Weka Ufunguo wa Kutia Sahihi wa CA wa OpenVPN Nje ya /etc/openvpn

Saraka mbili zinazofanana katika mafunzo hufanya kazi tofauti kabisa. Moja inashikilia mamlaka ya kuthibitisha: ufunguo wake wa faragha, kihesabu cha nambari za mfululizo na kumbukumbu ya kila kitu ilichotia sahihi. Nyingine inashikilia kile daemon anahitaji kuanza na kuhudumia wateja. Kuweka zote mbili kwenye mwenyeji mmoja chini ya akaunti moja ni rahisi kwa mchana mmoja na ni ghali kwa maisha yote ya usambazaji, kwa sababu daemon basi huenda kando ya ufunguo mmoja tu unaoweza kuunda kitambulisho chochote kinachotaka.

Eneo la kazi la CA lina nini

Saraka ya PKI ni hali ya mtoaji, si usanidi. Ina ufunguo wa faragha na cheti cha CA, faili ya nambari ya mfululizo, faharasa ya vyeti vilivyotolewa na nyenzo za kila kitambulisho zilizotengenezwa kutoka kwa vyeti hivyo.

Kutia sahihi ombi hubadilisha hali hiyo, ndiyo sababu eneo la kazi ni mali ya akaunti inayodhibitiwa na msimamizi kwenye mwenyeji ambapo huduma ya VPN haifanyi kazi. Yeyote anayeweza kusoma ufunguo wa faragha wa CA anaweza kutoa cheti ambacho seva itaamini, hivyo ulinzi wa ufunguo ni mfumo wote wa uaminifu katika faili moja. Kuinakili mahali pa pili ili kuokoa hatua huunda kitu cha pili cha kulinda na kitu cha pili cha kusahau. Kila sahihi pia huongeza nambari ya mfululizo na kuongeza ingizo kwenye faharasa, ndiyo sababu eneo la kazi ni nakala moja ya hali badala ya folda ya faili.

Cheti cha umma cha CA ni tofauti. Kimekusudiwa kusambazwa, na ni kile wateja na seva hutumia kuthibitisha wao kwa wao.

Daemon husoma nini anapoanza

Seva inayofanya kazi hutumia seti ndogo: cheti chake, ufunguo wake wa faragha, cheti cha CA cha kuthibitisha wenza na nyenzo yoyote ya ufunguo inayohitajika na hali iliyochaguliwa. Husoma njia hizo wakati wa kuanza na tena wakati wa kupakia upya.

Umiliki lazima upimwe dhidi ya kitengo kinachoanza kwa kweli, si dhidi ya ganda la root la kuingiliana. Sandbox iliyotangazwa inaweza kufanya sehemu ya mfumo wa faili isomeke tu au isionekane hata wakati jaribio la mkono kama root linafanikiwa.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Mstari wa tatu ndio ambao watu hukwepa. Huuliza akaunti ya daemon yenyewe ikiwa inaweza kusoma ufunguo, na hiyo ndiyo toleo pekee la swali linalojalisha baada ya mapendeleo kushushwa. Kutoka sifuri kama root hakusemi chochote kuhusu kile kinachotokea baada ya kushushwa.

Njia mbili za hitilafu zinafaa kutenganishwa kabla ya kubadilisha ruhusa yoyote. Hitilafu ya kutia sahihi huelekea saraka ya PKI, ruhusa ya utafutaji kwenye saraka zake wazazi na akaunti inayoendesha mtoaji. Hitilafu ya kuanza huelekea kitengo, saraka yake ya kazi na njia zilizotajwa katika usanidi wa seva. Kufanya mti wote usomeke kwa kila mtu hakutatui yoyote kati ya hizo mbili, na huondoa mpaka ambao zote mbili zinategemea.

Kwa nini kunakili ufunguo wa CA kwenye seva hushindwa baadaye

Nakala kawaida huanza kama hatua ya utatuzi: mtu anataka kuhuisha mteja kwenye mwenyeji wa VPN, kwa hiyo ufunguo wa CA unaishia /etc/openvpn na uhuishaji unafanya kazi. Kazi ya haraka inafanikiwa, na mpaka umetoweka.

Kisha seva inahifadhiwa nakala rudufu, na mamlaka ya kutia sahihi inajiunga na nakala hizo. Picha, kifurushi cha msaada au nakala ya saraka ya usanidi sasa inabeba uwezo wa kutoa vitambulisho vinavyoaminika maadamu CA ni halali. Yeyote anayeshikilia nakala hiyo anaweza kuunda cheti kwa jina lolote linalokubaliwa na seva, ikiwa ni pamoja na majina ambayo hayakutolewa kamwe. Kumbukumbu pekee ya utoaji huo ni ile wanayochagua kuihifadhi.

Kupona kutoka hali hiyo si suala la kufuta faili. Lazima uamue ikiwa ufunguo ulifichuliwa, uzungushe CA ikiwa ulifichuliwa, na usambaze tena uaminifu kwa kila mwenza. Eneo la kazi tofauti huepuka mazungumzo yote.

Akaunti, saraka, nakala rudufu

Mpe mtoaji akaunti na saraka yake ya nyumbani, mbali na mwenyeji wa VPN inapowezekana. Mpe daemon akaunti tofauti, yenye ufikiaji wa kusoma nyenzo zilizosambazwa na ufikiaji wa kuandika kwa kitu chochote kinachotoa vyeti. Sambaza kwa kunakili vyeti vya umma kuelekea nje na kamwe kwa kuvuta hali ya faragha ya mtoaji kuelekea ndani. Hifadhi nakala rudufu za majukumu mawili kwa tofauti, kwa sababu unyeti wao na historia zao za urejeshaji zinatofautiana.

Baada ya kufuta, sasisha faili ya CRL inayotajwa na usanidi wa seva, kisha pakia upya huduma ili miunganisho mipya isome. Nyaraka za Easy-RSA zinashughulikia mpangilio wa eneo la kazi na mtiririko wa kutia sahihi; sheria za umiliki kuzunguka zinabaki uamuzi kuhusu mwenyeji wako. Thibitisha kile huduma ilipakua kwa openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate badala ya kudhani upakiaji upya uliichukua.

Jaribio linalothibitisha mgawanyiko

Angalia kisa hasi, si kile kinachofanya kazi tu. Tia sahihi cheti kutoka akaunti ya mtoaji kama ilivyoundwa, kisha thibitisha kwamba akaunti hiyo hiyo haiwezi kuanzisha huduma au kusoma ufunguo wa faragha wa seva. Kisha thibitisha kwamba akaunti ya daemon haiwezi kusoma ufunguo wa faragha wa CA.

Ukaguzi huo watatu huchukua dakika chache na hustahimili mabadiliko ya wafanyakazi, kwa sababu ni kauli kuhusu ruhusa badala ya tabia. Andika matokeo pamoja na njia na akaunti zilizofunikwa, pamoja na tarehe uliyozifanya. Mtu anayefuata kurithi usambazaji huu vinginevyo atapata tena mpaka kutoka kwa mafunzo ambayo hayakuwa nao kamwe. Kumbukumbu yenye tarehe pia ndiyo inayofanya mapitio yajayo kuchukua dakika badala ya mchana.