Nima uchun server kalitlari va foydalanuvchi hisob ma'lumotlari alohida egalarga tegishli bo'lishi kerak

Shlyuzingiz o'zi ekanini isbotlaydigan kalit va bir odam qo'shilishi mumkinligini aytadigan hisob ma'lumoti — ikkalasi ham sir, o'xshashlik shu yerda tugaydi. Biri har bir mijoz oldida xizmatni taniydi; ikkinchisi o'sha xizmat oldida bitta foydalanuvchini taniydi. Ikkalasini aralashtirish sozlashda bir qadam tejaydi, hodisa paytida esa yarim kunni yo'qotadi, chunki har birining tiklanishi bir xil amal emas. Ajratishni sozlash zerikarli, uni o'tkazib yuborish esa esda qoladi.

Ikki sir, ikki xil egasi

Shlyuz faqat qo'l berish paytida o'z identifikatorini isbotlash vazifasini bajaradigan maxfiy kalit yoki sertifikat saqlaydi. Mijozlarga uni tekshirish uchun mos ochiq material kerak va ular hech qachon maxfiy yarmiga muhtoj emas. Aynan shu assimetriya har bir foydalanuvchiga serverni taqlid qilish imkonini bermasdan server autentifikatsiyasini mumkin qiladi.

Foydalanuvchi materiali boshqa yo'nalishda. Mijozning maxfiy kaliti, mijoz sertifikati yoki parol aynan shu shaxs yoki qurilmaga ruxsat berilganini ko'rsatadi. U tarqatilishi, qurilmalar orasida ko'chirilishi va oxir-oqibat bekor qilinishi kutiladi.

WireGuard ajratishni yaqqol ko'rsatadi, chunki har bir ishtirokchining kalit juftligi bor: serverning maxfiy kaliti serverda qoladi, foydalanuvchiga beradigan konfiguratsiya faylida esa uning o'z maxfiy kaliti va serverning ochiq kaliti bo'ladi. Serverning maxfiy kalitini o'z ichiga olgan profil qisqartma emas, u fayl almashishni kutayotgan murosa.

Ajratishni hal qiladigan uch savol

Sirni kim o'qiy olishi kerakligini, oshkor bo'lishi hujumchiga nima qilish imkonini berishini va tuzatish bitta bekor qilishmi yoki xizmatni qayta qurishmi — shularni so'rang.

Agar foydalanuvchi uni o'qiy olsa va u shlyuz identifikatorini isbotlasa, ikkinchi savolga javob: hujumchi har bir mijoz oldida sizning serveringizni taqlid qila oladi — eng yomon natija, chunki mijozlar aynan shu identifikatorga ishonish uchun yaratilgan. Agar u faqat bitta foydalanuvchini isbotlasa, oshkor bo'lish o'sha foydalanuvchining bitta tengdoshiga ruxsat beradi va bekor qilish odatiy amaldir. Agar bu sertifikat markazining kaliti bo'lsa, oshkor bo'lish ikkalasidan ham yomon, chunki hujumchi har bir oxirgi nuqta ishonadigan identifikatorlarni yaratishi mumkin.

Bu uch javob saqlash qoidasini keltirib chiqaradi: CA kaliti oflayn yoki seyfda yashaydi, shlyuz kaliti shlyuzda yashaydi, foydalanuvchi kalitlari esa foydalanuvchilar bilan yashaydi. Qulaylik uchun uchalasini bitta katalogga joylaydigan har qanday tartib qarorni tasodifga aylantirib qo'ygan.

Mijozga aslida nima kerak

Mijozga ochiq sertifikat yoki ochiq tengdosh kaliti, ishonishi kerak bo'lgan CA materiali yoki barmoq izi, o'zining maxfiy kaliti va oxirgi nuqta tafsilotlari kerak. Bu ro'yxatda shlyuzning maxfiy identifikatoriga tegishli hech narsa yo'q.

Hujjatlar — bu sizib chiqadigan joy. Server katalogini ko'chirib, keraksizini o'chiring degan qo'llanma allaqachon noto'g'ri modelni o'rgatgan, chunki o'chirish bosqichidan keyin qolgan faylni deyarli hech kim tekshirmaydi.

Shlyuzga tegmasdan bitta foydalanuvchini bekor qiling

Foydalanuvchi identifikatorlari alohida berilgani uchun ularni alohida qaytarib olish mumkin. Sertifikatga asoslangan joylashtirish mijoz sertifikatini bekor qiladi va yangilangan bekor qilish ro'yxatini e'lon qiladi; WireGuard joylashtirish esa tengdosh yozuvini server konfiguratsiyasidan olib tashlaydi. Bu amallarning hech biri shlyuzning o'z kalitini o'zgartirmaydi.

Berilganlik yozuvini saqlang, aks holda qaysi identifikatorni qaytarib olishni bilmaysiz. Elektron jadval yetarli, agar unda shaxs, qurilma, seriya yoki ochiq kalit va sana ko'rsatilgan bo'lsa va uni yaratgan odam ketgandan keyin kimdir unga egalik qilsa.

Quyidagi buyruqlar mijoz sertifikatini tekshiradi va keyin uni OpenSSL uslubidagi markaz orqali bekor qiladi — easy-rsa aynan shu jarayonni o'raydi:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Yangi ro'yxatni mijozlar tekshiradigan har bir joyda e'lon qiling, aks holda bekor qilish hech narsani o'zgartirmaydigan fayldagi yozuv bo'lib qoladi. Agar shlyuzingiz mijoz sertifikatlarini bekor qilish ro'yxatiga murojaat qilmasdan qabul qilsa, bekor qilish ishlayotganiga ishora qilish o'rniga buni ochiq ayting.

Zaxira nusxalarni sirlardek alohida saqlang

Qayta qurish arxivi shlyuz kaliti va CA materialini qonuniy ravishda o'z ichiga oladi, chunki ularsiz tiklash xizmatni qayta yarata olmaydi. Mijoz sozlash paketi ularni o'z ichiga olmasligi kerak va ikkalasini birga saqlash mumkin emas. Har bir arxivni yaratilgan sanasi bo'yicha emas, kim ushlab turishi mumkinligi bo'yicha belgilang. Charchagan administrator tungi soat ikkida aynan shu yorliqni o'qiydi.

Bu farq har birini kim olishi mumkinligini ham belgilaydi. Shlyuzni boshqarish, foydalanuvchi identifikatorlarini berish va zaxira nusxalarni o'qish uch xil vakolatdir va biriga muhtoj odam avtomatik ravishda qolganlariga muhtoj emas. Bu ruxsatlarni yozib qo'ying, so'ng ularni saqlashingiz aslida nimaga ruxsat berishiga qiyoslang, chunki katalog merosi siyosat nazarda tutganidan ko'proq narsani jimgina beradi.