OpenVPN சான்றிதழையும் விசையையும் எவ்வாறு தீர்க்கிறது: உள்ளமைந்த PEM அல்லது பாதை

செய்தி OpenVPN உள்ளமைந்த சான்றிதழை ஏற்ற முடியாது என்கிறது, ஆனால் உங்கள் நினைவில் உள்ள கோப்புப் பெயர் வேறு ஒன்றைச் சொல்கிறது. கோப்பு முறைமையில் இருப்பதை விட பகுப்பாய்வி பெற்றது முக்கியம், ஏனெனில் cert உத்தரவு முற்றிலும் வேறுபட்ட இரண்டு வகை மதிப்புகளை ஏற்கிறது. ஒன்று அது திறக்கும் பாதை; மற்றொன்று உள்ளமைவுக்குள் வந்த PEM உரை. இயங்கும் கிளையண்ட் எந்த வடிவத்தைப் பெற்றது எனத் தெரியும் வரை ஒவ்வொரு திருத்தமும் ஒரு ஊகம்.

இரண்டு சேமிப்பு வடிவங்கள், ஒரு உத்தரவு

cert, key மற்றும் ca உத்தரவுகள் ஒவ்வொன்றும் பாதையையோ உள்ளமைந்த தொகுதியையோ ஏற்கின்றன. மதிப்பு பாதையாக இருந்தால், OpenVPN அந்தக் கோப்பைத் திறந்து வட்டில் இருந்து பொருளைப் படிக்கிறது. உள்ளமைவில் cert குறிச்சொற்களால் எல்லைப்படுத்தப்பட்ட தொகுதி இருந்தால், அதே உத்தரவு அதற்குப் பதிலாக அந்தக் குறிச்சொற்களுக்கு இடையிலான உள்ளடக்கத்தைப் பயன்படுத்துகிறது, தனிக் கோப்பு எதுவும் ஈடுபடாது.

இரண்டு வடிவங்களும் இறுதியில் ஒரே வகையான பொருளை உருவாக்குகின்றன, எனவே செயல்படும் நிறுவல் வேறு எந்த மாற்றமும் இல்லாமல் அவற்றுக்கிடையே செல்லலாம். தனக்குள் உள்ளமைந்த கிளையண்ட் சான்றிதழையும் தனிப்பட்ட விசையையும் கொண்ட சுயவிவரம் தன்னிறைவு பெற்றது, அதை வேறு இயந்திரத்திற்கு நகலெடுப்பது சான்றிதழ் அடைவையும் நகலெடுக்காமல் வேலை செய்கிறது.

எதிர்மாறானது உண்மை அல்ல. தன் தரவை உள்ளே பொதியும் சுயவிவரத்தின் அருகில் client.crt வைப்பது எதையும் மாற்றாது, ஏனெனில் உள்ளமைவில் எதுவும் அந்தக் கோப்பைக் குறிப்பிடவில்லை. தெளிவாக இருக்கும் கோப்பு புறக்கணிக்கப்பட்டதாகத் தோன்றுவதற்கான மிகப் பொதுவான காரணம் இதுவே.

உள்ளமைந்த தொகுதி எவ்வாறு பொருளாகிறது

உள்ளமைந்த உள்ளடக்கம் உள்ளமைவிலிருந்து பிரித்தெடுக்கப்பட்டு உரையாக PEM பகுப்பாய்விக்கு வழங்கப்படுகிறது. அந்தப் பகுப்பாய்வி வழக்கமான எல்லைகளை எதிர்பார்க்கிறது: BEGIN வரி, base64 ஏற்றம் மற்றும் பொருந்தும் END வரி. தொகுதி தோல்வியடைந்த நகலால் துண்டிக்கப்பட்டிருந்தால், பதிவிறக்கப் பக்கம் அதை HTMLஇல் சுற்றியிருந்தால், அல்லது கோடுகளை இயல்பாக்கிய திருத்தியில் திறக்கப்பட்டிருந்தால், பகுப்பாய்வி இருப்பதாகத் தோன்றும் உள்ளடக்கத்தில் தோல்வியடைகிறது.

<cert>
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
</cert>

பிழையின் சொற்கோவை தவறாக வழிநடத்துவதும் அதனால்தான். உள்ளமைந்த என்ற சொல் ஏற்றி எங்கே பார்த்தது என்பதை விவரிக்கிறது, அங்கே என்ன கண்டது என்பதை அல்ல. உள்ளமைவில் பெயரிடப்பட்ட கோப்பும் அதில் பொதிந்த பொருளும், அடிப்படை பைட்டுகள் பயன்படுத்த முடியாததாக இருக்கும்போது ஒரே புகாரை உருவாக்கலாம்.

ஏற்றப்பட்ட சுயவிவரம் உண்மையில் எந்த வடிவத்தைப் பயன்படுத்துகிறது எனச் சரிபார்க்கவும், உங்கள் திருத்தி தற்செயலாகத் திறந்த கோப்பு எது என்பதை அல்ல:

grep -nE '^(ca|cert|key) |^<(ca|cert|key)>' client.ovpn

பாதைக் குறிப்பு எவ்வாறு தீர்க்கப்படுகிறது

பாதை மதிப்பு உள்ளமைவைக் கொண்ட அடைவுக்கு அல்ல, கிளையண்டின் வேலை அடைவுக்கு ஒப்பாகத் திறக்கப்படுகிறது. systemd கீழ் அந்த வேலை அடைவு அலகு அமைப்பதாகும், உங்கள் shellஇலிருந்து ஊடாடும் இயக்கம் முற்றிலும் வேறொன்றை மரபுரிமையாகப் பெறுகிறது. அதனால்தான் அதே உள்ளமைவுக் கோப்பு கையால் சோதிக்கும்போது வேலை செய்து சேவையாகத் தோல்வியடையலாம்.

ஒப்புப் பாதைகள் அதே தெளிவின்மையை மரபுரிமையாகப் பெறுகின்றன. வெறும் கோப்புப் பெயரைக் காணும்போது, உங்கள் முனையுடன் பொருந்தும் எனக் கருதுவதற்குப் பதிலாக உற்பத்தியில் செயல்முறையின் தற்போதைய அடைவு என்ன எனக் கேளுங்கள்.

தனியாகச் சேமிக்கப்பட்ட சான்றிதழுக்கு, அதற்கு மேலே எதையும் பிழைத்திருத்தும் முன் இணையமில்லாப் பகுப்பாய்வு பொருளை உறுதிப்படுத்துகிறது:

openssl x509 -in client.crt -noout -subject -issuer -dates
openssl pkey -in client.key -noout -check

அந்தக் கட்டளைகள் கோப்புகள் படிக்கக்கூடியவை மற்றும் கட்டமைப்பு ரீதியாகச் செல்லுபடியானவை என நிரூபிக்கின்றன. சக அமைப்பு வழங்குநரை நம்புகிறது, சான்றிதழ் இன்னும் அதன் செல்லுபடியாகும் காலத்திற்குள் உள்ளது, அல்லது விசை அதற்குச் சொந்தமானது என அவை நிரூபிக்கவில்லை.

பகுப்பாய்விப் பிழை என்ன சொல்ல முடியும், என்ன சொல்ல முடியாது

பகுப்பாய்வுத் தோல்வி சிக்கலை ஒரு உள்ளீட்டிற்கும் ஒரு நிலைக்கும் வரம்பிடுகிறது. கிளையண்ட் இரண்டு சேமிப்பு வடிவங்களில் எதைப் பயன்படுத்தியது என்பதை அது சொல்லாது, பொருள் ஏற்கப்பட்டிருக்குமா என்பதையும் சொல்லாது. இவை தனித்தனி சான்றுகளுடன் கூடிய தனித்தனி கேள்விகள்.

பகுப்பாய்வு வெற்றியடைந்த பிறகு, அடுத்த தோல்வி பிந்தைய நிலைக்கு உரியது. நம்பிக்கை நிராகரிப்பு, நோக்கம் பொருந்தாமை அல்லது விசை பொருந்தாமை ஆகியவற்றை ஏற்றி அல்ல, சக அமைப்பு அல்லது TLS அடுக்கு தெரிவிக்கிறது. அதே கோப்பை மீண்டும் மீண்டும் மாற்றுவது அந்தப் பிழையை நகர்த்தாது.

விசாரணையின் போது முக்கியமான பாதியைப் பொது அறிக்கைகளுக்கு வெளியே வைத்திருங்கள். உத்தரவுகளின் பெயர்கள், பிழை உரை மற்றும் தொகுதியின் கட்டமைப்பைப் பகிருங்கள், விசைப் பொருளும் அடையாளம் காணக்கூடிய ஏற்றமும் நீக்கப்பட்ட நிலையில். openvpn(8) கையேடு கோப்பு உத்தரவுகளின் இரு வடிவங்களையும் அவற்றுக்குப் பின்னால் உள்ள வேலை-அடைவு நடத்தையையும் ஆவணப்படுத்துகிறது.