O'zi imzolagan mijoz sertifikati? VPN server buni baribir rad etadi

Operator manzil va foydalanuvchi nomini yuboradi, mijoz esa CA fayli, sertifikat va kalitni so'raydi. Bu uchtasini mahalliy ravishda yaratish keyingi aniq qadamdek tuyuladi. Natijada faqat o'z mashinangiz ishonadigan sertifikat paydo bo'ladi. Serverning ishonchi siz boshqarmaydigan CAga bog'langan, shuning uchun qo'l siqish boshlanishidan oldin tugaydi.

Ishonch serverda yashaydi, profilingizda emas

Sertifikat bilan autentifikatsiya bu taqqoslash. Mijoz sertifikat taqdim etadi; shlyuz uning konfiguratsiyasidagi CAlardan biri imzolaganini tekshiradi.

Profilingiz mijoz server ni tekshirish uchun ishlatishi kerak bo'lgan CA faylini ko'rsatadi. U serverning sizni tekshirishi uchun ishlatishi kerak bo'lgan CAni ko'rsata olmaydi. Konfiguratsiyaning o'sha yarmi sizniki emas.

O'zingiz yasagan sertifikat texnik jihatdan mukammal bo'lsa ham bu taqqoslashdan o'tmaydi. Uning haqiqiy imzosi, subyekti va sanalari bor, lekin chiqaruvchi shlyuz hech qachon eshitmagan CA. Xato qo'l siqish paytida, server allaqachon sertifikat so'raganidan keyin paydo bo'ladi. Mijoz profilida hech narsa javobni o'zgartira olmaydi.

Nega o'zi imzolagan sertifikat uni almashtira olmaydi

O'zi imzolagan sertifikat o'z kaliti bilan imzolanadi. Imzo ayni faylga qarshi tekshiriladi, bu uni o'z-o'ziga mos va boshqasining shlyuzi uchun ishonchnoma sifatida foydasiz qiladi.

Shlyuz sertifikatning ichki mosligini so'ramaydi. U ishonchli chiqaruvchi imzolaganini so'raydi.

Shuning uchun xato xabarlari chalkashtiradi. Mijoz server muammosiga o'xshaydigan tekshiruv xatosini bildirishi mumkin, server esa noma'lum chiqaruvchini qayd etadi. Ikkalasi ham bir xil nomuvofiqlikni qarama-qarshi tomondan tasvirlaydi.

CSR yo'li shaxsiy kalitingizni saqlaydi

Ishning katta qismini hali ham mahalliy bajarishingiz mumkin. Kalit juftligini yarating, ochiq yarmi atrofida sertifikat imzolash so'rovini tuzing va bu so'rovni operatorga yuboring. Mashinangizdan faqat so'rov chiqadi. Shaxsiy yarmi yaratgan joyingizda qoladi.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Operator so'rovni o'z CAsi bilan imzolaydi va sertifikat qaytaradi. Shaxsiy kalitingiz hech qachon sayohat qilmagan, natija esa shlyuz ishonadigan langarga zanjirlanadi.

Boshqariladigan xizmatlar ko'pincha CSRni o'tkazib yuboradi va butun to'plamni chiqaradi. Bu xuddi shu provayder tunnelni tugatib, CAni ushlab turganda o'rinli almashinuv. Kalitni saqlash uni ushlab turish bilan yaxshilanmaydi, chunki provayder istalgan vaqtda yangisini yasashi mumkin.

To'plamlar import qilinadi, o'rnatilmaydi

Xavfsizlikka o'xshash nomli sotuvchi to'plamlari ko'pincha OpenVPN profillari. Ularda konfiguratsiya va ba'zan sertifikatlar bo'ladi va ular hech narsa o'rnatmaydi. Faylni protokolni gapiradigan mijozga import qiling, ulanish konfiguratsiya qilinadi.

Ishlash qoidasi mazmundan kelib chiqadi. Agar profil shaxsiy kalitni o'z ichiga olsa, bu ishonchnoma va parolga o'xshash e'tiborga loyiq: elektron pochta yo'q, ombor yo'q, umumiy yuklab olish papkasi yo'q. Operator ca.crt, client.crt va client.key ni alohida bersa, ularni cheklangan ruxsatlar bilan birga saqlang va profilni ularga qarating.

Operator o'tkazib yuborgan bo'lishi mumkin bo'lgan tekshiruvlarni qo'shing

Router yaratgan profilda ba'zan hamkor tekshiruvi bo'lmaydi. remote-cert-tls server hamkor sertifikatida server autentifikatsiyasi maqsadi bo'lishini talab qiladi, shunda mijoz sertifikatini server sifatida qayta o'ynatib bo'lmaydi. O'sha bitta satr aniq asosli kichik o'zgarish.

verify-x509-name operator kutilgan subyekt yoki SANni nomlay olganda yanada ilgarilaydi. Ikkalasi ham profilga kichik qo'shimchalar va ikkalasi ham himoyalanadi. Import qilishdan oldin olganingizni ko'rib chiqing.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Tekshiruv sozlamalari buzilgan zanjirning ta'miri emas. Chiqaruvchi noto'g'ri bo'lsa, javob to'g'ri CAdan olingan sertifikat, tekshiruvni o'chiradigan bayroq emas. Tekshiruvni o'chirish autentifikatsiya xatosini sezilmaydigan xatoga aylantiradi.

Bitta to'plam so'rang: organ sertifikati PEM shaklida, shu organ imzolagan mijoz sertifikati, o'zingiz yaratgan yoki ishonadigan kanal orqali kelgan kalit va sertifikat taqdim etishi kerak bo'lgan aniq server nomi. Xuddi shu xabarda amal qilish muddati tugash sanasini yozib qo'ying, chunki muddati o'tgan sertifikat oylar o'tib tarmoq nosozligidek ko'rinadi.