Yalnızca parola kullanan OpenVPN profilinde hangi CA dosyası yer alır?

Dört soruyu sırayla ele alın ve CA iletişim kutusu artık belirsiz olmaktan çıksın. İşletmeci gerçekte hangi malzemeyi yayımladı, profil zaten ne içeriyor, hangi alan soruyor ve dosya yüklendikten sonra ne oluyor? İşletmecinin kendi talimatlarından yanıtlayamadığınız ilk soruda durun, çünkü ötesini tahmin etmek, genel bir CA sertifikasının sunucudan hiç ayrılmaması gereken özel bir anahtarla eşleşmesinin tam olarak yoludur.

Sıra önemlidir: son iki soru ancak hangi malzemenin var olması gerektiğini bildiğinizde anlam taşır.

Profilin zaten taşıdığı şeyle başlayın

Profili bir metin düzenleyicide açın ve dosya aramadan önce ca bloğunu arayın. İşletmecinin genel CA'sını içeren gömülü bir ca bloğu, profilin kendi kendine yeterli olduğu anlamına gelir ve hâlâ CA dosyası isteyen bir istemci başka bir profili veya eksik bir içe aktarmayı okuyor olabilir. Profilde bunun yerine bir yola işaret eden ca satırı varsa, bu yol bazı entegrasyonlarda istemcinin çalışma dizinine göre göreli, bazılarında ise mutlaktır. Herhangi bir şeyi değiştirmeden önce hangi biçime sahip olduğunuzu not edin.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Profilin başvurduğu dosyalar için teslim edilen paketi denetleyin: bir CA sertifikası, bazen ayrı bir istemci sertifikası ve anahtarı ve muhtemelen bir tls-auth veya tls-crypt dosyası. Dört dosyaya başvurup iki dosyayla gelen bir profil eksiktir ve alanlara işaret etmenin hiçbir miktarı bunu onarmaz. Elinizde olan bir sertifikayı koymak yerine işletmeciden eksik parçayı isteyin.

Dört malzeme türünü ayırın

CA sertifikası sunucunun kimliğini doğrulamak için kullanılan genel malzemedir. İstemci sertifikası kullanıcıyı veya cihazı sunucuya tanıtır. Özel anahtar o istemci sertifikasının gizli yarısıdır ve asla CA'nın imzalama anahtarı ya da sunucu anahtarı olmamalıdır. tls-auth veya tls-crypt malzemesi denetim kanalını koruyan ayrı bir ortak sırdır. Bu dördü birbirinin yerine geçmez ve CA alanını bir istemci sertifikasına yönlendirmek, güven sorunu gibi görünen bir doğrulama hatası üretir.

Yalnızca parolayla kimlik doğrulama dördünden hangisine ihtiyacınız olduğunu değiştirir, anlamlarını değil. auth-user-pass ve remote-cert-tls server ile istemci sunucuyu yine bir CA'ya karşı doğrular, bu yüzden istemci sertifikası olmasa bile CA alanı görünür. İstemci sertifikasının da gerekip gerekmediğine işletmecinin politikası karar verir ve hiçbir iletişim kutusu bunu size söyleyemez.

İstemciyi güven dosyasına yönlendirin

CA sertifika dosyasının kendisini seçin, onu içeren klasörü değil ve istemci kimliği taşıyan .p12 paketini değil. Windows'ta yol sözdizimi ve dosya seçici çoğu kılavuzdaki Linux örneklerinden farklı davranır, bu yüzden kurulu istemcinin kabul ettiğini kullanın ve dosyanın onu çalıştıran hesap tarafından okunabildiğini doğrulayın. İzin sorunu ile eksik dosya iletişim kutusunda aynı görünür ama farklı günlük satırları üretir. Seçimden sonra istemcinin seçimi koruduğunu doğrulamak için profil ayarlarını yeniden açın.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

İstemci gömülü blokları destekliyorsa, elle birleştirilmiş bir profil yerine işletmecinin gömülü profilini tercih edin. Gömülü malzeme profille birlikte taşınır ve yeniden içe aktarmadan sağ çıkar, mutlak bir yol ise profil başka bir makineye taşındığı anda kırılır.

Aynı hatayı değil, sonraki hatayı okuyun

Doğru CA'yı sağlamanın amacı hatayı değiştirmektir, onu yok etmek değil. CA yüklendikten sonra sunucu kimliği hatası, sertifikanın beklenen adla veya remote-cert-tls beklentisiyle eşleşmediği anlamına gelir ve bu, parola reddinden farklı bir onarımdır. Parola reddi, TLS katmanının başarılı olduğu ve kimlik bilgisinin yanlış olduğu anlamına gelir. İlk yeni mesajı saklayın; yararlı olan odur.

Bağlanan ama hiçbir yere ulaşamayan istemci güveni tamamen aşmıştır ve artık yönlendirme veya DNS sorusuyla karşı karşıyadır.

O iletişim kutusunu geçmek için doğrulamayı asla kapatmayın. Her sertifikayı kabul eden bir istemcinin CA istemeye hiçbir nedeni yoktur ve kurduğu tünel işletmecinin amaçladığı tünel değildir.