OpenVPN ప్రొఫైల్లో మూడు సర్టిఫికెట్ బ్లాక్లు ఉన్నాయి: ఏది రహస్యం?

ఒక లైన్ మార్చడానికి మీరు .ovpn ఫైల్ తెరుస్తారు, అన్నీ లాగిన్ వివరాల్లా కనిపించే మూడు base64 బ్లాక్లు కనిపిస్తాయి. ఒకటి ప్రచురించడానికి సురక్షితం, మరొకటి పాస్వర్డ్ంత సున్నితం, మూడోది దాని జోడీతో వేరే ఏదీ సంతకం చేయకపోతే ఏ అర్థాన్ని ఇవ్వని పబ్లిక్ కీ. బ్లాక్లు పరస్పరం మార్చుకోగలిగినట్లు కనిపిస్తాయి కాబట్టి ప్రజలు మొత్తం ఫైల్ను సహాయ థ్రెడ్లో అతికిస్తారు, అలా క్లయింట్ కీ పబ్లిక్ ఆర్కైవ్లో మిగిలిపోతుంది. ఏ బ్లాక్ ఏమి చేస్తుందో వేరు చేయడం ఈ ప్రొఫైల్ల చుట్టూ ఉన్న చాలా గందరగోళాన్ని వివరిస్తుంది, ఏ వైఫల్యాలను మీరే సరిచేయాలో కూడా చెబుతుంది.

ఒక ఫైల్, మూడు బ్లాక్లు, వేరే పనులు

సాధారణ ప్రొఫైల్ BEGIN మరియు END గుర్తుల మధ్య ca బ్లాక్, cert బ్లాక్ మరియు key బ్లాక్ను ఉంచుతుంది, లేదా అదే మూడింటిని వేరే ఫైల్లుగా సూచిస్తుంది. కొన్ని ప్రొఫైల్లు tls-auth లేదా tls-crypt కీ కోసం నాల్గవ బ్లాక్ను జోడిస్తాయి, అది సర్టిఫికెట్ కాదు, పంచుకున్న రహస్యం. క్లయింట్ ప్రతి బ్లాక్ను దానిని పేర్కొనే సూచన ప్రకారం చదువుతుంది, కాబట్టి లేబుళ్లు అవి కనిపించే క్రమం కంటే ముఖ్యం.

లోపల నిజంగా చూసే వరకు కలిపిన ప్రొఫైల్ను సున్నితమైనదిగా పరిగణించండి. పబ్లిక్ సర్టిఫికెట్ మరియు ప్రైవేట్ కీ ఒకే ఫైల్లో కొన్ని లైన్ల దూరంలో ఉండవచ్చు, శీర్షికతో కూడిన స్క్రీన్షాట్ రెండింటినీ కలిగి ఉండవచ్చు. కనిపించే base64ను చేతితో కప్పడం కూడా నమ్మదగినది కాదు, ఎందుకంటే పాక్షిక బ్లాక్ కూడా మీ అమరికను పేర్కొనే సర్టిఫికెట్ మెటాడేటాను లీక్ చేస్తుంది. మూడు సూచనలను వాటి విలువలు లేకుండా కాపీ చేయడం సాధారణంగా ఉపయోగకరమైన ప్రశ్న అడగడానికి సరిపోతుంది.

బ్లాక్ల చుట్టూ ఉన్న సూచనలు అవి ఎలా ఉపయోగించబడతాయో నిర్ణయిస్తాయి. ca మార్చండి, క్లయింట్ మరో అధికారాన్ని నమ్ముతుంది; key మార్చకుండా cert మార్చండి, నమ్మకంతో ఎలాంటి సంబంధం లేని అసమతుల్యతతో హ్యాండ్షేక్ విఫలమవుతుంది.

CA బ్లాక్ పబ్లిక్, CA కీ ఎప్పుడూ కాదు

సర్టిఫికెట్ అధికారం పబ్లిక్ కీని గుర్తింపుతో కలిపే సర్టిఫికెట్లపై సంతకం చేస్తుంది, దాని స్వంత సర్టిఫికెట్ గొలుసు నమ్మదగినదా అని క్లయింట్ నిర్ణయించే యాంకర్. ఆ సర్టిఫికెట్ రూపకల్పన ప్రకారమే పబ్లిక్: దానిని ప్రతి ప్రొఫైల్లో పంపడం సాధారణం, అందుకే స్వయం-సంతకం అమరిక వాణిజ్య అధికారం లేకుండా పనిచేయగలదు.

క్లయింట్ ప్రొఫైల్లో ఎప్పుడూ కనిపించకూడనిది అధికారం యొక్క ప్రైవేట్ సంతకం కీ. ఏదీ ధృవీకరించడానికి క్లయింట్కు అది అవసరం లేదు, దాని ఉనికి అంటే ప్రొఫైల్ ఉన్న ఎవరైనా మొత్తం అమరికకు కొత్త గుర్తింపులను సృష్టించగలరు.

అధికారాన్ని నమ్మడం కూడా వినిపించే దానికంటే ఇరుకైనది. CA సంతకం చేసిన ఏ సర్టిఫికెట్నైనా అంగీకరించే క్లయింట్ అదే CAలో మరో సేవ కోసం జారీ చేసిన సర్టిఫికెట్ను కూడా అంగీకరిస్తుంది. ఆశించిన సర్వర్ పాత్ర లేదా పేరును పిన్ చేసే ఎంపికలు ఆ ఖాళీని మూస్తాయి, మరియు TLS ఎంపికల సూచిక అలా చేసే ధృవీకరణ సూచనలను జాబితా చేస్తుంది.

సర్వర్ మరియు క్లయింట్ సర్టిఫికెట్లు వ్యతిరేక దిశల్లో చూపుతాయి

సర్వర్ సర్టిఫికెట్ అనేది సరైన చివరి బిందువును చేరుకున్నారా అని నిర్ధారించడానికి క్లయింట్ పరిశీలించేది. మీ క్లయింట్ సర్టిఫికెట్ వ్యతిరేక దిశలో పనిచేస్తుంది: ఈ పరికరం లేదా వినియోగదారు తాను నమోదు చేసుకున్న వారే అని నిర్ణయించడానికి సర్వర్ దానిని ఉపయోగిస్తుంది. అదే ఆకృతి, వ్యతిరేక నమ్మక దిశ.

చిరునామా గుర్తింపు కాదు. సరైన IPకి చేరుకోవడం ఎవరు సమాధానం ఇచ్చారనే దానిపై ఏమీ నిరూపించదు, అందుకే హోస్ట్నామ్ లేదా సర్టిఫికెట్ పేరు తనిఖీ ఇంకా ప్రొఫైల్కే చెందుతుంది. ఖాతా పాస్వర్డ్ కూడా అవసరమైన క్లయింట్ సర్టిఫికెట్ను నిశ్శబ్దంగా భర్తీ చేయదు, ఎందుకంటే రెండూ వేరే దశల్లో తనిఖీ చేయబడతాయి మరియు అమరిక రెండింటినీ కోరవచ్చు.

క్లయింట్ ప్రైవేట్ కీ ప్రైవేట్గానే ఉండాల్సిన భాగం. అది బహిర్గతమై ఉండవచ్చు అని అనుమానం ఉంటే, మీ ల్యాప్టాప్ నుండి ఫైల్ తొలగించడం సర్వర్లో ఏమీ మార్చదు, అది సంబంధిత సర్టిఫికెట్ను ఆపరేటర్ రద్దు చేసే వరకు అంగీకరిస్తూనే ఉంటుంది. ఆ గుర్తింపును భర్తీ చేయమని లేదా రద్దు చేయమని ఆపరేటర్ను అడగడమే మీతో ప్రయాణించే ఏకైక పరిష్కారం.

ఒకేలా కనిపించే, కానీ ఒకటి కాని రెండు అభ్యర్థనలు

ఎన్క్రిప్ట్ చేసిన రూపంలో నిల్వ చేసిన కీ క్లయింట్ ఉపయోగించే ముందు పాస్ఫ్రేజ్ అడుగుతుంది. VPN సేవ విడిగా ఖాతా పాస్వర్డ్ అడగవచ్చు, రెండు అభ్యర్థనలు దాదాపు ఒకే మాటల్లో కొన్ని సెకన్ల వ్యవధిలో రావచ్చు. పాస్ఫ్రేజ్ మీ డిస్క్లోని ఫైల్ను రక్షిస్తుంది; పాస్వర్డ్ సర్వర్కు ఖాతాను నిరూపిస్తుంది. రెండింటినీ కలిపేయడం ప్రజలను సహాయపడలేని పాస్వర్డ్ రీసెట్ల వైపు పంపుతుంది.

ఏదైనా రీసెట్ చేయడానికి ముందు అభ్యర్థనను చదవండి. ఖాతా పాస్వర్డ్ రీసెట్ మరచిపోయిన కీ పాస్ఫ్రేజ్కు, రద్దు చేసిన లేదా గడువు ముగిసిన సర్టిఫికెట్కు ఏమీ చేయదు, వైఫల్యం సర్టిఫికెట్ ధృవీకరణ అయినప్పుడు పాస్వర్డ్ రీసెట్ చేయడం రెండు నిమిషాల పరిష్కారాన్ని సహాయ కేసుగా మారుస్తుంది. ఫిర్యాదులో చెల్లుబాటు తేదీలు ఉంటే, ముందుగా పరికరం గడియారాన్ని, తర్వాత పేర్కొన్న సర్టిఫికెట్ స్వంత కాలాన్ని తనిఖీ చేయండి.

సర్టిఫికెట్ నిజంగా గడువు ముగిసి ఉంటే, భర్తీ దానిని జారీ చేసిన వారి నుండే రావాలి. మరొకరికి చెందిన కీ పునరుద్ధరణ మార్గం కాదు, సహచరుడి నుండి పనిచేసే ప్రొఫైల్ అప్పు తీసుకోవడం కూడా కాదు.

శుభ్రమైన హ్యాండ్షేక్ ఏమి నిరూపిస్తుంది, ఏమి నిరూపించదు

పూర్తయిన TLS హ్యాండ్షేక్ను చేరుకోవడం అంటే కాన్ఫిగర్ చేసిన గుర్తింపు సంబంధం నిలిచింది: సర్వర్ సర్టిఫికెట్ మీ CAతో గొలుసుగా కలిసింది మరియు మీ సర్టిఫికెట్ అంగీకరించబడింది. ఇది ఆపరేటర్ లాగింగ్ విధానం గురించి ఏమీ చెప్పదు, టన్నెల్ పైకి వచ్చిన తర్వాత మీ యాప్లు పనిచేస్తాయా అని కూడా చెప్పదు.

మార్గాలు మరియు DNS కనెక్షన్ తర్వాతి దశలు, కాబట్టి విజయవంతమైన లాగిన్ తర్వాత చేరుకోలేని ఇంట్రానెట్ హోస్ట్ సర్టిఫికెట్ సమస్య కాదు, కనెక్టివిటీ సమస్య. లాగిన్ వివరాలను మార్చడం బదులు ఆ పొరపై పని చేయండి, ప్రొఫైల్ను ఎవరికైనా ఇచ్చేటప్పుడు దాని మూలం, దాని ప్రైవేట్ పదార్థం మరియు దాని గుర్తింపు తనిఖీలను కలిపి ఉంచండి.