remote-cert-tls server: OpenVPN profilida nimani tekshiradi

OpenVPN profilining uch xil qismi uch xil savolga javob beradi va ularni birlashtirish odamlarning ishlab turgan tekshiruvni o'chirib qo'yishiga olib keladi. Hamkasb sertifikati men ishonadigan idora tomonidan imzolanganmi? O'sha sertifikat TLS server rolini e'lon qiladimi? Bu men yetib bormoqchi bo'lgan o'sha servermi? remote-cert-tls server faqat o'rtadagi savolga javob beradi va buni sertifikat ichidagi kengaytmalarni o'qish orqali qiladi.

Xayolda birlashtirish oson bo'lgan uchta tekshiruv

Ishonch ildizi ca direktivasida joylashgan. Rol tekshiruvi remote-cert-tls ga tegishli. Identifikatsiya tekshiruvi verify-x509-name ga tegishli, agar profil undan foydalansa, yoki joylashtirish qo'shadigan har qanday nom tekshiruviga.

Ular turli nosozliklarni qamrab oladi:

Profilda uchtasi ham bo'lishi va baribir zaif bo'lishi mumkin, agar CA juda keng taqsimlangan bo'lsa; bu direktiva emas, kalitlarni boshqarish masalasi.

Rol tekshiruvi nimani o'qiydi

Direktiva bu makro. U kalitdan foydalanish talabiga va TLS Web Server rolini nomlaydigan kengaytirilgan kalitdan foydalanish talabiga yoyiladi, shuning uchun hamkasb sertifikati haqiqatan o'sha maqsadni e'lon qilishi kerak. Mijoz autentifikatsiyasi uchun berilgan sertifikat buni qanoatlantirmaydi, hatto ikkalasini ham bir idora imzolagan bo'lsa ham.

Bu muhim, chunki kichik joylashtirishlarda umumiy CA odatiy holdir. Bitta idora har bir mijoz va serverni imzolaydi va rol tekshiruvisiz o'sha sertifikatlarning har biri qo'l berib ko'rishishning server tomonini yakunlashi mumkin edi. Tekshiruv bu stsenariyni imkonsiz qilmaydi, lekin uning oddiy variantini yo'q qiladi.

Direktiva dizayni bo'yicha assimetrik: mijozlar remote-cert-tls server ni, serverlar esa remote-cert-tls client ni olib yuradi. Ularni almashtirsangiz, har bir ulanish buzilgan sertifikatga o'xshab ko'rinadigan rol xatosi bilan muvaffaqiyatsiz bo'ladi.

Eski profillar ba'zan xuddi shu maqsad uchun ns-cert-type dan foydalanadi. Joriy qo'llanma sahifalari bu parametrni eskirgan deb hisoblaydi, shuning uchun unga hali ham tayanadigan profilni disk raskadrovka qilishdan ko'ra ko'chirishga arziydi.

Nega uni o'chirish tuzatishdek tuyuladi

Rol tekshiruvi muvaffaqiyatsiz bo'lganda ulanish tekshirish xatosi bilan to'xtaydi va ko'rinib turgan qadam bu satrni o'chirishdir. Keyin ulanish ko'tariladi, bu taraqqiyotdek tuyuladi va aslida direktiva oldini olish uchun mavjud bo'lgan nosozlik rejimidir. Endi siz sertifikati hech qachon o'sha rol uchun mo'ljallanmagan hamkasbni qabul qilasiz.

Buning o'rniga xatoni o'qing. U muvaffaqiyatsiz bo'lgan tekshiruvni nomlaydi va qarshi tomondagi sertifikatni ko'zdan kechirib, unda qanday kengaytmalar borligini ko'rish mumkin. Ikki daqiqalik o'qish nosozlik berishdami yoki sozlashdami ekanini hal qiladi. Taxmin qilish yarim kunni oladi va odatda zaiflashtirilgan profil bilan tugaydi. Kengaytirilgan kalitdan foydalanishni yo'qotgan yangilangan server sertifikati yangilashdagi haqiqiy nuqson, mijozni bo'shashtirish uchun sabab emas.

Nom tekshiruvi alohida direktiva

Rol tekshiruvini qanoatlantirish hamkasb sizning idorangiz tomonidan imzolangan qandaydir server ekanini bildiradi. U qaysi biri ekani haqida hech narsa demaydi; bu bir xil CA bir nechta shlyuz uchun sertifikat berib, ulardan biri buzib kirilgan yoki boshqa maqsadga o'tkazilgan bo'lsa muhim.

verify-x509-name sertifikat subyektini siz sozlagan qiymat bilan solishtiradi; aniq subyekt, prefiks yoki bitta maydon uchun moslashtirish rejimlari bor. Shlyuzni haqiqatan aniqlaydigan maydondan foydalaning va nom o'zgarganda uni ataylab yangilash kerakligini kuting.

Ikkala direktivadan hech biri yaxshi kalit boshqaruvini almashtirmaydi. Agar mijoz kaliti fayli profil bilan birga ko'chirilsa, hamkasb identifikatori faqat tarqatish ro'yxati qadar kuchli.

Profilni tahrirlashdan oldin sertifikatni ko'zdan kechiring

Hamkasb sertifikatini va mijoz jurnalini shu tartibda o'qing. Sertifikat qaysi rollarni e'lon qilishini aytadi; jurnal qaysi tekshiruv uni rad etganini aytadi.

Bu buyruqlar batafsil ulanishdan foydalanish kengaytmalarini va tekshirish satrlarini chiqaradi:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Agar kengaytmalar server rolini ko'rsatsa-yu, jurnal hali ham rol nosozligini xabar qilsa, profil yomon sertifikatga emas, balki noto'g'ri sertifikat fayliga ishora qilmoqda. Agar kengaytmalar faqat mijoz autentifikatsiyasini ko'rsatsa, mijozga qarashni to'xtating va berishni tuzating. Ikkala holatda ham ulanishni sog'lom deb atashdan oldin tekshiruvni tiklang, chunki tekshirish olib tashlangandan keyingi muvaffaqiyatli qo'l berib ko'rishish u egallagan xatodan kamroq narsani isbotlaydi.