar që klienti e mbajti zgjedhjen.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Nëse klienti mbështet blloqe të integruara, preferoni profilin e integruar të operatorit ndaj një të montuar me dorë. Materiali i integruar udhëton me profilin dhe i mbijeton riimportimit, ndërsa një shteg absolut thyhet në momentin që profili zhvendoset në një makinë tjetër.

Lexoni gabimin pasardhës, jo të njëjtin

Qëllimi i dhënies së CA të saktë është të ndryshojë gabimin, jo ta bëjë atë të zhduket. Një dështim identiteti serveri pasi ngarkohet CA do të thotë që certifikata nuk përputhej me emrin e pritur ose me pritshmërinë remote-cert-tls, që është një riparim i ndryshëm nga refuzimi i fjalëkalimit. Refuzimi i fjalëkalimit do të thotë që shtresa TLS pati sukses dhe kredencialet janë të gabuara. Mbani mesazhin e parë të ri; ai është i dobishmi.

Një klient që lidhet por nuk arrin asgjë ka kaluar plotësisht besimin dhe tani përballet me një pyetje rrugëtimi ose DNS.

Kurrë mos e çaktivizoni verifikimin për të kaluar atë dialog. Një klient që pranon çdo certifikatë nuk ka arsye të kërkojë një CA, dhe tuneli që ndërton nuk është ai që synonte operatori.