OpenVPN profilida uchta sertifikat bloki bor: qaysi biri sir?

Bitta satrni o'zgartirish uchun .ovpn faylini ochasiz va barchasi kirish ma'lumotlariga o'xshagan uchta base64 blokini topasiz. Bittasini e'lon qilish xavfsiz, ikkinchisi parol kabi nozik, uchinchisi esa jufti bilan boshqa narsa imzolanmasa hech narsani bildirmaydigan ochiq kalit. Bloklar bir-birining o'rnini bosadigandek ko'ringani uchun odamlar butun faylni yordam mavzusiga yopishtiradi va shunday qilib mijoz kaliti ochiq arxivda qoladi. Qaysi blok nima qilishini ajratish bu profillar atrofidagi chalkashlikning ko'p qismini tushuntiradi va qaysi nosozliklarni o'zingiz tuzatishingiz kerakligini ham aytadi.

Bitta fayl, uchta blok, har xil ishlar

Odatiy profil BEGIN va END belgilari orasiga ca bloki, cert bloki va key blokini joylashtiradi yoki o'sha uchtasiga alohida fayl sifatida ishora qiladi. Ba'zi profillar tls-auth yoki tls-crypt kaliti uchun to'rtinchi blok qo'shadi, u sertifikat emas, umumiy sirdir. Mijoz har bir blokni uni nomlaydigan direktiva bo'yicha o'qiydi, shuning uchun yorliqlar ularning ko'rinish tartibidan muhimroq.

Ichkarisiga chindan qaramaguningizcha yig'ilgan profilni nozik deb hisoblang. Ochiq sertifikat va shaxsiy kalit bir faylda bir necha satr masofada bo'lishi mumkin, sarlavhani o'z ichiga olgan ekran surati ikkalasini ham ko'rsatishi mumkin. Ko'rinadigan base64 ni qo'lda yopish ham ishonchli emas, chunki qismiy blok ham joylashtirishingizni nomlaydigan sertifikat metama'lumotlarini oqizadi. Uchta direktivani qiymatlarisiz ko'chirish odatda foydali savol berish uchun yetarli.

Bloklar atrofidagi direktivalar ularning qanday ishlatilishini belgilaydi. ca ni o'zgartirsangiz, mijoz boshqa organga ishonadi; key ni o'zgartirmasdan cert ni o'zgartirsangiz, qo'l berish ishonchga aloqasi yo'q nomuvofiqlik bilan muvaffaqiyatsiz tugaydi.

CA bloki ochiq, CA kaliti hech qachon

Sertifikat organi ochiq kalitni shaxsga bog'laydigan sertifikatlarga imzo chekadi, uning o'z sertifikati esa mijoz zanjir ishonchli yoki yo'qligini hal qiladigan tayanchdir. Bu sertifikat dizayni bo'yicha ochiq: uni har bir profil ichida yuborish odatiy, shu sababli o'z-o'zini imzolagan joylashtirish tijorat organisiz ishlashi mumkin.

Mijoz profilida hech qachon ko'rinmasligi kerak bo'lgan narsa organning shaxsiy imzo kalitidir. Mijoz unga hech narsani tekshirish uchun muhtoj emas, va uning mavjudligi profilni ushlab turgan har kim butun joylashtirish uchun yangi shaxslar yaratishi mumkinligini bildiradi.

Organga ishonish ham eshitilganidan tor. CA imzolagan har qanday sertifikatni qabul qiladigan mijoz o'sha CA da boshqa xizmat uchun berilgan sertifikatni ham qabul qiladi. Kutilgan server roli yoki nomini qotiradigan opsiyalar bu bo'shliqni yopadi, va TLS opsiyalari ma'lumotnomasi buni qiladigan tekshiruv direktivalarini sanab o'tadi.

Server va mijoz sertifikatlari qarama-qarshi tomonga ishora qiladi

Server sertifikati — mijoz to'g'ri oxirgi nuqtaga yetganini tasdiqlash uchun tekshiradigan narsa. Sizning mijoz sertifikatingiz esa teskari ishlaydi: server undan bu qurilma yoki foydalanuvchi o'zi ro'yxatga olgan shaxs ekanini hal qilish uchun foydalanadi. Bir xil format, qarama-qarshi ishonch yo'nalishi.

Manzil shaxs emas. To'g'ri IP ga yetish kim javob bergani haqida hech narsani isbotlamaydi, shuning uchun xost nomi yoki sertifikat nomini tekshirish hali ham profilga tegishli. Hisob paroli ham talab qilinadigan mijoz sertifikatini jimgina almashtirmaydi, chunki ikkalasi turli bosqichlarda tekshiriladi va joylashtirish ikkalasini ham talab qilishi mumkin.

Mijozning shaxsiy kaliti sir bo'lib qolishi kerak bo'lgan qismdir. Agar u oshkor bo'lgan bo'lishi mumkin bo'lsa, faylni noutbukingizdan o'chirish serverda hech narsani o'zgartirmaydi, server tegishli sertifikatni operator uni bekor qilmaguncha qabul qilishda davom etadi. Operatorni o'sha shaxsni almashtirishga yoki bekor qilishga so'rash siz bilan birga yuradigan yagona yechimdir.

Bir xil ko'rinadigan, ammo bir xil bo'lmagan ikkita so'rov

Shifrlangan shaklda saqlangan kalit mijoz undan foydalanishidan oldin parol iborasini so'raydi. VPN xizmati hisob parolini alohida so'rashi mumkin, va ikkala so'rov deyarli bir xil so'zlar bilan bir necha soniya farq bilan chiqishi mumkin. Ibora diskingizdagi faylni himoya qiladi; parol serverga hisobni isbotlaydi. Ularni aralashtirish odamlarni yordam bera olmaydigan parol tiklashlarga yuboradi.

Biror narsani tiklashdan oldin so'rovni o'qing. Hisob parolini tiklash unutilgan kalit iborasiga, bekor qilingan yoki muddati o'tgan sertifikatga hech narsa qilmaydi, va nosozlik sertifikat tekshiruvi bo'lganda parolni tiklash ikki daqiqalik tuzatishni yordam ishiga aylantiradi. Shikoyatda amal qilish sanalari bo'lsa, avval qurilma soatini, keyin nomlangan sertifikatning o'z oynasini tekshiring.

Sertifikat haqiqatan muddati o'tgan bo'lsa, almashtirish uni bergan tomondan kelishi kerak. Boshqa birovga tegishli kalit yangilash yo'li emas, hamkasbdan ishlaydigan profil qarz olish ham emas.

Toza qo'l berish nimani isbotlaydi va nimani isbotlamaydi

Tugallangan TLS qo'l berishga yetish sozlangan shaxs munosabati saqlanganini bildiradi: server sertifikati CA ingizga zanjirlandi va sertifikatingiz qabul qilindi. Bu operatorning jurnal siyosati haqida hech narsa aytmaydi, tunnel ko'tarilgandan keyin dasturlaringiz ishlaydimi, buni ham aytmaydi.

Marshrutlar va DNS ulanishning keyingi bosqichlari, shuning uchun muvaffaqiyatli kirishdan keyin yetib bo'lmaydigan intranet xosti sertifikat emas, ulanish muammosi. Kirish ma'lumotlarini almashtirish o'rniga o'sha qatlam bilan ishlang va profilni kimgadir berganingizda uning kelib chiqishi, shaxsiy materiali va shaxs tekshiruvlarini birga saqlang.