Ang VPN key mo ay nababasa ng lahat: ano ang ayusin

Ang unang senyales ay karaniwang babala, hindi pagkasira. Tumanggi ang isang kliyente na mag-load ng key dahil nababasa ang file ng grupo o ng lahat, o may natagpuang client.key sa mode 644 sa isang direktoryo ng profile na mayroon ding mga na-export na bundle. Wala pang nabigo, at iyon ang dahilan kung bakit binabalewala ang babala. Gumagana ang key, bumabangon ang tunnel, at nababasa ang file ng bawat account sa makina.

Ang sintomas ay babala sa pahintulot, hindi pagkawala ng serbisyo

Sa sistemang tulad ng Unix, ang pribadong key ay dapat nababasa lamang ng account na nagpapatakbo ng serbisyo. Ang mode 600 na may tamang may-ari ay ang karaniwang kaayusan. Ang mode 644 ay nangangahulugang makokopya ng bawat lokal na user ang key, at sa isang shared build host ay tunay na madla iyon.

Ang mga kliyenteng nagsusuri nito ay gumagawa sa iyo ng pabor. Ang hindi nagsusuri ay hindi patunay na ligtas ang file, at ang matagumpay na koneksyon ay walang sinasabi tungkol sa kung sino pa ang makababasa ng materyal na nagpaging posible nito. Ituring ang babala bilang ang buong natuklasan. Ito ay tumpak, at dumating bago pa may kumopya ng file.

Itugma ang mode sa pagkakakilanlan ng serbisyo

Ang pag-access na para lamang sa may-ari ay umaangkop sa key na ginagamit ng may-ari na iyon. Ang serbisyong may sadyang pinagsasaluhang grupo ay maaaring mangailangan ng ibang kontroladong kaayusan, tulad ng pagbasa ng grupo sa key na pag-aari ng isang service account. Ang bulag na paglalagay ng isang numerikong mode sa lahat ng file ay sumisira sa mga sinusuportahang kliyente, at chmod -R 777 ay hindi solusyon sa anuman.

Suriin ang may-ari at ang service account bago magbago ng anuman. Ang pampublikong CA certificate at pribadong identity key ay may magkaibang pangangailangan sa pagiging lihim kahit nasa iisang direktoryo, kaya ang recursive na mode sa buong folder ay tinatrato ang dalawa na parang isang bagay.

ls -l /etc/openvpn/client/
stat -c '%U %G %a %n' /etc/openvpn/client/*.key
id openvpn

Sa ibang platform, gamitin ang dokumentadong key store o modelo ng access control sa halip na isalin ang Unix mode sa isang hula. Ang pangalan ng file na nagtatapos sa private ay isang label, hindi mekanismo ng pagpapatupad.

Hanapin ang mga kopyang hindi sakop ng mode

Ang mga editor, backup archive, na-export na profile at pansamantalang bundle ay bawat isa ay maaaring magpanatili ng parehong pagkakakilanlan. Protektahan ang mga kopyang iyon ayon sa nilalaman, dahil ang paghigpit ng orihinal na file ay walang ginagawa para sa nasa tar ng nakaraang buwan.

Ang passphrase sa isang key file ay kapaki-pakinabang para sa nakaimbak na materyal at hindi nagbibigay-katwiran sa paglalathala ng naka-encrypt na file sa tabi ng password nito. Pinoprotektahan ng mga pahintulot ang kasalukuyang object ng filesystem; wala silang sinasabi tungkol sa kredensyal na nakopya na sa ibang lugar.

Hanapin ang mga kopya bago ideklarang tapos ang trabaho: grep -rl ang header line ng key sa mga malamang direktoryo, at isang sulyap sa mga pagbubukod ng backup. Ang resulta ay kadalasang mas kawili-wili kaysa sa file na sinimulan mo.

Pagkatapos ng pagwawasto, i-verify at palitan

Subukan na nagpapatotoo pa rin ang nilalayong serbisyo, pagkatapos ay kumpirmahin na walang hindi kinakailangang account ang nakakuha ng access. Limitahan ang diagnostic output sa metadata, dahil hindi kailangan ang pag-print ng key upang patunayang nababasa ang file at inilalagay nito ang materyal sa log.

Kung nalantad ang key, higpitan ang mode, pagkatapos ay palitan ang kredensyal at i-revoke ang luma. Ipinapaliwanag ng POSIX chmod specification ang kahulugan ng bawat mode bit, na karapat-dapat malaman bago hilingin ng susunod na review na bigyang-katwiran mo ang numerong pinili mo.