క్లయింట్ సర్టిఫికెట్ లేకుండా OpenVPN: సర్వర్ విధానం, ప్రొఫైల్ కాదు

మీరు సర్టిఫికెట్ మరియు కీ లైన్లను తొలగించి, ప్రొఫైల్ను అప్పగించినా, కనెక్షన్ ఇంకా సర్టిఫికెట్ లోపంతో విఫలమవుతుంది. ఆ అవసరాన్ని అమలు చేసింది ఎప్పుడూ ప్రొఫైల్ కాదు. క్లయింట్ సర్టిఫికెట్ తప్పనిసరా అని సర్వర్ నిర్ణయిస్తుంది, క్లయింట్ వైపు ఏ మార్పు కూడా చర్చల ద్వారా దాన్ని తీసివేయదు. కాబట్టి పరిష్కారం సర్వర్ విధానంలో ఉద్దేశపూర్వకంగా చేసే మార్పు, దానిపై ఆధారపడే ప్రతిదీ అదే దశలో నవీకరించబడుతుంది.

ప్రొఫైల్ విధానం కాదు

Community OpenVPN 2.6 తప్పనిసరి క్లయింట్ సర్టిఫికెట్లతో వస్తుంది, ఎందుకంటే verify-client-cert డిఫాల్ట్గా require. దాన్ని none విలువకు సెట్ చేయడమే సర్టిఫికెట్ డిమాండ్ను ఆపి, క్లయింట్ ప్రామాణీకరణను సర్వర్ ఇప్పటికే నడుపుతున్న వినియోగదారు పేరు మరియు పాస్వర్డ్ ఏర్పాటుకు అప్పగిస్తుంది. పాత మార్గదర్శకాలు అదే ఆలోచన యొక్క పాత అక్షరక్రమమైన client-cert-not-required వైపు చేరుకుంటాయి, కాబట్టి మీ ఇన్స్టాల్ చేసిన సంస్కరణ డాక్యుమెంట్ చేసే ఆదేశాన్ని ఉపయోగించండి. ఏదైనా మార్పు సర్వర్లో జరుగుతుంది, ఏ క్లయింట్ ప్రొఫైల్ ద్వారా కూడా అది సాధ్యం కాదు.

క్రింది భాగం సర్వర్ వైపు మొత్తం మార్పు, ఒంటరిగా అది పనిచేసే ప్రామాణీకరణ కాన్ఫిగరేషన్ కాదు. verify-client-cert none సర్టిఫికెట్ అవసరాన్ని తొలగిస్తుంది, అయితే username-as-common-name ఖాతా పేరును తర్వాతి కాల్బ్యాక్లు మరియు ప్రతి క్లయింట్ ఫైల్లు చూసే గుర్తింపుగా మారుస్తుంది. ఏ లైన్ పాస్వర్డ్ను తనిఖీ చేయదు, కాబట్టి నిర్ధారకుడు ఇంకా ఉండాలి.

verify-client-cert none
username-as-common-name

ఆ నిర్ధారకుడు auth-user-pass-verify ద్వారా నడిచే ప్లగిన్ లేదా స్క్రిప్ట్, పై లైన్లలో ఏదైనా అర్థవంతం కావడానికి ముందు అది తన స్థానంలో ఉండాలి. క్రమాన్ని తిప్పితే సర్వర్ ఎటువంటి సర్టిఫికెట్ అడగని, ఏ ఖాతానూ తనిఖీ చేయని విండో లభిస్తుంది.

సర్వర్ను ఇంకా ఏమి ధృవీకరిస్తుంది

క్లయింట్ సర్టిఫికెట్ను వదిలేయడం TLSను వదిలేయడం కాదు. సర్వర్ తన సర్టిఫికెట్ మరియు కీని ఉంచుకుంటుంది, క్లయింట్ CA నమ్మకాన్ని మరియు మోసగాడితో మాట్లాడకుండా నిరోధించే హోస్ట్నామ్ తనిఖీలను ఉంచుకుంటుంది. క్లయింట్కు ఇక సర్టిఫికెట్ లేదని remote-cert-tls server లేదా CA బండిల్ను తొలగించడం సాధారణమైన మరియు తీవ్రమైన తప్పు పఠనం, 2.6 సూచన రెండు దిశలు స్వతంత్రమని స్పష్టంగా చెబుతుంది. ఒకటి సర్వర్ను క్లయింట్కు నిరూపిస్తుంది; మరొకటి క్లయింట్ను సర్వర్కు నిరూపిస్తుంది.

ప్రొఫైల్ tls-auth లేదా tls-crypt బ్లాక్ను కూడా కలిగి ఉండవచ్చు. అది దాని స్వంత పంపిణీ మరియు భ్రమణ చక్రంతో కూడిన భాగస్వామ్య నియంత్రణ-ఛానల్ కీ, కాబట్టి సర్టిఫికెట్ లేదా కీ లైన్లు లేని ఫైల్ ప్రచురించడానికి స్వయంచాలకంగా సురక్షితం కాదు. మీరు చదివే వరకు దాన్ని రహస్యంగా పరిగణించండి.

పనిచేసే ప్రొఫైల్ నుండి కాపీ చేసిన సర్టిఫికెట్ ఫైల్ దానంతట అదే ఏమీ నిరూపించదు; స్వాధీనం అంటే దానికి సరిపోలే ప్రైవేట్ కీని కలిగి ఉండటం, సర్టిఫికెట్-ప్రామాణీకృత అమరిక దాన్ని తనిఖీ చేస్తుంది. సర్టిఫికెట్ ఉన్న ఫైల్ దానితో ప్రామాణీకరించగలిగే ఫైల్ కాదు.

నిర్ధారకుడు ఏమి చేయాలి

సర్టిఫికెట్ అవసరం తొలగిన తర్వాత ప్రతిదీ నిర్ధారకుడిపై ఆధారపడి ఉంటుంది: ప్లగిన్, లేదా auth-user-pass-verify ద్వారా నడిచే స్క్రిప్ట్. అది చెల్లని ఆధారాలను తిరస్కరించాలి, నిష్క్రియమైన లేదా అనర్హ ఖాతాలను తిరస్కరించాలి, దాని బ్యాకెండ్ను చేరుకోలేనప్పుడు మూసుకుని విఫలమవ్వాలి. username-as-common-name తరచుగా పక్కన సక్రియమవుతుంది, అది తర్వాతి కాల్బ్యాక్లు మరియు ప్రతి క్లయింట్ కాన్ఫిగరేషన్ ఫైల్లు చూసే గుర్తింపును మారుస్తుంది. అది పాస్వర్డ్ను ధృవీకరించదు, అనర్హ ఖాతాను అర్హత గలదిగా చేయదు. అవి వేర్వేరు పనులు, వాటిని కలపడమే ఒక వలస సంతోషకర మార్గ పరీక్షలో ఉత్తీర్ణమై తన మొదటి నిజమైన సంఘటనలో విఫలమయ్యే విధానం.

ప్రతికూల సందర్భాలను సానుకూల సందర్భం అంత జాగ్రత్తగా పరీక్షించండి. పాస్వర్డ్ ప్రాంప్ట్ను చూపించే ప్రొఫైల్ క్లయింట్ ప్రాంప్ట్ను గీయగలదని మాత్రమే నిరూపిస్తుంది, తప్పు పాస్వర్డ్ను అంగీకరించే సర్వర్ మరింత ఘోరమైనదాన్ని నిరూపిస్తుంది. పరీక్ష సముదాయానికి చెడ్డ పాస్వర్డ్ మాత్రమే కాకుండా, నిష్క్రియ ఖాతా మరియు గడువు ముగిసిన ఆధారాన్ని కూడా జోడించండి.

విధానం, ప్రొఫైల్ మరియు మ్యాపింగ్ను కలిసి మార్చండి

మూడు విషయాలను సమన్వయం చేయండి: సర్వర్ ఆదేశం, క్లయింట్ ప్రొఫైల్, మరియు ప్రతి క్లయింట్ గుర్తింపు మ్యాపింగ్. వాటిని విడివిడిగా మార్చితే క్లయింట్లు ధృవీకరణకు ముందే విఫలమవుతాయి, లేదా నిర్వాహకుడు ఊహించని పేరుతో కనెక్ట్ అవుతాయి, అది విజయంలా కనిపించడం వల్ల మరింత దారుణం. తప్పు గుర్తింపుతో విజయవంతమైన కనెక్షన్ను విఫలమయ్యే దానికంటే గమనించడం కష్టం.

ఈ మార్గం కోసం రెండు పరీక్ష ఖాతాలను ఉంచండి, ఒకటి చెల్లుబాటు అయినది మరియు ఒకటి తెలిసిన చెడ్డది, నిర్ధారకుడిలో ఏదైనా మార్పు తర్వాత రెండింటినీ ఉపయోగించండి. చెల్లుబాటు అయిన ఖాతా సంతోషకర మార్గాన్ని మరియు గుర్తింపు మ్యాపింగ్ను నిరూపిస్తుంది; చెడ్డది తిరస్కరణ ఇంకా పనిచేస్తుందని నిరూపిస్తుంది. ఏ పరీక్ష మీకు అర్హత నియమాల గురించి ఏమీ చెప్పదు, కాబట్టి అమరికలో అలాంటి నియమాలు ఉంటే విధాన కారణాల వల్ల తిరస్కరించబడాల్సిన ఖాతాను జోడించండి. ప్రతి మార్పు తర్వాత మూడింటినీ అమలు చేయండి, ఎందుకంటే అన్నింటినీ అంగీకరించడం ప్రారంభించిన నిర్ధారకుడు పనిచేసే లాగిన్ లాగానే కనిపిస్తుంది.

సర్వర్ నిజంగా ఏ ప్రామాణీకరణ పద్ధతులను అంగీకరిస్తుందో నమోదు చేయండి, ప్రొఫైల్ సూచించేవి కాదు. ఆ నమోదు ప్రజలు నిరంతరం అడిగే ప్రశ్నకు సమాధానం ఇస్తుంది, అంటే ఈ సేవకు ఎవరు కనెక్ట్ కాగలరు. ఇది తదుపరి నిర్వాహకుడిని కూడా దాటి నిలుస్తుంది, లేకపోతే అతను దాన్ని ప్యాకెట్ క్యాప్చర్ నుండి మళ్లీ కనుగొంటాడు.