சுய-கையொப்பமிட்ட கிளையண்ட் சான்றிதழ்? VPN சேவையகம் இன்னும் அதை நிராகரிக்கிறது

இயக்குபவர் ஒரு முகவரி மற்றும் பயனர்பெயரை அனுப்புகிறார், கிளையண்ட் CA கோப்பு, சான்றிதழ் மற்றும் விசையைக் கேட்கிறது. இந்த மூன்றையும் உள்ளூரில் உருவாக்குவது அடுத்த வெளிப்படையான படியாகத் தோன்றுகிறது. இதன் விளைவு உங்கள் சொந்த இயந்திரம் மட்டுமே நம்பும் சான்றிதழ். சேவையகத்தின் நம்பிக்கை நீங்கள் கட்டுப்படுத்தாத CA-வில் பொதிந்துள்ளது, எனவே கைக்குலுக்கல் தொடங்குவதற்கு முன்பே முடிகிறது.

நம்பிக்கை சேவையகத்தில் வாழ்கிறது, உங்கள் சுயவிவரத்தில் அல்ல

சான்றிதழ் அங்கீகாரம் ஒரு ஒப்பீடு. கிளையண்ட் சான்றிதழை முன்வைக்கிறது; நுழைவாயில் அது அதன் கட்டமைப்பில் உள்ள ஒரு CA-வால் கையொப்பமிடப்பட்டதா எனச் சரிபார்க்கிறது.

உங்கள் சுயவிவரம் சேவையகத்தைச் சரிபார்க்க கிளையண்ட் பயன்படுத்த வேண்டிய CA கோப்பைப் பெயரிடுகிறது. சேவையகம் உங்களைச் சரிபார்க்க பயன்படுத்த வேண்டிய CA-வை அது பெயரிட முடியாது. கட்டமைப்பின் அந்தப் பாதி உங்களுடையது அல்ல.

நீங்களே உருவாக்கிய சான்றிதழ் தொழில்நுட்ப ரீதியாக சரியாக இருந்தாலும் இந்த ஒப்பீட்டில் தோல்வியடைகிறது. அதற்கு செல்லுபடியாகும் கையொப்பம், பொருள் மற்றும் தேதிகள் உள்ளன, ஆனால் வழங்குநர் நுழைவாயில் ஒருபோதும் கேள்விப்படாத CA. பிழை கைக்குலுக்கலின் போது, சேவையகம் ஏற்கனவே சான்றிதழைக் கேட்ட பிறகு தோன்றுகிறது. கிளையண்ட் சுயவிவரத்தில் எதுவும் பதிலை மாற்ற முடியாது.

சுய-கையொப்பமிட்ட சான்றிதழ் அதை மாற்ற முடியாதது ஏன்

சுய-கையொப்பமிட்ட சான்றிதழ் அதன் சொந்த விசையால் கையொப்பமிடப்படுகிறது. கையொப்பம் அதே கோப்புக்கு எதிராகச் சரிபார்க்கப்படுகிறது, இது அதை சுய-ஒத்திசைவாகவும் மற்றொருவரின் நுழைவாயிலுக்கு அடையாளச் சான்றாகப் பயனற்றதாகவும் ஆக்குகிறது.

நுழைவாயில் சான்றிதழ் உள் ஒத்திசைவானதா என்று கேட்கவில்லை. நம்பகமான வழங்குநர் அதைக் கையொப்பமிட்டாரா என்று கேட்கிறது.

அதனால்தான் பிழைச் செய்திகள் குழப்பமாக உள்ளன. கிளையண்ட் சேவையகப் பிரச்சினை போல் தோன்றும் சரிபார்ப்புத் தோல்வியைப் புகாரளிக்கலாம், அதே நேரம் சேவையகம் அறியப்படாத வழங்குநரைப் பதிவு செய்கிறது. இரண்டும் ஒரே பொருந்தாமையை எதிரெதிர் முனைகளில் இருந்து விவரிக்கின்றன.

CSR பாதை உங்கள் தனிப்பட்ட விசையை வைத்திருக்கிறது

பெரும்பாலான வேலையை இன்னும் உள்ளூரில் செய்யலாம். ஒரு விசை இணையை உருவாக்கி, பொது பாதியைச் சுற்றி சான்றிதழ் கையொப்பக் கோரிக்கையை உருவாக்கி, அந்தக் கோரிக்கையை இயக்குபவருக்கு அனுப்புங்கள். கோரிக்கை மட்டுமே உங்கள் இயந்திரத்தை விட்டு வெளியேறுகிறது. தனிப்பட்ட பாதி நீங்கள் உருவாக்கிய இடத்திலேயே தங்குகிறது.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

இயக்குபவர் தன் CA-வால் கோரிக்கையில் கையொப்பமிட்டு ஒரு சான்றிதழைத் திருப்பித் தருகிறார். உங்கள் தனிப்பட்ட விசை ஒருபோதும் பயணிக்கவில்லை, மேலும் முடிவு நுழைவாயில் நம்பும் நங்கூரத்துடன் சங்கிலியாக இணைகிறது.

நிர்வகிக்கப்பட்ட சேவைகள் பெரும்பாலும் CSR-ஐத் தவிர்த்து முழுத் தொகுப்பையும் வழங்குகின்றன. அதே வழங்குநர் ஏற்கனவே சுரங்கப்பாதையை முடித்து CA-வை வைத்திருக்கும்போது அது நியாயமான பரிமாற்றம். விசையை வைத்திருப்பதால் அதன் பாதுகாப்பு மேம்படாது, ஏனெனில் வழங்குநர் எப்போது வேண்டுமானாலும் புதியதை உருவாக்கலாம்.

தொகுப்புகள் இறக்குமதி செய்யப்படுகின்றன, நிறுவப்படுவதில்லை

பாதுகாப்பு போல் ஒலிக்கும் பெயர்களைக் கொண்ட விற்பனையாளர் தொகுப்புகள் பெரும்பாலும் OpenVPN சுயவிவரங்கள். அவற்றில் கட்டமைப்பு மற்றும் சில நேரங்களில் சான்றிதழ்கள் உள்ளன, அவை எதையும் நிறுவுவதில்லை. நெறிமுறையைப் பேசும் கிளையண்டில் கோப்பை இறக்குமதி செய்யுங்கள், இணைப்பு கட்டமைக்கப்படும்.

கையாளுதல் விதி உள்ளடக்கத்திலிருந்து வருகிறது. சுயவிவரத்தில் தனிப்பட்ட விசை உட்பொதிக்கப்பட்டிருந்தால், அது அடையாளச் சான்று மற்றும் கடவுச்சொல்லுக்குரிய அதே கவனிப்புக்குத் தகுதியானது: மின்னஞ்சல் இல்லை, சேமிப்பகம் இல்லை, பகிரப்பட்ட பதிவிறக்கக் கோப்புறை இல்லை. இயக்குபவர் ca.crt, client.crt மற்றும் client.key தனித்தனியாக வழங்கும்போது, அவற்றைக் கட்டுப்படுத்தப்பட்ட அனுமதிகளுடன் சேர்த்து வைத்து சுயவிவரத்தை அவற்றை நோக்கிக் காட்டுங்கள்.

இயக்குபவர் தவிர்த்திருக்கக்கூடிய சரிபார்ப்புகளைச் சேர்க்கவும்

ரவுட்டர் உருவாக்கிய சுயவிவரத்தில் சில நேரங்களில் சக சரிபார்ப்பு இருக்காது. remote-cert-tls server சக சான்றிதழில் சேவையக அங்கீகார நோக்கம் இருக்க வேண்டும் எனக் கோருகிறது, எனவே கிளையண்ட் சான்றிதழை சேவையகமாக மீண்டும் இயக்க முடியாது. அந்த ஒரு வரி தெளிவான நியாயத்துடன் கூடிய சிறிய மாற்றம்.

verify-x509-name இயக்குபவர் எதிர்பார்க்கப்படும் பொருள் அல்லது SAN-ஐப் பெயரிட முடிந்தால் மேலும் செல்கிறது. இரண்டும் சுயவிவரத்திற்கு சிறிய சேர்ப்புகள், இரண்டும் பாதுகாக்கத்தக்கவை. இறக்குமதி செய்வதற்கு முன் நீங்கள் பெற்றதை ஆய்வு செய்யுங்கள்.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

சரிபார்ப்பு அமைப்புகள் உடைந்த சங்கிலிக்கான பழுது அல்ல. வழங்குநர் தவறானவராக இருந்தால், பதில் சரியான CA-விடமிருந்து வரும் சான்றிதழ், சரிபார்ப்பை அணைக்கும் கொடி அல்ல. சரிபார்ப்பை அணைப்பது அங்கீகாரத் தோல்வியைக் கண்டறியப்படாத தோல்வியாக மாற்றுகிறது.

ஒரு தொகுப்பைக் கேளுங்கள்: PEM வடிவத்தில் அதிகார அமைப்பின் சான்றிதழ், அந்த அதிகார அமைப்பால் கையொப்பமிடப்பட்ட கிளையண்ட் சான்றிதழ், நீங்கள் உருவாக்கிய அல்லது நீங்கள் நம்பும் வழியில் வந்த விசை, மற்றும் சான்றிதழ் வழங்க வேண்டிய சரியான சேவையகப் பெயர். அதே செய்தியில் காலாவதி தேதியைக் குறிக்கவும், ஏனெனில் காலாவதியான சான்றிதழ் மாதங்களுக்குப் பிறகு பிணையக் கோளாறு போல் தோன்றும்.