remote-cert-tls server: OpenVPN ప్రొఫైల్లో అది ఏమి తనిఖీ చేస్తుంది
ఈ సూచన ప్రత్యర్థి సర్టిఫికేట్లో ఎన్కోడ్ చేసిన పాత్రను తనిఖీ చేస్తుంది, దాని పేరును కాదు. ఏదైనా నిలిపివేయడానికి ముందు పాత్ర, విశ్వాస యాంకర్ మరియు హోస్ట్నేమ్ తనిఖీని పోల్చండి.
OpenVPN ప్రొఫైల్లోని మూడు వేర్వేరు భాగాలు మూడు వేర్వేరు ప్రశ్నలకు సమాధానం ఇస్తాయి, వాటిని కలపడమే ప్రజలు పని చేసిన తనిఖీని ఆఫ్ చేయడానికి కారణం. ప్రత్యర్థి సర్టిఫికేట్ నేను విశ్వసించే అధికారం సంతకం చేసిందా? ఆ సర్టిఫికేట్ TLS సర్వర్ పాత్రను ప్రకటిస్తుందా? నేను చేరాలనుకున్న అదే నిర్దిష్ట సర్వర్? remote-cert-tls server మధ్య ప్రశ్నకు మాత్రమే సమాధానం ఇస్తుంది, సర్టిఫికేట్ లోపలి పొడిగింపులను చదవడం ద్వారా అలా చేస్తుంది.
తలలో కలపడం సులభమైన మూడు తనిఖీలు
విశ్వాస యాంకర్ ca సూచనలో ఉంటుంది. పాత్ర తనిఖీ remote-cert-tls సూచనకు చెందుతుంది. గుర్తింపు తనిఖీ verify-x509-name సూచనకు చెందుతుంది, ప్రొఫైల్ దాన్ని ఉపయోగించినప్పుడు, లేదా అమలు జోడించే ఏదైనా పేరు తనిఖీకి.
అవి వేర్వేరు వైఫల్యాలను కవర్ చేస్తాయి:
| Question | Directive | Failure it catches |
|---|---|---|
| Who signed this? | ca | Certificate from an unrelated authority |
| Is this a server? | remote-cert-tls | Client certificate presented by a peer |
| Is this my server? | verify-x509-name | Another valid server from the same CA |
ప్రొఫైల్లో మూడూ ఉండవచ్చు మరియు CA చాలా విస్తృతంగా పంచబడితే ఇప్పటికీ బలహీనంగా ఉండవచ్చు, ఇది సూచన ప్రశ్న కాదు, కీ నిర్వహణ ప్రశ్న.
పాత్ర తనిఖీ ఏమి చదువుతుంది
సూచన ఒక మాక్రో. ఇది కీ వినియోగ అవసరానికి మరియు TLS వెబ్ సర్వర్ పాత్రను పేర్కొనే పొడిగించిన కీ వినియోగ అవసరానికి విస్తరిస్తుంది, కాబట్టి ప్రత్యర్థి సర్టిఫికేట్ ఆ ఉద్దేశ్యాన్ని నిజంగా ప్రకటించాలి. క్లయింట్ ప్రామాణీకరణ కోసం జారీ చేసిన సర్టిఫికేట్ దాన్ని నెరవేర్చదు, అదే అధికారం రెండింటినీ సంతకం చేసినా.
ఇది ముఖ్యం ఎందుకంటే చిన్న అమలుల్లో పంచబడిన CA సాధారణం. ఒక అధికారం ప్రతి క్లయింట్ మరియు సర్వర్కు సంతకం చేస్తుంది, పాత్ర తనిఖీ లేకుండా ఆ సర్టిఫికేట్లలో ఏదైనా హ్యాండ్షేక్ సర్వర్ వైపును పూర్తి చేయగలిగేది. తనిఖీ ఆ సన్నివేశాన్ని అసాధ్యం చేయదు, కానీ దాని చిన్న వెర్షన్ను తొలగిస్తుంది.
సూచన రూపకల్పనలో అసమానం: క్లయింట్లు remote-cert-tls server కలిగి ఉంటారు, సర్వర్లు remote-cert-tls client కలిగి ఉంటారు. వాటిని మార్చండి, ప్రతి కనెక్షన్ విరిగిన సర్టిఫికేట్లా కనిపించే పాత్ర లోపంతో విఫలమవుతుంది.
పాత ప్రొఫైల్లు కొన్నిసార్లు అదే ఉద్దేశ్యానికి ns-cert-type ఉపయోగిస్తాయి. ప్రస్తుత మాన్యువల్ పేజీలు ఆ ఎంపికను భర్తీ చేయబడినట్లు పరిగణిస్తాయి, కాబట్టి ఇంకా దానిపై ఆధారపడే ప్రొఫైల్ను డీబగ్ చేయడం కంటే మైగ్రేట్ చేయడం విలువైనది.
దాన్ని నిలిపివేయడం పరిష్కారంగా అనిపించడం ఎందుకు
పాత్ర తనిఖీ విఫలమైనప్పుడు, కనెక్షన్ ధృవీకరణ లోపంతో ఆగుతుంది మరియు స్పష్టమైన చర్య ఆ లైన్ను తొలగించడం. అప్పుడు కనెక్షన్ పైకి వస్తుంది, ఇది పురోగతిగా అనిపిస్తుంది మరియు వాస్తవానికి సూచన నిరోధించడానికి ఉన్న వైఫల్య విధానం. ఇప్పుడు ఆ పాత్ర కోసం ఎప్పుడూ ఉద్దేశించని సర్టిఫికేట్ ఉన్న ప్రత్యర్థిని మీరు అంగీకరిస్తున్నారు.
బదులుగా లోపాన్ని చదవండి. అది విఫలమైన తనిఖీని పేర్కొంటుంది, మరొక వైపు సర్టిఫికేట్ను పరిశీలించి అది నిజంగా ఏ పొడిగింపులను కలిగి ఉందో చూడవచ్చు. రెండు నిమిషాల పఠనం లోపం జారీలో ఉందా లేదా కాన్ఫిగరేషన్లో ఉందా అని నిర్ణయిస్తుంది. ఊహించడం అర్ధరోజు తీసుకుంటుంది మరియు సాధారణంగా బలహీనమైన ప్రొఫైల్తో ముగుస్తుంది. పొడిగించిన కీ వినియోగాన్ని కోల్పోయిన పునరుద్ధరించిన సర్వర్ సర్టిఫికేట్ పునరుద్ధరణలో నిజమైన లోపం, క్లయింట్ను సడలించడానికి కారణం కాదు.
పేరు తనిఖీ ప్రత్యేక సూచన
పాత్ర తనిఖీని నెరవేర్చడం అంటే ప్రత్యర్థి మీ అధికారం సంతకం చేసిన ఏదో సర్వర్. ఏది అనేది ఏమీ చెప్పదు, అదే CA అనేక గేట్వేలకు సర్టిఫికేట్లను జారీ చేసినప్పుడు మరియు వాటిలో ఒకటి రాజీపడినప్పుడు లేదా మళ్లీ ఉపయోగించబడినప్పుడు ఇది ముఖ్యం.
verify-x509-name సర్టిఫికేట్ విషయాన్ని మీరు కాన్ఫిగర్ చేసిన విలువతో పోలుస్తుంది, ఖచ్చితమైన విషయం, ఉపసర్గ లేదా ఒకే ఫీల్డ్ కోసం సరిపోలిక విధానాలతో. గేట్వేను నిజంగా గుర్తించే ఫీల్డ్ను ఉపయోగించండి, పేరు మారినప్పుడు దాన్ని ఉద్దేశపూర్వకంగా నవీకరించాలని ఆశించండి.
రెండు సూచనలలో ఏదీ మంచి కీ నిర్వహణను భర్తీ చేయదు. క్లయింట్ కీ ఫైల్ ప్రొఫైల్తో పాటు ఇక్కడక్కడ కాపీ చేయబడితే, ప్రత్యర్థి గుర్తింపు పంపిణీ జాబితా అంత బలంగా ఉంటుంది.
ప్రొఫైల్ సవరించే ముందు సర్టిఫికేట్ను పరిశీలించండి
ప్రత్యర్థి సర్టిఫికేట్ మరియు క్లయింట్ లాగ్ను ఆ క్రమంలో చదవండి. సర్టిఫికేట్ ఏ పాత్రలను ప్రకటిస్తుందో చెబుతుంది; లాగ్ ఏ తనిఖీ దాన్ని తిరస్కరించిందో చెబుతుంది.
ఈ ఆదేశాలు వివరణాత్మక కనెక్షన్ నుండి వినియోగ పొడిగింపులు మరియు ధృవీకరణ లైన్లను ముద్రిస్తాయి:
openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verifyపొడిగింపులు సర్వర్ పాత్రను చూపిస్తే మరియు లాగ్ ఇప్పటికీ పాత్ర వైఫల్యాన్ని నివేదిస్తే, ప్రొఫైల్ చెడు సర్టిఫికేట్కు బదులుగా తప్పు సర్టిఫికేట్ ఫైల్ను సూచిస్తోంది. పొడిగింపులు క్లయింట్ ప్రామాణీకరణను మాత్రమే చూపిస్తే, క్లయింట్ను చూడటం ఆపి జారీని సరిచేయండి. ఏ సందర్భంలోనైనా, కనెక్షన్ను ఆరోగ్యకరమైనది అని పిలిచే ముందు తనిఖీని పునరుద్ధరించండి, ఎందుకంటే ధృవీకరణను తీసివేసిన తర్వాత విజయవంతమైన హ్యాండ్షేక్ అది భర్తీ చేసిన లోపం కంటే తక్కువ నిరూపిస్తుంది.