remote-cert-tls server: OpenVPN சுயவிவரத்தில் அது எதைச் சரிபார்க்கிறது
இந்த உத்தரவு எதிர் தரப்பின் சான்றிதழில் குறியாக்கப்பட்ட பங்கைச் சரிபார்க்கிறது, அதன் பெயரை அல்ல. எதையும் முடக்கும் முன் பங்கு, நம்பிக்கை நங்கூரம் மற்றும் ஹோஸ்ட்பெயர் சரிபார்ப்பை ஒப்பிடுங்கள்.
OpenVPN சுயவிவரத்தின் மூன்று வெவ்வேறு பகுதிகள் மூன்று வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, அவற்றை ஒன்றிணைப்பதே மக்கள் வேலை செய்த சரிபார்ப்பை அணைப்பதற்குக் காரணம். எதிர் தரப்பின் சான்றிதழ் நான் நம்பும் அதிகாரத்தால் கையொப்பமிடப்பட்டதா? அந்தச் சான்றிதழ் TLS சேவையகப் பங்கை அறிவிக்கிறதா? நான் அடைய நினைத்த அந்தக் குறிப்பிட்ட சேவையகமா? remote-cert-tls server நடுக் கேள்விக்கு மட்டுமே பதிலளிக்கிறது, அதைச் சான்றிதழுக்குள் உள்ள நீட்டிப்புகளைப் படிப்பதன் மூலம் செய்கிறது.
தலையில் ஒன்றிணைக்க எளிதான மூன்று சரிபார்ப்புகள்
நம்பிக்கை நங்கூரம் ca உத்தரவில் உள்ளது. பங்கு சரிபார்ப்பு remote-cert-tls உத்தரவுக்கு உரியது. அடையாளச் சரிபார்ப்பு verify-x509-name உத்தரவுக்கு உரியது, ஒரு சுயவிவரம் அதைப் பயன்படுத்தும்போது, அல்லது பயன்படுத்தல் சேர்க்கும் எந்தப் பெயர் சரிபார்ப்புக்கும்.
அவை வெவ்வேறு தோல்விகளை உள்ளடக்குகின்றன:
| Question | Directive | Failure it catches |
|---|---|---|
| Who signed this? | ca | Certificate from an unrelated authority |
| Is this a server? | remote-cert-tls | Client certificate presented by a peer |
| Is this my server? | verify-x509-name | Another valid server from the same CA |
ஒரு சுயவிவரத்தில் மூன்றும் இருக்கலாம், CA மிகப் பரவலாகப் பங்கிடப்பட்டால் அது இன்னும் பலவீனமாக இருக்கும், இது உத்தரவின் கேள்வி அல்ல, விசை நிர்வாகத்தின் கேள்வி.
பங்கு சரிபார்ப்பு எதைப் படிக்கிறது
உத்தரவு ஒரு மேக்ரோ. இது விசைப் பயன்பாட்டுத் தேவைக்கும் TLS வலைச் சேவையகப் பங்கைக் குறிப்பிடும் விரிவாக்கப்பட்ட விசைப் பயன்பாட்டுத் தேவைக்கும் விரிவடைகிறது, எனவே எதிர் தரப்பின் சான்றிதழ் அந்த நோக்கத்தை உண்மையில் அறிவிக்க வேண்டும். வாடிக்கையாளர் அங்கீகாரத்திற்காக வழங்கப்பட்ட சான்றிதழ் அதைப் பூர்த்தி செய்யாது, அதே அதிகாரம் இரண்டையும் கையொப்பமிட்டிருந்தாலும்.
இது முக்கியம் ஏனெனில் சிறிய பயன்படுத்தல்களில் பங்கிடப்பட்ட CA பொதுவானது. ஒரு அதிகாரம் ஒவ்வொரு வாடிக்கையாளருக்கும் சேவையகத்திற்கும் கையொப்பமிடுகிறது, பங்கு சரிபார்ப்பு இல்லாமல் அந்தச் சான்றிதழ்களில் எதுவும் கைகுலுக்கலின் சேவையகப் பக்கத்தை முடிக்க முடியும். சரிபார்ப்பு அந்தச் சூழலை சாத்தியமற்றதாக்காது, ஆனால் அதன் அற்பமான பதிப்பை நீக்குகிறது.
உத்தரவு வடிவமைப்பில் சமச்சீரற்றது: வாடிக்கையாளர்கள் remote-cert-tls server கொண்டுள்ளனர், சேவையகங்கள் remote-cert-tls client கொண்டுள்ளன. அவற்றை மாற்றுங்கள், ஒவ்வொரு இணைப்பும் உடைந்த சான்றிதழ் போலத் தோன்றும் பங்குப் பிழையால் தோல்வியடையும்.
பழைய சுயவிவரங்கள் சில நேரங்களில் அதே நோக்கத்திற்கு ns-cert-type பயன்படுத்துகின்றன. தற்போதைய கையேடு பக்கங்கள் அந்த விருப்பத்தை மாற்றப்பட்டதாகக் கருதுகின்றன, எனவே இன்னும் அதைச் சார்ந்திருக்கும் சுயவிவரத்தை பிழைத்திருத்துவதை விட இடம்பெயர்வது மதிப்புடையது.
அதை முடக்குவது தீர்வாகத் தோன்றுவது ஏன்
பங்கு சரிபார்ப்பு தோல்வியடையும்போது, இணைப்பு சரிபார்ப்புப் பிழையுடன் நிற்கிறது, வெளிப்படையான நடவடிக்கை அந்த வரியை நீக்குவதாகும். பின்னர் இணைப்பு எழுகிறது, இது முன்னேற்றமாகத் தோன்றுகிறது, உண்மையில் உத்தரவு தடுக்க இருக்கும் தோல்வி முறையே. இப்போது அந்தப் பங்கிற்காக ஒருபோதும் நோக்கப்படாத சான்றிதழைக் கொண்ட எதிர் தரப்பை நீங்கள் ஏற்கிறீர்கள்.
அதற்குப் பதிலாக பிழையைப் படியுங்கள். தோல்வியடைந்த சரிபார்ப்பை அது பெயரிடுகிறது, மறுபக்கச் சான்றிதழை ஆராய்ந்து அது உண்மையில் எந்த நீட்டிப்புகளைக் கொண்டுள்ளது என்பதைக் காணலாம். இரண்டு நிமிட வாசிப்பு பிழை வழங்கலில் உள்ளதா அல்லது கட்டமைப்பில் உள்ளதா என்பதைத் தீர்மானிக்கிறது. ஊகிப்பதற்கு ஒரு பிற்பகல் ஆகும், பொதுவாக பலவீனமான சுயவிவரத்தில் முடிகிறது. விரிவாக்கப்பட்ட விசைப் பயன்பாட்டை இழந்த புதுப்பிக்கப்பட்ட சேவையகச் சான்றிதழ் புதுப்பித்தலில் உண்மையான குறை, வாடிக்கையாளரைத் தளர்த்துவதற்கான காரணம் அல்ல.
பெயர் சரிபார்ப்பு ஒரு தனி உத்தரவு
பங்கு சரிபார்ப்பைப் பூர்த்தி செய்வது என்பது எதிர் தரப்பு உங்கள் அதிகாரத்தால் கையொப்பமிடப்பட்ட ஏதோ ஒரு சேவையகம் என்பதாகும். எது என்பதைப் பற்றி எதுவும் கூறாது, அதே CA பல நுழைவாயில்களுக்குச் சான்றிதழ்களை வழங்கும்போது அவற்றில் ஒன்று சமரசம் செய்யப்பட்டிருந்தால் அல்லது மீண்டும் பயன்படுத்தப்பட்டால் இது முக்கியம்.
verify-x509-name சான்றிதழின் தலைப்பை நீங்கள் கட்டமைக்கும் மதிப்புடன் ஒப்பிடுகிறது, சரியான தலைப்பு, முன்னொட்டு அல்லது ஒற்றைப் புலத்திற்கான பொருத்த முறைகளுடன். நுழைவாயிலை உண்மையில் அடையாளம் காணும் புலத்தைப் பயன்படுத்துங்கள், பெயர் மாறும்போது அதை வேண்டுமென்றே புதுப்பிக்க எதிர்பாருங்கள்.
இரண்டு உத்தரவுகளில் எதுவும் நல்ல விசைக் கையாளுதலை மாற்றாது. வாடிக்கையாளர் விசைக் கோப்பு சுயவிவரத்துடன் இங்கும் அங்கும் நகலெடுக்கப்பட்டால், எதிர் தரப்பின் அடையாளம் விநியோகப் பட்டியல் அளவுக்கே வலிமையானது.
சுயவிவரத்தைத் திருத்தும் முன் சான்றிதழை ஆராயுங்கள்
எதிர் தரப்பின் சான்றிதழையும் வாடிக்கையாளர் பதிவையும் அதே வரிசையில் படியுங்கள். சான்றிதழ் எந்தப் பங்குகளை அறிவிக்கிறது என்று கூறுகிறது; பதிவு எந்தச் சரிபார்ப்பு அதை நிராகரித்தது என்று கூறுகிறது.
இந்தக் கட்டளைகள் விரிவான இணைப்பிலிருந்து பயன்பாட்டு நீட்டிப்புகளையும் சரிபார்ப்பு வரிகளையும் அச்சிடுகின்றன:
openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verifyநீட்டிப்புகள் சேவையகப் பங்கைக் காட்டி, பதிவு இன்னும் பங்குத் தோல்வியைப் பதிவு செய்தால், சுயவிவரம் மோசமான சான்றிதழுக்குப் பதிலாக தவறான சான்றிதழ் கோப்பைச் சுட்டிக்காட்டுகிறது. நீட்டிப்புகள் வாடிக்கையாளர் அங்கீகாரத்தை மட்டும் காட்டினால், வாடிக்கையாளரைப் பார்ப்பதை நிறுத்தி வழங்கலைச் சரிசெய்யுங்கள். எந்தவொரு சூழ்நிலையிலும், இணைப்பை ஆரோக்கியமானது என்று அழைப்பதற்கு முன் சரிபார்ப்பை மீட்டெடுங்கள், ஏனெனில் சரிபார்ப்பை நீக்கிய பிறகு வெற்றிகரமான கைகுலுக்கல் அது மாற்றிய பிழையை விடக் குறைவாகவே நிரூபிக்கிறது.