Faili gani ya CA inaingia kwenye wasifu wa OpenVPN wenye nenosiri pekee?

Pitia maswali manne kwa mpangilio na mazungumzo ya CA hayatakuwa na utata tena. Ni nyenzo gani mwendeshaji alitoa kwa kweli, wasifu una nini tayari, sehemu ipi inauliza, na nini kinatokea baada ya faili kupakiwa? Simama kwenye swali la kwanza ambalo huwezi kulijibu kutoka kwa maagizo ya mwendeshaji mwenyewe, kwa sababu kukisia zaidi ya hapo ndiyo njia ambayo cheti cha CA cha umma huishia kikioanishwa na ufunguo wa faragha ambao haukupaswa kuondoka kwenye seva.

Mpangilio ni muhimu: maswali mawili ya mwisho yana maana tu unapojua ni nyenzo gani inapaswa kuwepo.

Anza na kile wasifu unachokwisha kubeba

Fungua wasifu kwenye kihariri cha maandishi na utafute kizuizi cha ca kabla ya kutafuta faili. Kizuizi cha ca cha ndani kilicho na CA ya umma ya mwendeshaji kinamaanisha wasifu unajitosheleza, na mteja anayeendelea kuomba faili ya CA anaweza kuwa anasoma wasifu mwingine au uingizaji ambao haujakamilika. Ikiwa wasifu badala yake una mstari wa ca unaoelekeza kwenye njia, njia hiyo ni jamaa na saraka ya kazi ya mteja katika baadhi ya miunganisho na ni kamili katika nyingine. Andika ni umbo gani unalo kabla ya kubadilisha chochote.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Kagua kifurushi kilichowasilishwa kwa faili ambazo wasifu unarejelea: cheti cha CA, wakati mwingine cheti cha mteja na ufunguo tofauti, na huenda faili ya tls-auth au tls-crypt. Wasifu unaorejelea faili nne lakini unakuja na mbili haujakamilika, na hakuna kiasi cha kuelekeza sehemu kinachoweza kurekebisha hilo. Omba sehemu inayokosekana kutoka kwa mwendeshaji badala ya kuibadilisha na cheti ambacho unacho kwa bahati.

Tenganisha aina nne za nyenzo

Cheti cha CA ni nyenzo ya umma inayotumika kuthibitisha utambulisho wa seva. Cheti cha mteja humtambulisha mtumiaji au kifaa kwa seva. Ufunguo wa faragha ni nusu ya siri ya cheti hicho cha mteja, na haupaswi kamwe kuwa ufunguo wa kusaini wa CA au ufunguo wa seva. Nyenzo ya tls-auth au tls-crypt ni siri ya pamoja tofauti inayolinda kituo cha udhibiti. Hizi nne hazibadilishani, na kuelekeza sehemu ya CA kwenye cheti cha mteja huzalisha kushindwa kwa uthibitishaji kunakoonekana kama tatizo la uaminifu.

Uthibitishaji wa nenosiri pekee hubadilisha ipi kati ya nne unahitaji, si maana yake. Ukiwa na auth-user-pass na remote-cert-tls server mteja bado huthibitisha seva dhidi ya CA, ndiyo sababu sehemu ya CA inaonekana hata wakati hakuna cheti cha mteja. Sera ya mwendeshaji huamua kama cheti cha mteja kinahitajika pia, na hakuna mazungumzo yanayoweza kukuambia hilo.

Elekeza mteja kwenye faili ya uaminifu

Chagua faili yenyewe ya cheti cha CA, si folda inayoihifadhi na si kifurushi cha .p12 kilicho na utambulisho wa mteja. Kwenye Windows sintaksia ya njia na kichagua faili hufanya kazi tofauti na mifano ya Linux katika miongozo mingi, kwa hiyo tumia kile mteja aliyesakinishwa anakubali na uthibitisha kwamba faili inaweza kusomwa na akaunti inayoiendesha. Tatizo la ruhusa na faili inayokosekana huonekana sawa kwenye mazungumzo lakini huzalisha mistari tofauti ya kumbukumbu. Baada ya kuchagua, fungua tena mipangilio ya wasifu ili kuthibitisha mteja alihifadhi chaguo.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Ikiwa mteja anaunga mkono vizuizi vya ndani, pendelea wasifu wa ndani wa mwendeshaji badala ya ule uliokusanywa kwa mkono. Nyenzo ya ndani husafiri na wasifu na hustahimili uingizaji upya, wakati njia kamili huvunjika mara moja wasifu unapohamishiwa kwenye mashine nyingine.

Soma hitilafu inayofuata, si ile ile

Lengo la kutoa CA sahihi ni kubadilisha hitilafu, si kuifanya itoweke. Kushindwa kwa utambulisho wa seva baada ya CA kupakiwa kunamaanisha cheti hakikulingana na jina lililodhaniwa au matarajio ya remote-cert-tls, ambayo ni ukarabati tofauti na kukataliwa kwa nenosiri. Kukataliwa kwa nenosiri kunamaanisha tabaka la TLS lilifanikiwa na kitambulisho si sahihi. Hifadhi ujumbe mpya wa kwanza; huo ndio wenye manufaa.

Mteja anayeunganisha lakini hafiki popote amepita uaminifu kabisa na sasa anakabili swali la uelekezaji au DNS.

Kamwe usizime uthibitishaji ili kupita mazungumzo hayo. Mteja anayekubali cheti chochote hana sababu ya kuomba CA, na handaki analojenga si lile ambalo mwendeshaji alikusudia.