Windows'da OpenVPN 3 va Connect'da cryptoapicert nima uchun ishlamaydi

Siz ishlaydigan OpenVPN 2 profilini yangiroq Windows mijoziga nusxalaysiz, va eski mijoz o’zi topgan sertifikat endi taklif etilmaydi. Bunga imkon bergan satr Community 2 mijoziga tegishli Windows-ga xos tanlagich, yangi dastur esa boshqa ishonchnoma yo’liga ega boshqa programmadir. Profil o’sha bitta satrdan tashqari o’zgarmagan, va farqni ko’rishni qiyinlashtiradigan ham aynan shu.

Bu hisobotda uchta qatlam aralashtiriladi: Community mijozi, asosiy kutubxona va kimdir o’rnatgan frontend. Ulardan faqat bittasi bu direktivani tushungan.

Bu parametr mavjud bo’lgan joyda nima anglatadi

Windows’dagi Community OpenVPN 2 mijozida cryptoapicert mijoz faylda emas, Windows sertifikat omborida topishi kerak bo’lgan sertifikatni nomlaydi. Bu Windows-ga xos qulaylik va u ishlaydi, chunki bu mijoz omborni sanab chiqishni va olingan kalitni o’z TLS stekiga berishni biladi. Shuning uchun direktiva o’sha mijozning konfiguratsiya tilining qismi, OpenVPN protokolining xossasi emas. Uzatish formatida uni tashuvchi hech narsa yo’q.

Xuddi shu satrni boshqa dasturga nusxalang va siz yangi programma tahlil qilishi, e’tiborsiz qoldirishi yoki rad etishi mumkin bo’lgan so’zni nusxaladingiz. Direktiva protokol xususiyati emas, va bu hatto OpenVPN bilan ishlaydigan har bir mijozning xususiyati ham emas.

Buning o’rniga asosiy kutubxona nima taqdim etadi

OpenVPN 3 Core — boshqa dasturlar ichiga joylashtiradigan kutubxona, va u tashqi ishonchnomalarni ombor qidiruvi o’rniga API orqali boshqaradi. Joylashtiruvchi dastur sertifikatlar zanjirini beradi va keyinroq kutubxonadan tashqi kalit bilan imzo qo’yishni so’raydi, kutubxona buni amalga oshirish uchun dasturga qayta murojaat qiladi. Bu umumiyroq dizayn va qaysi provayderlar borligini frontend hal qilishini bildiradi. Kutubxonaning o’z parametrlarini qayta ishlashida cryptoapicert amalga oshirilmagan direktivalar orasida ko’rinadi, bu esa mas’uliyatning shunday taqsimlanishiga mos keladi.

O’sha qayta chaqiruvlarning mavjudligi ma’lum bir paketlangan dastur joriy foydalanuvchining shaxsiy omborini sanab chiqadi, ma’lum kalit provayderini qo’llab-quvvatlaydi yoki smart-karta so’rovini yakunlay oladi degani emas. Bular frontendning xossalari, va har birini frontend hujjatlashtirishi kerak.

Buning o’rniga Windows frontendi nima qiladi

OpenVPN Connect boshqa yo’l tutadi: operator PKCS#12 faylini import qiladi unda sertifikat va uning shaxsiy kaliti bo’ladi, uni shu maqsad uchun yaratilgan OpenVPN Certificate Store’ga joylaydi, so’ngra tashqi sertifikatni profilga tayinlaydi. Bu qasddan qilingan import bosqichi, shaxsiy omborda tasodifan bor narsani avtomatik topish emas. Boshqa maqsad uchun o’rnatilgan sertifikat shunchaki mijoz ro’yxatida paydo bo’ladi deb o’ylagan kishi uchun bu farq muhim.

Importning kalit siyosatiga ham natijasi bor, chunki kalitni P12 fayliga eksport qilish — eksport qilinmaydigan kalit aynan shuni oldini olish uchun yaratilgan. Bu konfiguratsiya emas, siyosat masalasi, va kimdir importni sinab ko’rishdan oldin javobga loyiq.

Kalit siyosatiga mos yo’lni tanlang

Agar ishonchnoma eksport qilinadigan bo’lsa va siyosat hujjatlashtirilgan importga ruxsat bersa, tashkilotning himoyalangan ro’yxatga olish jarayonidan foydalaning va vaqtinchalik P12 hamda uning parolini jurnallar va skriptlardan tashqarida saqlang. Agar kalit hech qachon smart-karta yoki himoyalangan provayderdan chiqmasligi kerak bo’lsa, bu talabni aniq qo’llab-quvvatlaydigan mijoz va provayder kombinatsiyasini tanlang, yoki o’rnatgan versiyangiz uchun yetkazib beruvchidan tasdiq oling. Ikkala shoxdan hech biri ikkinchisining o’rnini bosmaydi.

Direktivani profilga qaytarish dasturda mavjud bo’lmagan integratsiyani bera olmaydi. Yangiroq mijoz versiyasi ham uni albatta qo’shmaydi, chunki qobiliyat frontendning o’z dizayniga tegishli.

Mahalliy kalit ishlagandan keyin ham server sertifikat shaxsini, zanjirni va ruxsatni tekshiradi. Ishlatish mumkin bo’lgan mahalliy kalit va qabul qilingan VPN shaxsi alohida natijalar, va ularni alohida saqlash frontend cheklovi zaiflashgan sertifikat siyosatiga aylanishiga yo’l qo’ymaydi.