remote-cert-tls server: inachunguza nini katika wasifu wa OpenVPN

Maswali matatu tofauti hujibiwa na sehemu tatu tofauti za wasifu wa OpenVPN, na kuzichanganya ndiyo njia ambayo watu huishia kuzima ukaguzi uliokuwa ukifanya kazi. Je, cheti cha mwenzake kimesainiwa na mamlaka ninayoiamini? Je, cheti hicho kinatangaza jukumu la seva ya TLS? Je, ni seva hiyo mahususi niliyokusudia kufikia? remote-cert-tls server hujibu swali la kati pekee, na hufanya hivyo kwa kusoma viendelezi ndani ya cheti.

Ukaguzi tatu ambazo ni rahisi kuzichanganya kichwani

Nanga ya uaminifu inakaa katika agizo ca. Ukaguzi wa jukumu ni wa remote-cert-tls. Ukaguzi wa utambulisho ni wa verify-x509-name, wakati wasifu unautumia, au ukaguzi wowote wa jina ambao usambazaji huongeza.

Hufunika hitilafu tofauti:

Wasifu unaweza kuwa na yote matatu na bado uwe dhaifu ikiwa CA inashirikiwa kwa upana mno, jambo ambalo ni suala la usimamizi wa funguo na sio la agizo.

Ukaguzi wa jukumu husoma nini

Agizo ni makro. Hupanuka kuwa sharti la matumizi ya ufunguo na sharti la matumizi yaliyopanuliwa ya ufunguo linalotaja jukumu la seva ya wavuti ya TLS, kwa hivyo cheti cha mwenzake lazima kitangaze kusudi hilo kwa kweli. Cheti kilichotolewa kwa uthibitishaji wa mteja hakikidhi hilo, hata wakati mamlaka hiyo hiyo imesaini zote mbili.

Hilo ni muhimu kwa sababu CA inayoshirikiwa ni ya kawaida katika usambazaji mdogo. Mamlaka moja husaini kila mteja na seva, na bila ukaguzi wa jukumu cheti chochote kati ya hivyo kingeweza kukamilisha upande wa seva wa kupeana mikono. Ukaguzi haufanyi hali hiyo isiwezekane, lakini huondoa toleo lake dogo.

Agizo hili halina usawa kwa muundo: wateja hubeba remote-cert-tls server, na seva hubeba remote-cert-tls client. Zibadilishe na kila muunganisho unashindikana na hitilafu ya jukumu inayoonekana kama cheti kilichovunjika.

Wasifu wa zamani wakati mwingine hutumia ns-cert-type kwa kusudi hilo hilo. Kurasa za mwongozo za sasa huchukulia chaguo hilo kama lililobadilishwa, kwa hivyo wasifu ambao bado unategemea hilo unafaa kuhamishwa badala ya kutatuliwa.

Kwa nini kuizima kunahisi kama suluhisho

Wakati ukaguzi wa jukumu unashindikana, muunganisho unasimama na hitilafu ya uthibitishaji na hatua dhahiri ni kufuta mstari huo. Muunganisho kisha huinuka, jambo ambalo linahisi kama maendeleo na kwa kweli ni hali ya kushindwa ambayo agizo lipo ili kuizuia. Sasa unakubali mwenzake ambaye cheti chake hakikuwa kimekusudiwa jukumu hilo kamwe.

Badala yake soma hitilafu. Inataja ukaguzi ulioshindikana, na cheti cha upande wa pili kinaweza kuchunguzwa ili kuona ni viendelezi gani kinavyobeba kwa kweli. Dakika mbili za kusoma huamua kama hitilafu iko katika utoaji au katika usanidi. Kukisia hugharimu mchana na kwa kawaida huishia na wasifu dhaifu. Cheti cha seva kilichosasishwa ambacho kimepoteza matumizi yaliyopanuliwa ya ufunguo ni hitilafu halisi katika usasishaji, sio sababu ya kulegeza mteja.

Ukaguzi wa jina ni agizo tofauti

Kukidhi ukaguzi wa jukumu kunasema kuwa mwenzake ni seva fulani iliyosainiwa na mamlaka yako. Haisemi chochote kuhusu ni ipi, jambo ambalo ni muhimu wakati CA hiyo hiyo inatoa vyeti kwa lango kadhaa na moja yao imeathiriwa au kutumika upya.

verify-x509-name hulinganisha somo la cheti na thamani unayoisanidi, pamoja na namna za ulinganishaji za somo kamili, kiambishi awali au sehemu moja. Tumia sehemu inayotambua lango kwa kweli, na tarajia kuisasisha kwa makusudi jina linapobadilika.

Hakuna agizo kati ya hayo mawili linalochukua nafasi ya utunzaji mzuri wa funguo. Ikiwa faili ya ufunguo wa mteja inakopwa kote pamoja na wasifu, utambulisho wa mwenzake una nguvu kadri ya orodha ya usambazaji.

Chunguza cheti kabla ya kuhariri wasifu

Soma cheti cha mwenzake na kumbukumbu ya mteja, kwa mpangilio huo. Cheti kinakuambia ni majukumu gani inatangaza; kumbukumbu inakuambia ni ukaguzi upi ulioukataa.

Amri hizi huchapisha viendelezi vya matumizi na mistari ya uthibitishaji kutoka muunganisho wa kina:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Ikiwa viendelezi vinaonyesha jukumu la seva na kumbukumbu bado inaripoti kushindwa kwa jukumu, wasifu unaelekea kwenye faili ya cheti isiyo sahihi badala ya cheti kibaya. Ikiwa viendelezi vinaonyesha uthibitishaji wa mteja pekee, acha kumtazama mteja na urekebishe utoaji. Kwa hali yoyote, rejesha ukaguzi kabla ya kuita muunganisho mzima, kwa sababu kupeana mikono kwa mafanikio baada ya kuondoa uthibitishaji kunathibitisha kidogo kuliko hitilafu iliyobadilishwa.