OpenVPN bila cheti cha mteja: sera ya seva, si wasifu

Unafuta mistari ya cheti na ufunguo, unakabidhi wasifu, na muunganisho bado unashindikana kwa hitilafu ya cheti. Wasifu haukuwa kamwe kitu kilichotekeleza sharti hilo. Seva ndiyo inayoamua kama cheti cha mteja ni lazima, na hakuna uhariri upande wa mteja unaojadiliana kuiondoa. Kwa hiyo suluhisho ni mabadiliko ya sera ya seva, yaliyofanywa kwa makusudi, na kila kitu kinachotegemea hiyo kisasishwa katika hatua moja.

Wasifu si sera

Community OpenVPN 2.6 huja na vyeti vya mteja vya lazima, kwa sababu verify-client-cert kwa chaguo-msingi ni require. Kuiweka kwenye none ndiko kunakomesha sharti la cheti na kukabidhi uthibitishaji wa mteja kwa mpangilio wa jina la mtumiaji na nenosiri ambao seva tayari inaendesha. Miongozo ya zamani inakwenda kwa client-cert-not-required, tahajia ya zamani ya wazo hilo hilo, kwa hiyo tumia agizo ambalo toleo lako lililosakinishwa linaandika. Vyovyote vile, mabadiliko hufanyika kwenye seva, na hakuna wasifu wa mteja unaoweza kuyafanya.

Kipande kilicho hapa chini ni mabadiliko yote upande wa seva, na kikivyo peke yake si usanidi wa uthibitishaji unaofanya kazi. verify-client-cert none huondoa sharti la cheti, wakati username-as-common-name hufanya jina la akaunti kuwa utambulisho ambao miito ya baadaye na faili za kila mteja huona. Hakuna mstari unaokagua nenosiri, kwa hiyo kithibitishaji bado kinapaswa kuwepo.

verify-client-cert none
username-as-common-name

Kithibitishaji hicho ni program-jalizi au script inayoendeshwa na auth-user-pass-verify, na kinapaswa kuwa mahali pake kabla ya mstari wowote hapo juu kuwa na maana. Kupindua mpangilio kunakupa dirisha ambalo seva haidai cheti na haikagui akaunti.

Kinachoendelea kuthibitisha seva

Kuacha cheti cha mteja si kuacha TLS. Seva huhifadhi cheti chake na ufunguo wake, na mteja huhifadhi imani ya CA na ukaguzi wa jina la mwenyeji unaomzuia kuzungumza na mhadaa. Kuondoa remote-cert-tls server au kifurushi cha CA kwa sababu mteja hana tena cheti ni usomaji mbaya wa kawaida na wenye uzito, na marejeleo ya 2.6 ni wazi kwamba mielekeo miwili ni huru. Mmoja huthibitisha seva kwa mteja; mwingine huthibitisha mteja kwa seva.

Wasifu unaweza pia kubeba kizuizi cha tls-auth au tls-crypt. Hiyo ni ufunguo wa pamoja wa kituo cha udhibiti na mzunguko wake wa usambazaji na mzunguko, kwa hiyo faili isiyo na mistari ya cheti au ufunguo si salama kiotomatiki kuchapishwa. Ichukulie kama siri hadi uisome.

Faili ya cheti iliyonakiliwa kutoka wasifu unaofanya kazi haithibitishi chochote yenyewe; umiliki unamaanisha kushikilia ufunguo wa faragha unaolingana nao, jambo ambalo usanikishaji uliothibitishwa kwa cheti hukagua. Faili iliyo na cheti si faili ambayo mtu anaweza kujithibitisha nayo.

Kithibitishaji kinapaswa kufanya nini

Sharti la cheti likiondolewa, kila kitu kinategemea kithibitishaji: program-jalizi, au script inayoendeshwa na auth-user-pass-verify. Lazima ikatae vitambulisho batili, ikatae akaunti zilizozimwa au zisizostahiki, na ishindwe ikiwa imefungwa wakati haiwezi kufikia backend yake. username-as-common-name mara nyingi huwashwa kando, na hubadilisha utambulisho ambao miito ya baadaye na faili za usanidi za kila mteja huona. Haithibitishi nenosiri, na haifanyi akaunti isiyostahiki kustahiki. Hizo ni kazi tofauti, na kuzichanganya ndiyo njia ambayo uhamishaji hupita jaribio la njia ya furaha na kushindwa katika tukio lake la kwanza la kweli.

Jaribu kesi hasi kwa uangalifu kama kesi chanya. Wasifu unaoonyesha ombi la nenosiri huthibitisha tu kwamba mteja anaweza kuchora ombi, wakati seva inayokubali nenosiri lisilo sahihi huthibitisha jambo baya zaidi. Ongeza akaunti iliyozimwa na kitambulisho kilichopitwa na wakati kwenye seti ya majaribio, si nenosiri baya tu.

Badilisha sera, wasifu na upangaji pamoja

Ratibu mambo matatu: agizo la seva, wasifu wa mteja, na upangaji wa utambulisho wa kila mteja. Badilisha tofauti na wateja hushindwa kabla ya uthibitishaji, au huunganishwa chini ya jina ambalo msimamizi hakulitarajia, jambo ambalo ni baya zaidi kwa sababu linaonekana kama mafanikio. Muunganisho unaofanikiwa chini ya utambulisho usio sahihi ni mgumu zaidi kuugundua kuliko ule unaoshindwa.

Weka akaunti mbili za majaribio kwa njia hii, moja halali na moja inayojulikana kuwa mbaya, na tumia zote mbili baada ya mabadiliko yoyote kwenye kithibitishaji. Akaunti halali huthibitisha njia ya furaha na upangaji wa utambulisho; ile mbaya huthibitisha kwamba kukataa bado kunafanya kazi. Hakuna jaribio linalokuambia chochote kuhusu kanuni za ustahiki, kwa hiyo ongeza akaunti ambayo inapaswa kukataliwa kwa sababu za sera ikiwa usanikishaji unazo. Endesha zote tatu baada ya kila mabadiliko, kwa sababu kithibitishaji kinachoanza kukubali kila kitu kinaonekana sawa kabisa na kuingia kunakofanya kazi.

Rekodi mbinu zipi za uthibitishaji seva inakubali kwa kweli, si zile ambazo wasifu unapendekeza. Rekodi hiyo hujibu swali ambalo watu wanaendelea kuuliza, yaani nani anaweza kuunganishwa na huduma hii. Pia hudumu zaidi ya msimamizi anayefuata, ambaye vinginevyo angeigundua tena kutoka kwa kunasa pakiti.