స్వయం-సంతకం చేసిన క్లయింట్ సర్టిఫికేట్? VPN సర్వర్ ఇప్పటికీ దానిని తిరస్కరిస్తుంది

ఆపరేటర్ చిరునామా మరియు వినియోగదారు పేరును పంపుతారు, క్లయింట్ CA ఫైల్, సర్టిఫికేట్ మరియు కీని అడుగుతుంది. ఈ మూడింటిని స్థానికంగా సృష్టించడం తదుపరి స్పష్టమైన అడుగుగా అనిపిస్తుంది. ఫలితం మీ స్వంత యంత్రం మాత్రమే నమ్మే సర్టిఫికేట్. సర్వర్ విశ్వాసం మీరు నియంత్రించని CAలో నాటుకుపోయి ఉంది, కాబట్టి హ్యాండ్షేక్ ప్రారంభం కాకముందే ముగుస్తుంది.

విశ్వాసం సర్వర్లో నివసిస్తుంది, మీ ప్రొఫైల్లో కాదు

సర్టిఫికేట్ ప్రామాణీకరణ ఒక పోలిక. క్లయింట్ సర్టిఫికేట్ను ప్రదర్శిస్తుంది; గేట్వే దానిని తన కాన్ఫిగరేషన్లోని ఒక CA సంతకం చేసిందా అని తనిఖీ చేస్తుంది.

మీ ప్రొఫైల్ సర్వర్ను ధృవీకరించడానికి క్లయింట్ ఉపయోగించాల్సిన CA ఫైల్ను పేర్కొంటుంది. సర్వర్ మిమ్మల్ని ధృవీకరించడానికి ఉపయోగించాల్సిన CAను అది పేర్కొనలేదు. కాన్ఫిగరేషన్లోని ఆ సగం మీది కాదు.

మీరే తయారు చేసుకున్న సర్టిఫికేట్ సాంకేతికంగా పరిపూర్ణంగా ఉన్నా ఈ పోలికలో విఫలమవుతుంది. దానికి చెల్లుబాటు అయ్యే సంతకం, విషయం మరియు తేదీలు ఉన్నాయి, కానీ జారీచేసేది గేట్వే ఎప్పుడూ వినని CA. లోపం హ్యాండ్షేక్ సమయంలో, సర్వర్ ఇప్పటికే సర్టిఫికేట్ అడిగిన తర్వాత కనిపిస్తుంది. క్లయింట్ ప్రొఫైల్లో ఏదీ సమాధానాన్ని మార్చలేదు.

స్వయం-సంతకం చేసిన సర్టిఫికేట్ దానిని ఎందుకు భర్తీ చేయలేదు

స్వయం-సంతకం చేసిన సర్టిఫికేట్ దాని స్వంత కీతో సంతకం చేయబడుతుంది. సంతకం అదే ఫైల్కు వ్యతిరేకంగా ధృవీకరించబడుతుంది, ఇది దానిని స్వీయ-స్థిరత్వంగా మరియు మరొకరి గేట్వేకు ఆధారంగా పనికిరానిదిగా చేస్తుంది.

గేట్వే సర్టిఫికేట్ అంతర్గతంగా స్థిరంగా ఉందా అని అడగదు. విశ్వసనీయ జారీచేసేవాడు దానిపై సంతకం చేశాడా అని అడుగుతుంది.

అందుకే లోపాల సందేశాలు గందరగోళంగా ఉంటాయి. క్లయింట్ సర్వర్ సమస్యలా అనిపించే ధృవీకరణ వైఫల్యాన్ని నివేదించవచ్చు, అయితే సర్వర్ తెలియని జారీచేసేవాడిని నమోదు చేస్తుంది. రెండూ ఒకే అసమానతను వ్యతిరేక చివరల నుండి వివరిస్తాయి.

CSR మార్గం మీ ప్రైవేట్ కీని ఉంచుతుంది

మీరు ఇప్పటికీ ఎక్కువ పనిని స్థానికంగా చేయవచ్చు. కీ జతను సృష్టించి, పబ్లిక్ సగం చుట్టూ సర్టిఫికేట్ సంతకం అభ్యర్థనను నిర్మించి, ఆ అభ్యర్థనను ఆపరేటర్కు పంపండి. అభ్యర్థన మాత్రమే మీ యంత్రాన్ని విడిచిపెడుతుంది. ప్రైవేట్ సగం మీరు సృష్టించిన చోటే ఉంటుంది.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

ఆపరేటర్ తన CAతో అభ్యర్థనపై సంతకం చేసి సర్టిఫికేట్ను తిరిగి ఇస్తారు. మీ ప్రైవేట్ కీ ఎప్పుడూ ప్రయాణించలేదు, మరియు ఫలితం గేట్వే విశ్వసించే యాంకర్కు గొలుసుగా మారుతుంది.

నిర్వహించబడే సేవలు తరచుగా CSRను దాటవేసి మొత్తం బండిల్ను జారీ చేస్తాయి. అదే ప్రదాత ఇప్పటికే సొరంగాన్ని ముగించి CAని కలిగి ఉన్నప్పుడు అది సరైన మార్పిడి. కీని ఉంచడం దాని సంరక్షణను మెరుగుపరచదు, ఎందుకంటే ప్రదాత ఎప్పుడైనా కొత్తది తయారు చేయగలదు.

బండిల్లు దిగుమతి చేయబడతాయి, ఇన్స్టాల్ చేయబడవు

భద్రతలా వినిపించే పేర్లతో ఉన్న విక్రేత బండిల్లు తరచుగా OpenVPN ప్రొఫైల్లు. అవి కాన్ఫిగరేషన్ మరియు కొన్నిసార్లు సర్టిఫికేట్లను కలిగి ఉంటాయి, మరియు ఏమీ ఇన్స్టాల్ చేయవు. ప్రోటోకాల్ మాట్లాడే క్లయింట్లో ఫైల్ను దిగుమతి చేయండి, కనెక్షన్ కాన్ఫిగర్ అవుతుంది.

నిర్వహణ నియమం కంటెంట్ నుండి వస్తుంది. ప్రొఫైల్లో ప్రైవేట్ కీ పొందుపరిచి ఉంటే, అది ఆధారం మరియు పాస్వర్డ్కు ఇచ్చే అదే శ్రద్ధకు అర్హం: ఇమెయిల్ లేదు, నిల్వ లేదు, భాగస్వామ్య డౌన్లోడ్ ఫోల్డర్ లేదు. ఆపరేటర్ ca.crt, client.crt మరియు client.key విడివిడిగా ఇచ్చినప్పుడు, వాటిని నిర్బంధ అనుమతులతో కలిసి ఉంచి ప్రొఫైల్ను వాటి వైపు చూపండి.

ఆపరేటర్ దాటవేసి ఉండవచ్చిన తనిఖీలను జోడించండి

రౌటర్ సృష్టించిన ప్రొఫైల్లో కొన్నిసార్లు పీర్ ధృవీకరణ ఉండదు. remote-cert-tls server పీర్ సర్టిఫికేట్లో సర్వర్ ప్రామాణీకరణ ప్రయోజనం ఉండాలని కోరుతుంది, తద్వారా క్లయింట్ సర్టిఫికేట్ను సర్వర్గా మళ్లీ ప్లే చేయలేరు. ఆ ఒక్క లైన్ స్పష్టమైన సమర్థనతో కూడిన చిన్న మార్పు.

verify-x509-name ఆపరేటర్ ఆశించిన విషయం లేదా SANని పేర్కొనగలిగినప్పుడు మరింత ముందుకు వెళ్తుంది. రెండూ ప్రొఫైల్కు చిన్న చేర్పులు, రెండూ సమర్థించదగినవి. దిగుమతి చేసే ముందు మీరు పొందినదాన్ని పరిశీలించండి.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

ధృవీకరణ సెట్టింగ్లు విరిగిన గొలుసుకు మరమ్మతు కాదు. జారీచేసేవాడు తప్పు అయితే, సమాధానం సరైన CA నుండి వచ్చే సర్టిఫికేట్, తనిఖీని ఆపేయు జెండా కాదు. ధృవీకరణను ఆపేయడం ప్రామాణీకరణ వైఫల్యాన్ని గుర్తించబడని వైఫల్యంగా మారుస్తుంది.

ఒక బండిల్ అడగండి: PEM రూపంలో అధికార సంస్థ సర్టిఫికేట్, ఆ సంస్థ సంతకం చేసిన క్లయింట్ సర్టిఫికేట్, మీరు సృష్టించిన లేదా మీరు విశ్వసించే మార్గం ద్వారా వచ్చిన కీ, మరియు సర్టిఫికేట్ ప్రదర్శించాల్సిన ఖచ్చితమైన సర్వర్ పేరు. అదే సందేశంలో గడువు తేదీని గుర్తించండి, ఎందుకంటే గడువు ముగిసిన సర్టిఫికేట్ నెలల తర్వాత నెట్వర్క్ లోపంలా కనిపిస్తుంది.