Faqat parol bilan ishlaydigan OpenVPN profiliga qaysi CA fayli kiradi?

To'rt savolni tartib bilan o'ting va CA dialogi endi noaniq bo'lmaydi. Operator aslida qanday material chiqargan, profilda nima bor, qaysi maydon so'rayapti va fayl yuklangandan keyin nima bo'ladi? Operatorning o'z ko'rsatmalaridan javob bera olmaydigan birinchi savolda to'xtang, chunki undan nariga taxmin qilish — ommaviy CA sertifikatining serverdan hech qachon chiqmasligi kerak bo'lgan shaxsiy kalit bilan juftlashish yo'li.

Tartib muhim: oxirgi ikki savol qanday material bo'lishi kerakligini bilgandan keyingina mazmunga ega.

Profil allaqachon saqlayotgan narsadan boshlang

Profilni matn muharririda oching va fayl izlashdan oldin ca blokini izlang. Operatorning ommaviy CA sini saqlovchi ichki ca bloki profil o'zini o'zi ta'minlashini bildiradi, va hali ham CA faylini so'rayotgan mijoz boshqa profilni yoki to'liq bo'lmagan importni o'qiyotgan bo'lishi mumkin. Agar profilda uning o'rniga yo'lga ishora qiluvchi ca satri bo'lsa, bu yo'l ba'zi integratsiyalarda mijozning ish katalogiga nisbatan, boshqalarida esa mutlaq. Biror narsani o'zgartirishdan oldin qaysi shaklda ekanini yozib qo'ying.

ca /absolute/path/operator-ca.crt
auth-user-pass
remote-cert-tls server

Profil havola qilgan fayllar uchun yetkazilgan paketni tekshiring: CA sertifikati, ba'zan alohida mijoz sertifikati va kaliti, va ehtimol tls-auth yoki tls-crypt fayli. To'rt faylga havola qilib, ikkitasi bilan kelgan profil to'liq emas, va maydonlarga ishora qilishning hech qanday miqdori buni tuzatmaydi. Tasodifan sizda bor sertifikatni almashtirish o'rniga operatordan yetishmayotgan qismni so'rang.

Materialning to'rt turini ajrating

CA sertifikati — serverning shaxsini tekshirish uchun ishlatiladigan ommaviy material. Mijoz sertifikati foydalanuvchini yoki qurilmani serverga tanitadi. Shaxsiy kalit — o'sha mijoz sertifikatining maxfiy yarmi, va u hech qachon CA ning imzo kaliti yoki server kaliti bo'lmasligi kerak. tls-auth yoki tls-crypt materiali boshqaruv kanalini himoya qiladigan alohida umumiy sir. Bu to'rttasi bir-birini almashtirmaydi, va CA maydonini mijoz sertifikatiga yo'naltirish ishonch muammosiga o'xshab ko'rinadigan tekshiruv xatosini keltirib chiqaradi.

Faqat parol bilan autentifikatsiya to'rttadan qaysi biri kerakligini o'zgartiradi, ularning ma'nosini emas. auth-user-pass va remote-cert-tls server bilan mijoz serverni hali ham CA ga qarshi tekshiradi, shuning uchun mijoz sertifikati bo'lmasa ham CA maydoni ko'rinadi. Mijoz sertifikati ham talab qilinishini operator siyosati hal qiladi, va hech qanday dialog buni sizga ayta olmaydi.

Mijozni ishonch fayliga yo'naltiring

CA sertifikat faylining o'zini tanlang, uni saqlovchi jildni emas va mijoz shaxsini saqlovchi .p12 paketini emas. Windows da yo'l sintaksisi va fayl tanlagichi ko'pchilik qo'llanmalardagi Linux misollaridan boshqacha ishlaydi, shuning uchun o'rnatilgan mijoz qabul qiladigan usuldan foydalaning va faylni ishga tushiruvchi hisob o'qiy olishini tasdiqlang. Ruxsat muammosi va yo'q fayl dialogda bir xil ko'rinadi, lekin turli jurnal satrlarini beradi. Tanlagandan keyin mijoz tanlovni saqlab qolganini tasdiqlash uchun profil sozlamalarini qayta oching.

<ca>
-----BEGIN CERTIFICATE-----
...operator-provided public CA...
-----END CERTIFICATE-----
</ca>

Agar mijoz ichki bloklarni qo'llab-quvvatlasa, qo'lda yig'ilgan profildan operatorning ichki profilini afzal ko'ring. Ichki material profil bilan birga yuradi va qayta importdan omon qoladi, mutlaq yo'l esa profil boshqa mashinaga ko'chgan paytda buziladi.

Xuddi shu xatoni emas, keyingi xatoni o'qing

To'g'ri CA berishning maqsadi xatoni o'zgartirish, uni yo'q qilish emas. CA yuklangandan keyingi server shaxsi xatosi sertifikat kutilgan nomga yoki remote-cert-tls kutilishiga mos kelmaganini bildiradi, va bu parol rad etilishidan boshqa tuzatish. Parol rad etilishi TLS qatlami muvaffaqiyatli o'tganini va hisob ma'lumotlari noto'g'ri ekanini bildiradi. Birinchi yangi xabarni saqlang; foydalisi o'sha.

Ulanadigan, lekin hech qayerga yetib bormaydigan mijoz ishonchdan butunlay o'tib ketgan va endi marshrutlash yoki DNS savoliga duch keladi.

O'sha dialogdan o'tish uchun tekshiruvni hech qachon o'chirmang. Har qanday sertifikatni qabul qiladigan mijozning CA so'rashga sababi yo'q, va u quradigan tunnel operator nazarda tutgan tunnel emas.