உங்கள் VPN கிளையண்ட் ஒரு சான்றிதழை நம்புவதற்கு முன் சரிபார்ப்பது என்ன
சான்றிதழ் எச்சரிக்கையை உங்கள் கிளையண்ட் சரிபார்க்கும் நான்கு வாயில்கள் வழியாகக் கொண்டு செல்லுங்கள்: CA நம்பிக்கை, சங்கிலி உருவாக்கம், இணையின் பெயரும் நோக்கமும், மற்றும் ரத்து கொள்கை.
உங்கள் VPN கிளையண்ட் சான்றிதழைச் சரிபார்க்க முடியவில்லை என்று கூறுகிறது, மேலும் உரையாடல் அங்கேயே நிற்கிறது. கோப்பு உள்ளது, சேவையகம் இயங்குகிறது, அதே சுயவிவரம் கடந்த மாதம் இன்னொரு மடிக்கணினியில் வேலை செய்தது. அந்த ஒரு வரி எச்சரிக்கையின் கீழ், கிளையண்ட் இணையின் சான்றிதழை நான்கு வாயில்கள் வழியாகச் செலுத்தியது: நீங்கள் அமைத்த சான்றிதழ் அதிகாரம் கையொப்பப் பாதைக்கு உத்தரவாதம் அளிக்கிறது, அந்தப் பாதை அதிகாரத்தை அடைகிறது, இணையின் பெயர் நீங்கள் கேட்டதே, மேலும் சான்றிதழ் இப்போது இந்த நோக்கத்திற்குப் பயன்படுத்தக்கூடியது. மூடிய வாயிலைக் கண்டுபிடியுங்கள், பழுது பொதுவாக ஒரு கோப்பு; அந்தப் படியைத் தவிர்த்தால் மதியம் முழுவதும் தொகுப்புகளை மீண்டும் இறக்குமதி செய்வீர்கள்.
சுயவிவரத்தைத் திருத்தும் முன் உரையாடலைப் படியுங்கள்
சான்றிதழ் பிழைகளின் சொற்களை கீழே உள்ள நூலகம் உருவாக்குகிறது, நீங்கள் நிறுவிய VPN தயாரிப்பு அல்ல, எனவே சரியான சரம் உங்கள் முதல் ஆதாரம். «உள்ளூர் வழங்குநரின் சான்றிதழைப் பெற முடியவில்லை» பாதையையோ நம்பிக்கை நங்கூரத்தையோ சுட்டுகிறது. «சான்றிதழ் காலாவதியானது அல்லது இன்னும் செல்லுபடியாகவில்லை» நேரத்தைச் சுட்டுகிறது. «ஆதரிக்கப்படாத சான்றிதழ் நோக்கம்» விரிவாக்கப்பட்ட விசைப் பயன்பாட்டைச் சுட்டுகிறது. பெயர் பொருந்தாமை எந்தப் பெயர் தேவை என்பதைச் சொல்கிறது. நான்கில் எதுவும் கிளையண்டை மீண்டும் நிறுவுவதால் சரியாகாது.
எதையும் மாற்றும் முன் பதிவு நிலையை உயர்த்துங்கள். OpenVPN --verb 4 உடன் இயக்கும்போது கைக்குலுக்கலைச் சுற்றி சரிபார்ப்புத் தோல்வியைத் தெரிவிக்கிறது, strongSwan அதன் அடையாளம் மற்றும் சங்கிலி முடிவுகளை charon பதிவில் எழுதுகிறது. பின்னர் நீங்கள் எந்தச் சான்றிதழை ஆய்கிறீர்கள் என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் மக்கள் பொதுவாக வட்டில் உள்ள கோப்பைச் சோதிக்கிறார்கள், ஆனால் சுயவிவரம் பழைய நகலை உள்ளே வைக்கிறது. சுயவிவரம் PEM தொகுதிகளை உள்ளே வைக்கும்போது, உள்ளே வைக்கப்பட்ட சான்றிதழே சோதிக்கப்படுகிறது.
சான்றிதழ் அதிகாரம் அடையாளங்களுக்குக் கையொப்பமிடுகிறது, அனுமதிகளுக்கு அல்ல
அதிகாரம் ஒரு பெயரையும் ஒரு கையொப்ப விசையையும் வைத்திருக்கிறது. அது தன் கொள்கையின்படி பொது விசையை அந்தப் பெயருடன் இணைக்கும் சான்றிதழ்களை வழங்குகிறது, செல்லுபடி காலம் மற்றும் பயன்பாட்டுக் கட்டுப்பாடுகள் இணைக்கப்பட்டுள்ளன. உங்கள் கிளையண்டிற்கு வழங்குநரை அறிய அதிகாரத்தின் சான்றிதழ் மட்டுமே தேவை; அதற்கு கையொப்ப விசை ஒருபோதும் தேவையில்லை, அந்த விசையைக் கிளையண்டுகளுக்கு அனுப்புவது பயன்பாட்டு நிறுவல் நம்பும் எந்த அடையாளத்தையும் உருவாக்கும் திறனை அவர்களுக்கு அளிக்கும்.
ஒரு அதிகாரத்தை நம்புவது அது கையொப்பமிட்ட ஒவ்வொரு சான்றிதழையும் வேட்பாளராக்குகிறது, சரியான இணையாக அல்ல. அதே உள் CA இன் வலை சேவையகச் சான்றிதழும் வேட்பாளர். அதனால்தான் பெயர் மற்றும் நோக்க வாயில்கள் உள்ளன, அதனால்தான் சமரசம் செய்யப்பட்ட CA விசை எந்த ஒரு சேவையகத்தையும் விட முக்கியம்: அது அதிகாரம் எப்போதாவது வழங்கிய ஒவ்வொரு அடையாளத்தையும் அடைகிறது. ஒவ்வொரு சாதனத்திற்கும் தனித்தனி கிளையண்ட் சான்றிதழ்களை வழங்குங்கள், இதனால் தொலைந்த மடிக்கணினி முழு நிறுவலின் விசை மாற்றம் அல்ல, ஒரு ரத்து ஆகும்.
கிளையண்ட் உருவாக்க முயற்சிக்கும் பாதையை மீண்டும் உருவாக்குங்கள்
பாதை இணையின் சான்றிதழிலிருந்து தொடங்கி, பூஜ்ஜியம் அல்லது அதற்கு மேற்பட்ட இடைநிலைச் சான்றிதழ்கள் வழியாக, உங்கள் நம்பிக்கைக் களஞ்சியத்தின் வேரை அடைகிறது. காணாமல் போன இடைநிலைச் சான்றிதழே மிகவும் பொதுவான சங்கிலிக் கோளாறு, மேலும் கிளையண்ட் பக்கத்திலிருந்து அது நம்பமுடியாத வேர் போலவே தெரிகிறது. முதலில் இலையைப் படியுங்கள், பின்னர் நீங்கள் அனுப்பப்போகும் பொருளிலிருந்து OpenSSL பாதையை உருவாக்கட்டும்.
openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crtபூஜ்ஜிய வெளியேற்ற நிலை என்பது அந்தக் கோப்புகளிலிருந்து பாதை உருவாக்கப்பட்டது; தோல்வி அடைய முடியாத சான்றிதழைப் பெயரிடுகிறது. openssl verify வெற்றியடைந்தும் கிளையண்ட் இன்னும் மறுத்தால், வேறுபாடு சேவையகம் உண்மையில் அனுப்புவதிலோ அல்லது சுயவிவரம் ஏற்றும் நம்பிக்கைக் கோப்பிலோ உள்ளது. OpenVPN இல் இடைநிலைச் சான்றிதழ்கள் சேவையகச் சான்றிதழ்க் கோப்புடன் செல்லலாம் அல்லது --extra-certs உடன் தனியாக வழங்கப்படலாம், ஒரே பொருள் பெயரின் கீழ் எழுதப்பட்ட இரண்டு வேர்களைக் கொண்ட தொகுப்பு உங்கள் கிளையண்டுகளில் ஒன்றைத் தவறான கிளையில் அனுப்பும்.
பெயரும் நோக்கமும் தனித்தனி வாயில்கள்
சங்கிலி உருவாக்கம் பெயர் உங்களுடையதா என்று ஒருபோதும் கேட்காது. சுயவிவரம் --verify-x509-name அமைக்கும்போது மட்டுமே OpenVPN அதைச் சரிபார்க்கிறது, பொதுப் பெயரை மட்டும் பொருத்தும் பழைய பழக்கம், அடையாளங்கள் subjectAltName இல் வாழும் சான்றிதழ்களில் உடைகிறது. IKEv2 நிறுவல்கள் அமைக்கப்பட்ட அடையாளத்தை SAN உள்ளீடுகளுடனோ தனித்துவப் பெயருடனோ பொருத்துகின்றன, கிளையண்டைப் பொறுத்து, ஒரு வைல்ட்கார்டு அல்லது %any மதிப்பு நீங்கள் இருப்பதாக நினைத்த ஒப்பீட்டை அமைதியாக அணைக்கிறது.
அடுத்து நேரமும் நோக்கமும் வருகின்றன. கடிகாரம் சில மணிநேரம் முன்னே செல்லும் மடிக்கணினி இன்னும் செல்லுபடியாகாத சான்றிதழை நிராகரிக்கிறது, காலாவதியான இடைநிலைச் சான்றிதழ் இலை செல்லுபடியாக இருந்தாலும் பாதையைத் தோல்வியடையச் செய்கிறது. நோக்கத் தோல்விகள் விரிவாக்கப்பட்ட விசைப் பயன்பாட்டில் serverAuth இல்லாத சான்றிதழிலிருந்தோ அல்லது கைக்குலுக்கல் கையொப்பத்தை அனுமதிக்காத keyUsage இலிருந்தோ வருகின்றன, அதை OpenSSL ஆதரிக்கப்படாத சான்றிதழ் நோக்கமாகத் தெரிவிக்கிறது. சரியான வார்ப்புருவிலிருந்து மீண்டும் வழங்குங்கள்; அந்தச் செய்தியில் சரிபார்ப்பை அணைக்க எந்தக் காரணமும் இல்லை.
ரத்து யாராவது அதை அமைத்தால் மட்டுமே இயங்கும்
CRL அல்லது OCSP பதில் தானாகவே பார்க்கப்படுவதில்லை. OpenVPN சேவையகத்தில் கிளையண்ட் சான்றிதழ்கள் ஒரு பட்டியலுடன் --crl-verify ஒன்றைச் சுட்டினால் மட்டுமே ஒப்பிடப்படுகின்றன. சேவையகச் சான்றிதழின் கிளையண்ட் பக்கச் சரிபார்ப்பு செயலாக்கத்தைப் பொறுத்தது, பெரும்பாலும் இருப்பதில்லை. strongSwan இணைக்காக CRL பார்க்கும் முன் அதன் ரத்து செருகியும் ஒரு கொள்கையும் தேவை.
அதுதான் நீங்கள் இறுதியில் பெறும் டிக்கெட்டை விளக்குகிறது: ரத்து செய்யப்பட்ட கிளையண்ட் சான்றிதழ் இன்னும் இணைகிறது, எல்லோரும் ரத்து உடைந்துவிட்டது என்று முடிவு செய்கிறார்கள். எதுவும் சரிபார்க்கவில்லை. CRL ஐ வெளியிட்டு புதுப்பியுங்கள், அல்லது கிளையண்ட் சான்றிதழ்களை மிகக் குறுகிய ஆயுட்காலமாக வைத்திருந்து பழைய ரத்து சிறிது காலம் மட்டுமே முக்கியமாக இருக்கட்டும், சம்பவத்தின் போது தேவைப்படும் முன் ஆய்வகச் சான்றிதழில் ரத்துப் பாதையைப் பயிற்சி செய்யுங்கள்.
சரிபார்ப்பை இயக்கத்தில் வைக்கும் பழுது வரிசை
கோப்புகளைத் தொடும் முன் அறிகுறிகளின்படி வரிசைப்படுத்துங்கள், ஏனெனில் அட்டவணையின் ஒவ்வொரு வரிசையும் உங்களை வேறு ஒரு பொருளுக்கு அனுப்புகிறது.
| Client says | Most likely gate | First check |
|---|---|---|
| unable to get local issuer certificate | trust anchor or missing intermediate | your own openssl verify against the files the profile loads |
| expired or not yet valid | validity window | leaf and intermediate dates against the device clock |
| unsupported certificate purpose | extended key usage | serverAuth present, keyUsage allows the handshake |
| name mismatch | peer identity | subjectAltName entries versus the profile name |
பட்டியலை ஒரே சுற்றில் முடியுங்கள்: சுயவிவரம் ஏற்றும் கோப்பை உறுதிப்படுத்துங்கள், பாதையை நீங்களே உருவாக்குங்கள், சேவையகம் இடைநிலைச் சான்றிதழை அனுப்புகிறதா எனப் பாருங்கள், கடிகாரத்தை ஒப்பிடுங்கள், SAN படியுங்கள், EKU படியுங்கள், பின்னர் மீண்டும் இணைந்து அதே பதிவு வரி மறைவதைப் பாருங்கள். ஒரு சாதனத்திற்கு CA கொடுக்கவே முடியாவிட்டால், பின்னிங் நேர்மையான மாற்று, ஏனெனில் OpenVPN 2.6 --peer-fingerprint ஐ ஏற்றுக்கொண்டு சரிபார்ப்பை நீக்குவதற்குப் பதிலாக நம்பிக்கையை ஒரு விசைக்குச் சுருக்குகிறது. இந்தப் புலங்கள் ஒவ்வொன்றின் பொருளுக்கு RFC 5280 குறிப்பு.