வழங்கப்பட்ட கோப்புகளிலிருந்து OpenVPN கிளையண்ட் சுயவிவரத்தை எவ்வாறு இணைப்பது

உங்கள் இயக்குபவர் ஒரு CA தொகுப்பு, கிளையண்ட் சான்றிதழ் மற்றும் அதன் விசையை வழங்குகிறார், இவை ஒரு சுயவிவரத்தில் இணைக்கப்படும் வரை கிளையண்ட் தொடங்காது. சுயவிவரம் என்பது உள்ளமைவு: அது அந்தக் கோப்புகளைச் சுட்டுகிறது, அவற்றை உள்ளடக்கவில்லை, மேலும் திருத்துவதால் அதைச் சான்றிதழாக மாற்ற முடியாது. இந்த வழிகாட்டி ஏற்கனவே அங்கீகரிக்கப்பட்ட மடிக்கணினியில் தொடங்கி, அறியப்பட்ட கோப்பகத்திலிருந்து தொடங்கக்கூடிய சுயவிவரத்தில் முடிகிறது. இது CA-ஐ உருவாக்காது, புதிய சான்றிதழைப் பதிவு செய்யாது, சேவையகத்தைத் தொடாது.

இங்கே இலக்கு Linux-க்கான OpenVPN 2.6 கட்டளை வரி கிளையண்ட், UDP மீது TUN வழிமாற்றம், சான்றிதழ் அங்கீகாரத்துடன்.

கிளையண்ட் பக்கக் கோப்புகளை மட்டும் சேகரியுங்கள்

பாதுகாக்கப்பட்ட கோப்பகத்தில் வேலை செய்து, அங்கீகரிக்கப்பட்ட CA நம்பிக்கைப் பொருள், உங்களுக்கு வழங்கப்பட்ட கிளையண்ட் சான்றிதழ் மற்றும் அதற்குப் பொருந்தும் தனிப்பட்ட விசையைச் சேகரியுங்கள். இந்த எடுத்துக்காட்டில் பெயர்கள் ca.crt, laptop-a.crt மற்றும் laptop-a.key. கோப்புப் பெயர்கள் வெறும் லேபிள்கள்; ஒவ்வொரு கோப்பிலும் என்ன உள்ளது என்பதைப் பற்றி அவை எதுவும் கூறுவதில்லை.

பதிவின் போது விசையை உருவாக்கியிருந்தால், அது இயந்திரத்தை விட்டு வெளியேறவே இல்லை; வழங்குபவரிடமிருந்து கையொப்பமிடப்பட்ட சான்றிதழும் பொது சங்கிலியும் மட்டுமே திரும்ப வேண்டும். சேவை எதிர்பார்க்கும் கிளையண்ட் பங்கைச் சான்றிதழ் கொண்டுள்ளதா எனச் சரிபார்க்கவும். முந்தைய முயற்சியின் பழைய சான்றிதழுக்கு அல்ல, இந்தச் சான்றிதழுக்கே விசை சொந்தமானதா என்பதையும் சரிபார்க்கவும். பொருந்தாத இணை மிகவும் தாமதமாக TLS தோல்வியை ஏற்படுத்தும், அது சேவையகப் பிரச்சினை போலத் தோன்றும்.

CA-வின் தனிப்பட்ட கையொப்ப விசை, சேவையகத்தின் தனிப்பட்ட விசை மற்றும் DH அளவுருக்களை இந்தத் தொகுப்பிற்கு வெளியே விடுங்கள்.

கோப்புகளை ஒரு சிறிய சுயவிவரத்தில் இணையுங்கள்

கீழேயுள்ள சுயவிவரம் வேண்டுமென்றே சுருக்கமானது. ஒவ்வொரு வரியும் முனைப்புள்ளியைத் தேர்ந்தெடுக்கிறது, கிளையண்ட் ஏற்கும் அடையாளத்தைக் கட்டுப்படுத்துகிறது, அல்லது மூன்று கோப்புகளில் ஒன்றைச் சுட்டுகிறது.

client
dev tun
proto udp
remote vpn.example.net 1194
nobind

remote-cert-tls server
verify-x509-name vpn-gateway name
ca ca.crt
cert laptop-a.crt
key laptop-a.key

remote வரி பிணைய முனைப்புள்ளியைத் தேர்ந்தெடுக்கிறது. remote-cert-tls server எதிர்ப் பக்கம் சேவையகப் பங்குள்ள சான்றிதழை வழங்க வேண்டும் என வலியுறுத்துகிறது. verify-x509-name எதிர்பார்க்கப்படும் பெயரைப் பொருத்துகிறது, இங்கே vpn-gateway சேவையகச் சான்றிதழின் Common Name ஆக OpenVPN-இன் இயல்புநிலைப் பெயர்ப் புலத்துடன். அந்த மதிப்பு DNS ஹோஸ்ட்பெயரிலிருந்து ஊகிக்கப்படுவதில்லை, எனவே இயக்குபவர் வழங்கிய அடையாளத் திட்டத்தைப் பயன்படுத்துங்கள்.

ஒரு சோதனை முனைப்புள்ளி வேறு சான்றிதழைக் காட்டுகிறது என்பதற்காக மட்டும் அந்தச் சரிபார்ப்புகளை விட்டுவிடாதீர்கள்.

இந்த அடிப்படைச் சுயவிவரம் தனி கணக்குச் சவால் மற்றும் கட்டுப்பாட்டு-சேனல் விசை இல்லை எனக் கருதுகிறது. சேவைக்கு auth-user-pass, tls-auth அல்லது tls-crypt தேவைப்பட்டால், வழங்கப்பட்ட உள்ளமைவையும் பொருளையும் வைத்திருங்கள், ஏனெனில் நீங்களே உருவாக்கும் கட்டுப்பாட்டு-சேனல் ரகசியம் சேவையகம் வைத்திருப்பதோடு பொருந்தாது. பழைய எடுத்துக்காட்டிலிருந்து சுருக்கம் அல்லது மறைக்குறியீட்டு வரிகளை இறக்குமதி செய்வதற்குப் பதிலாகச் சேவையின் மறைக்குறியீட்டுக் கொள்கையையும் வைத்திருங்கள்.

வேலைக் கோப்பகத்தை வெளிப்படையாக்குங்கள்

சார்புப் பாதைகள் செயல்முறையின் வேலைக் கோப்பகத்தைப் பின்பற்றுகின்றன, .ovpn கோப்பின் இருப்பிடத்தை அல்ல.

சுயவிவரத்தைப் புதிய கோப்புறைக்கு நகர்த்தி விசையும் அதைப் பின்தொடரும் என எதிர்பார்ப்பவர்களை இது ஆச்சரியப்படுத்துகிறது. நிர்வாகி தேர்ந்தெடுத்த கோப்பகத்திற்கு, கீழேயுள்ள கட்டளை சுயவிவரத்தையும் அதன் மேற்கோள்களையும் படிப்பதற்கு முன் முழுமையான பாதைக்கு மாறுகிறது.

sudo openvpn --cd /etc/openvpn/client/laptop-a --config laptop-a.ovpn

டெஸ்க்டாப் இறக்குமதி வழிகாட்டி அல்லது கணினி சேவை சார்புகளை உங்களுக்காகத் தொகுக்கலாம் மேலும் அதன் சொந்த விதிகளைப் பயன்படுத்தலாம். நீங்கள் சோதித்த கோப்பகத்திலிருந்து வேறுபட்ட வேலைக் கோப்பகத்தையும் அது பயன்படுத்தலாம். உங்கள் தொடக்க முறை விசை, சான்றிதழ் மற்றும் CA பாதைகளை எவ்வாறு தீர்க்கிறது என்பதை உறுதிப்படுத்துங்கள். .ovpn கோப்பை மட்டும் நகர்த்துவது தனி தனிப்பட்ட விசையை நகர்த்தாது.

விசையை நோக்கமிட்ட பயனர் அல்லது சேவை அடையாளத்திற்கு மட்டும் படிக்கக்கூடியதாக வைத்திருங்கள்.

கோப்புப் பெயர்களை அல்ல, ஒப்படைப்பைச் சரிபார்க்கவும்

முதல் அங்கீகரிக்கப்பட்ட இணைப்புக்கு முன், முனைப்புள்ளி, சான்றிதழின் அடையாளம், வழங்குபவர் மற்றும் செல்லுபடியாகும் காலத்தைச் சரிபார்க்கவும். பின்னர் நீங்கள் உண்மையில் பயன்படுத்தப்போகும் வேலைக் கோப்பகத்திலிருந்து கோப்பு மேற்கோள்கள் தீர்க்கப்படுகிறதா என்பதை உறுதிப்படுத்துங்கள். இணைந்த பிறகு, வழிமாற்றுக் கொள்கை வழங்க வேண்டிய பயன்பாடு மற்றும் DNS நடத்தையைச் சோதிக்கவும். படிக்கக்கூடிய மூன்று கோப்புகள் சேவையக அங்கீகாரம் அல்லது பயன்படுத்தக்கூடிய வளப் பாதை பற்றி எதையும் நிரூபிக்கவில்லை.

கடவுச்சொற்றொடர் கேட்பு தோன்றினால், அது தனிப்பட்ட விசைக்குரியது, VPN கணக்கிற்குரியது அல்ல.

இறுதியாக, தொகுப்பைச் சான்றுகள் பொருளாகப் பட்டியலிடுங்கள். அதே சான்றிதழையும் விசையையும் இரண்டாவது மடிக்கணினிக்கு வழங்குவது அடையாளத்தை நகலெடுக்கிறது, கோப்பின் பெயரை மாற்றுவது இரண்டாவது பதிவைத் தராது. சுயவிவரத்தை இணைப்பதற்கும் அதை வழங்குவதற்கும் இடையிலான வேறுபாடு அதுவே.