OpenVPN యొక్క CA సంతకం కీని /etc/openvpn వెలుపల ఉంచండి

ట్యుటోరియల్‌లో ఒకేలా కనిపించే రెండు డైరెక్టరీలు పూర్తిగా వేర్వేరు పనులు చేస్తాయి. ఒకటి సర్టిఫికెట్ అథారిటీని ఉంచుతుంది: దాని ప్రైవేట్ కీ, క్రమ సంఖ్య కౌంటర్, మరియు అది సంతకం చేసిన ప్రతిదాని రికార్డు. మరొకటి డీమన్ ప్రారంభమై క్లయింట్లకు సేవ చేయడానికి అవసరమైనది ఉంచుతుంది. రెండింటినీ ఒకే హోస్ట్‌లో ఒకే ఖాతా కింద ఉంచడం ఒక మధ్యాహ్నానికి సౌకర్యం, కానీ అమరిక యొక్క మిగిలిన ఆయుష్షు మొత్తానికి ఖరీదైనది, ఎందుకంటే అప్పుడు డీమన్ తనకు నచ్చిన ఏ గుర్తింపునైనా సృష్టించగల ఏకైక కీ పక్కన నడుస్తుంది.

CA కార్యప్రదేశంలో ఏమి ఉంటుంది

PKI డైరెక్టరీ జారీదారు స్థితి, కాన్ఫిగరేషన్ కాదు. అందులో CA ప్రైవేట్ కీ మరియు సర్టిఫికెట్, క్రమ సంఖ్య ఫైల్, జారీ చేసిన సర్టిఫికెట్ల సూచిక, మరియు వాటి నుండి తయారైన ప్రతి గుర్తింపు పదార్థం ఉంటాయి.

అభ్యర్థనపై సంతకం చేయడం ఆ స్థితిని మారుస్తుంది, కాబట్టి కార్యప్రదేశం VPN సేవ నడవని హోస్ట్‌లో నిర్వాహక నియంత్రిత ఖాతాకు చెందుతుంది. CA ప్రైవేట్ కీని చదవగలిగే ఎవరైనా సర్వర్ నమ్మే సర్టిఫికెట్‌ను జారీ చేయగలరు, కాబట్టి కీ రక్షణే ఒక ఫైల్‌లోని మొత్తం విశ్వాస నమూనా. ఒక అడుగు ఆదా చేయడానికి దాన్ని రెండో స్థలానికి కాపీ చేయడం రక్షించాల్సిన రెండో వస్తువును, మరచిపోవాల్సిన రెండో వస్తువును సృష్టిస్తుంది. ప్రతి సంతకం క్రమ సంఖ్యను పెంచి సూచికకు నమోదు జోడిస్తుంది, కాబట్టి కార్యప్రదేశం ఫైళ్ల ఫోల్డర్ కాదు, స్థితి యొక్క ఒక కాపీ.

ప్రజా CA సర్టిఫికెట్ వేరు. అది పంపిణీ కోసం, మరియు క్లయింట్లు సర్వర్లు ఒకరినొకరు ధృవీకరించడానికి అదే ఉపయోగిస్తాయి.

డీమన్ ప్రారంభమైనప్పుడు చదివేది

నడుస్తున్న సర్వర్ చిన్న సముదాయాన్ని వినియోగిస్తుంది: తన సొంత సర్టిఫికెట్, తన సొంత ప్రైవేట్ కీ, సహచరులను ధృవీకరించడానికి CA సర్టిఫికెట్, మరియు ఎంచుకున్న పద్ధతి కోరే కీ పదార్థం. ఆ మార్గాలను ప్రారంభంలో మరియు మళ్లీ రీలోడ్‌లో చదువుతుంది.

యాజమాన్యాన్ని నిజంగా ప్రారంభమయ్యే యూనిట్‌తో పోల్చి మూల్యాంకనం చేయాలి, ఇంటరాక్టివ్ root షెల్‌తో కాదు. ప్రకటించిన శాండ్‌బాక్సింగ్ ఫైల్ సిస్టమ్‌లో భాగాన్ని చదవడానికి-మాత్రమే లేదా కనిపించకుండా చేయగలదు, rootగా చేతితో చేసిన పరీక్ష విజయవంతమైనా.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

మూడో లైనే ప్రజలు దాటవేసే లైన్. అది డీమన్ సొంత ఖాతానే కీని చదవగలదా అని అడుగుతుంది, మరియు హక్కు దిగిపోయిన తర్వాత ప్రశ్నకు అర్థమున్న ఏకైక రూపం అదే. rootతో సున్నా నిష్క్రమణ హక్కు దిగిపోయిన తర్వాత ఏమి జరుగుతుందో ఏమీ చెప్పదు.

ఏ అనుమతినైనా మార్చే ముందు రెండు వైఫల్య మార్గాలను వేరు చేయడం విలువైనది. సంతక వైఫల్యం PKI డైరెక్టరీ, దాని మూల డైరెక్టరీలపై శోధన అనుమతి, మరియు జారీదారును నడిపే ఖాతాను సూచిస్తుంది. ప్రారంభ వైఫల్యం యూనిట్, దాని పని డైరెక్టరీ, మరియు సర్వర్ కాన్ఫిగరేషన్‌లో పేర్కొన్న మార్గాలను సూచిస్తుంది. మొత్తం చెట్టును అందరూ చదవగలిగేలా చేయడం వాటిలో దేన్నీ సరిచేయదు, మరియు రెండూ ఆధారపడే సరిహద్దును తొలగిస్తుంది.

CA కీని సర్వర్‌కు కాపీ చేయడం తర్వాత ఎందుకు విఫలమవుతుంది

కాపీ సాధారణంగా డీబగ్గింగ్ చర్యగా మొదలవుతుంది: ఎవరో VPN హోస్ట్‌లో క్లయింట్‌ను పునరుద్ధరించాలనుకుంటారు, కాబట్టి CA కీ /etc/openvpn లో పడుతుంది, పునరుద్ధరణ పనిచేస్తుంది. తక్షణ పని విజయవంతమవుతుంది, సరిహద్దు పోతుంది.

తర్వాత సర్వర్ బ్యాకప్ అవుతుంది, సంతక అథారిటీ బ్యాకప్‌లలో చేరుతుంది. స్నాప్‌షాట్, మద్దతు బండిల్ లేదా కాన్ఫిగరేషన్ డైరెక్టరీ కాపీ ఇప్పుడు CA చెల్లుబాటు అయ్యేంత వరకు విశ్వసనీయ గుర్తింపులను జారీ చేసే సామర్థ్యాన్ని మోస్తుంది. ఆ కాపీ ఉన్నవారు సర్వర్ అంగీకరించే ఏ పేరుకైనా సర్టిఫికెట్ తయారు చేయగలరు, ఎప్పుడూ జారీ కాని పేర్లతో సహా. ఆ జారీకి ఏకైక రికార్డు వారు ఉంచుకోవాలని ఎంచుకున్నదే.

అలాంటి స్థితి నుండి కోలుకోవడం ఫైల్ తొలగించడం కాదు. కీ బయటపడిందా అని నిర్ణయించాలి, బయటపడి ఉంటే CAని తిప్పాలి, మరియు ప్రతి సహచరుడికి విశ్వాసాన్ని మళ్లీ పంపిణీ చేయాలి. ప్రత్యేక కార్యప్రదేశం ఆ సంభాషణ మొత్తాన్ని తప్పిస్తుంది.

ఖాతాలు, డైరెక్టరీలు, బ్యాకప్‌లు

జారీదారుకు దాని స్వంత ఖాతా మరియు గృహ డైరెక్టరీ ఇవ్వండి, ఆచరణీయమైతే VPN హోస్ట్ నుండి బయట ఉంచండి. డీమన్‌కు వేరే ఖాతా ఇవ్వండి, అమర్చిన పదార్థంపై చదివే హక్కు మరియు సర్టిఫికెట్లు జారీ చేసే దేనిపైనా రాసే హక్కు లేకుండా. ప్రజా సర్టిఫికెట్లను బయటకు కాపీ చేసి అమర్చండి, ప్రైవేట్ జారీదారు స్థితిని ఎప్పుడూ లోపలికి లాగవద్దు. రెండు పాత్రల బ్యాకప్‌లను విడివిడిగా చేయండి, ఎందుకంటే వాటి సున్నితత్వం మరియు పునరుద్ధరణ కథలు వేరు.

రద్దు తర్వాత సర్వర్ కాన్ఫిగరేషన్ పేర్కొనే CRL ఫైల్‌ను నవీకరించి, తర్వాత కొత్త కనెక్షన్లు దాన్ని చదవడానికి సేవను రీలోడ్ చేయండి. Easy-RSA పత్రాలు కార్యప్రదేశ అమరికను మరియు సంతక ప్రవాహాన్ని కవర్ చేస్తాయి; దాని చుట్టూ ఉన్న యాజమాన్య నియమాలు మీ హోస్ట్ గురించిన నిర్ణయంగానే ఉంటాయి. సేవ ఏమి లోడ్ చేసిందో openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate తో నిర్ధారించండి, రీలోడ్ దాన్ని తీసుకుందని ఊహించడం బదులు.

విభజనను నిరూపించే పరీక్ష

పనిచేసే సందర్భాన్ని మాత్రమే కాదు, ప్రతికూల సందర్భాన్ని కూడా పరీక్షించండి. రూపకల్పన ప్రకారం జారీదారు ఖాతా నుండి సర్టిఫికెట్‌పై సంతకం చేయండి, తర్వాత అదే ఖాతా సేవను ప్రారంభించలేదని లేదా సర్వర్ ప్రైవేట్ కీని చదవలేదని నిర్ధారించండి. తర్వాత డీమన్ ఖాతా CA ప్రైవేట్ కీని చదవలేదని నిర్ధారించండి.

ఆ మూడు పరీక్షలు కొన్ని నిమిషాలు తీసుకుంటాయి, సిబ్బంది మారినా నిలిచి ఉంటాయి, ఎందుకంటే అవి అలవాటు గురించి కాదు, అనుమతుల గురించి ప్రకటనలు. ఫలితాన్ని అది కవర్ చేసిన మార్గాలు మరియు ఖాతాలతో, మరియు మీరు వాటిని నడిపిన తేదీతో రాయండి. లేకపోతే ఈ అమరికను వారసత్వంగా పొందే తదుపరి వ్యక్తి సరిహద్దే లేని ట్యుటోరియల్ నుండి సరిహద్దును మళ్లీ పొందుతారు. తేదీ ఉన్న రికార్డే తదుపరి సమీక్షను మధ్యాహ్నం బదులు కొన్ని నిమిషాలుగా చేస్తుంది.