OpenVPN இன் CA கையொப்ப விசையை /etc/openvpn இற்கு வெளியே வைத்திருங்கள்

பயிற்சியில் ஒரே மாதிரி தெரியும் இரு அடைவுகள் முற்றிலும் வேறு வேலைகளைச் செய்கின்றன. ஒன்று சான்றிதழ் அதிகாரத்தை வைத்திருக்கிறது: அதன் தனிப்பட்ட விசை, வரிசை எண் கணக்கி, மற்றும் அது கையொப்பமிட்ட அனைத்தின் பதிவு. மற்றொன்று டீமன் தொடங்கவும் வாடிக்கையாளர்களுக்குச் சேவை செய்யவும் தேவையானதை வைத்திருக்கிறது. இரண்டையும் ஒரே ஹோஸ்ட்டில் ஒரே கணக்கின் கீழ் வைப்பது ஒரு பிற்பகலுக்கு வசதி, ஆனால் பயன்பாட்டின் மீதமுள்ள ஆயுள் முழுவதற்கும் விலை உயர்ந்தது, ஏனெனில் அப்போது டீமன் தான் விரும்பும் எந்த அடையாளத்தையும் உருவாக்கக்கூடிய ஒரே விசைக்கு அருகில் இயங்குகிறது.

CA பணியிடத்தில் இருப்பது

PKI அடைவு வழங்குநரின் நிலை, உள்ளமைவு அல்ல. அதில் CA இன் தனிப்பட்ட விசையும் சான்றிதழும், வரிசைக் கோப்பு, வெளியிடப்பட்ட சான்றிதழ்களின் பட்டியல், மற்றும் அவற்றிலிருந்து உருவான ஒவ்வொரு அடையாளத்தின் பொருட்களும் உள்ளன.

ஒரு கோரிக்கையில் கையொப்பமிடுவது அந்த நிலையை மாற்றுகிறது, எனவே பணியிடம் VPN சேவை இயங்காத ஹோஸ்ட்டில் நிர்வாகி கட்டுப்படுத்தும் கணக்கிற்கு உரியது. CA இன் தனிப்பட்ட விசையைப் படிக்கக்கூடியவர் சேவையகம் நம்பும் சான்றிதழை வெளியிடலாம், எனவே விசையின் பாதுகாப்பே ஒரு கோப்பில் உள்ள முழு நம்பிக்கை மாதிரி. ஒரு படியைச் சேமிக்க அதை இரண்டாம் இடத்திற்கு நகலெடுப்பது பாதுகாக்க வேண்டிய இரண்டாம் பொருளையும் மறக்க வேண்டிய இரண்டாம் பொருளையும் உருவாக்குகிறது. ஒவ்வொரு கையொப்பமும் வரிசை எண்ணை உயர்த்தி பட்டியலில் ஒரு பதிவைச் சேர்க்கிறது, எனவே பணியிடம் கோப்புகளின் கோப்புறை அல்ல, நிலையின் ஒரு நகல்.

பொது CA சான்றிதழ் வேறு. அது விநியோகத்திற்கானது, வாடிக்கையாளர்களும் சேவையகங்களும் ஒருவரையொருவர் சரிபார்க்க அதையே பயன்படுத்துகின்றன.

டீமன் தொடங்கும்போது படிப்பது

இயங்கும் சேவையகம் ஒரு சிறிய தொகுப்பை நுகர்கிறது: அதன் சொந்த சான்றிதழ், அதன் சொந்த தனிப்பட்ட விசை, சகாக்களைச் சரிபார்க்க CA சான்றிதழ், மற்றும் தேர்ந்தெடுத்த பயன்முறை கோரும் விசைப் பொருட்கள். அந்தப் பாதைகளைத் தொடக்கத்திலும் மீண்டும் மறுஏற்றத்திலும் படிக்கிறது.

உரிமை உண்மையில் தொடங்கும் யூனிட்டை ஒப்பிட்டே மதிப்பிட வேண்டும், ஊடாடும் root ஷெல்லை ஒப்பிட்டு அல்ல. அறிவிக்கப்பட்ட மணல்வழி கோப்பு முறைமையின் ஒரு பகுதியை படிக்க-மட்டும் அல்லது கண்ணுக்குத் தெரியாததாக மாற்றலாம், root ஆக கைமுறையாகச் செய்த சோதனை வெற்றியடைந்தாலும்.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

மூன்றாவது வரியே மக்கள் தவிர்ப்பது. அது டீமனின் சொந்தக் கணக்கை விசையைப் படிக்க முடியுமா என்று கேட்கிறது, சிறப்புரிமை வீழ்ந்த பிறகு கேள்வியின் ஒரே அர்த்தமுள்ள வடிவம் அதுவே. root ஆக பூஜ்ய வெளியேற்றம் வீழ்ந்த பிறகு என்ன நடக்கிறது என்பதைப் பற்றி எதுவும் சொல்லாது.

எந்த அனுமதியையும் மாற்றுவதற்கு முன் இரு தோல்விப் பாதைகளையும் பிரிப்பது மதிப்புள்ளது. கையொப்பத் தோல்வி PKI அடைவு, அதன் மூல அடைவுகளின் தேடல் அனுமதி, மற்றும் வழங்குநரை இயக்கும் கணக்கைச் சுட்டுகிறது. தொடக்கத் தோல்வி யூனிட், அதன் பணி அடைவு, மற்றும் சேவையக உள்ளமைவில் பெயரிடப்பட்ட பாதைகளைச் சுட்டுகிறது. மரம் முழுவதையும் அனைவரும் படிக்கும்படி செய்வது இவற்றில் எதையும் சரிசெய்யாது, இரண்டும் சார்ந்துள்ள எல்லையை நீக்கிவிடும்.

CA விசையைச் சேவையகத்திற்கு நகலெடுப்பது பின்னர் ஏன் தோல்வியடைகிறது

நகல் பொதுவாக பிழைத்திருத்த நடவடிக்கையாகத் தொடங்குகிறது: ஒருவர் VPN ஹோஸ்ட்டில் வாடிக்கையாளரைப் புதுப்பிக்க விரும்புகிறார், எனவே CA விசை /etc/openvpn இல் விழுகிறது, புதுப்பிப்பு வேலை செய்கிறது. உடனடி வேலை வெற்றியடைகிறது, எல்லை போய்விடுகிறது.

பின்னர் சேவையகம் காப்புநகல் எடுக்கப்படுகிறது, கையொப்ப அதிகாரம் காப்புநகல்களில் சேர்கிறது. ஒரு ஸ்னாப்ஷாட், ஆதரவுத் தொகுப்பு அல்லது உள்ளமைவு அடைவின் நகல் இப்போது CA செல்லுபடியாகும் வரை நம்பகமான அடையாளங்களை வெளியிடும் திறனைக் கொண்டுள்ளது. அந்த நகலை வைத்திருப்பவர் சேவையகம் ஏற்கும் எந்தப் பெயருக்கும் சான்றிதழை உருவாக்கலாம், ஒருபோதும் வெளியிடப்படாத பெயர்கள் உட்பட. அந்த வெளியீட்டின் ஒரே பதிவு அவர்கள் வைத்திருக்கத் தேர்ந்தெடுப்பதே.

அத்தகைய நிலையிலிருந்து மீள்வது கோப்பை நீக்குவதல்ல. விசை வெளிப்பட்டதா என்பதை முடிவு செய்ய வேண்டும், வெளிப்பட்டிருந்தால் CA ஐ சுழற்ற வேண்டும், ஒவ்வொரு சகாவுக்கும் நம்பிக்கையை மீண்டும் விநியோகிக்க வேண்டும். தனி பணியிடம் அந்த உரையாடல் முழுவதையும் தவிர்க்கிறது.

கணக்குகள், அடைவுகள், காப்புநகல்கள்

வழங்குநருக்கு அதன் சொந்தக் கணக்கையும் வீட்டு அடைவையும் கொடுத்து, நடைமுறையானால் VPN ஹோஸ்ட்டிலிருந்து வெளியே வைத்திருங்கள். டீமனுக்கு வேறு கணக்கைக் கொடுத்து, பயன்படுத்தப்பட்ட பொருட்களைப் படிக்கும் உரிமையும் சான்றிதழ் வெளியிடும் எதிலும் எழுதும் உரிமையும் இல்லாமல். பொது சான்றிதழ்களை வெளியே நகலெடுத்து பயன்படுத்துங்கள், தனிப்பட்ட வழங்குநர் நிலையை ஒருபோதும் உள்ளே இழுக்காதீர்கள். இரு பாத்திரங்களின் காப்புநகல்களையும் தனித்தனியாக எடுங்கள், ஏனெனில் அவற்றின் உணர்திறனும் மீட்புக் கதைகளும் வேறு.

ரத்துச் செய்த பிறகு சேவையக உள்ளமைவு பெயரிடும் CRL கோப்பைப் புதுப்பித்து, பின்னர் புதிய இணைப்புகள் அதைப் படிக்க சேவையை மறுஏற்றுங்கள். Easy-RSA ஆவணங்கள் பணியிட அமைப்பையும் கையொப்ப ஓட்டத்தையும் உள்ளடக்குகின்றன; அதைச் சுற்றியுள்ள உரிமை விதிகள் உங்கள் ஹோஸ்ட்டைப் பற்றிய முடிவாகவே இருக்கும். சேவை என்ன ஏற்றியது என்பதை openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate மூலம் உறுதிசெய்யுங்கள், மறுஏற்றம் அதை எடுத்துக்கொண்டது என்று கருதுவதற்குப் பதிலாக.

பிரிவை நிரூபிக்கும் சோதனை

வேலை செய்யும் நிலையை மட்டுமல்ல, எதிர்மறை நிலையையும் சோதியுங்கள். வடிவமைப்பின்படி வழங்குநர் கணக்கிலிருந்து சான்றிதழில் கையொப்பமிடுங்கள், பின்னர் அதே கணக்கு சேவையைத் தொடங்க முடியாது அல்லது சேவையகத்தின் தனிப்பட்ட விசையைப் படிக்க முடியாது என்பதை உறுதிசெய்யுங்கள். பின்னர் டீமனின் கணக்கு CA இன் தனிப்பட்ட விசையைப் படிக்க முடியாது என்பதை உறுதிசெய்யுங்கள்.

அந்த மூன்று சோதனைகள் சில நிமிடங்கள் எடுக்கும், பணியாளர்கள் மாறினாலும் நிலைத்திருக்கும், ஏனெனில் அவை பழக்கத்தைப் பற்றியவை அல்ல, அனுமதிகளைப் பற்றிய கூற்றுகள். முடிவை அது உள்ளடக்கிய பாதைகள் மற்றும் கணக்குகளுடன், நீங்கள் அவற்றை இயக்கிய தேதியுடன் எழுதுங்கள். இல்லையெனில் இந்தப் பயன்பாட்டை மரபுரிமையாகப் பெறும் அடுத்தவர் எல்லையே இல்லாத பயிற்சியிலிருந்து எல்லையை மீண்டும் பெறுவார். தேதியிட்ட பதிவே அடுத்த மதிப்பாய்வை ஒரு பிற்பகலுக்குப் பதிலாக சில நிமிடங்களாக்குகிறது.