Dádúró fún oníbáàrá OpenVPN kan: kí ni ìdí tí ìfagilé kì í ṣe ọwọ́ tí ó tọ́

Dídádúró fún ìwọlé ọ̀kan nínú àwọn oníbáàrá àti yíyọ ọ́ pa tán ní ìṣẹ̀jú iṣẹ́ kan náà, títí kí o bá gbìyànjú lati dá ọ̀kan pada. Ìfagilé iwe-ẹ̀rì ń kọ ìforúkọ sílẹ̀ tí ẹ̀rọ iṣẹ́ ń ka sí ìparí, àti yíyipada rẹ̀ túmọ̀ sí kí o fi ọwọ́ ṣàtúnṣe data búrú ọlupẹ̀sẹ̀. Jíjú ọ̀nà àbájáde tí ń ṣiṣẹ́ silẹ̀ jẹ́ àṣẹyẹ iṣakoso tí kò yí ohun kan pada ní ìgbẹ́kẹ̀lé. Yan ọwọ́ náà nípa bíbèèrè bóyá kọ́kọ́rọ́ náà sì ni ìgbẹ́kẹ̀lé, kí i ṣe nípa bíbèèrè bi ìbèèrè náà ṣe ṣe pátákì tó.

Ìgbàgbọ́: ẹni tí wọ́n fagilé àti ẹni tí wọ́n dádúró fún jẹ́ ọ̀kan

Wọ́n dádúró fún oluṣe iṣẹ́ kan fún ọ̀sẹ̀ kan, ìdahùn àkọ́kọ́ ni ìfagilé, nitori ìfagilé gbọ́ bi pipa ohun kan. Ó dabi ẹni tí ó tọ́, ó ń gba ìṣẹ́jú mẹ́wàá, ó sì fi àtúnṣe data búrú silẹ̀ gẹ́gẹ́ bi ọ̀nà kan ṣoṣo pada. Ìdahùn náà yẹ kí à loyè, ó sì súnmọ́ sí pípa ìwe-ìrìn-ajò níná ju títí ilẹ̀kun lọ. Ẹ̀rọ tí a dádúró fún àti kọ́kọ́rọ́ tí ó tì ṣí jade nílò ìtọ́jú ọ̀tọ̀, ọ̀kan nínú wọn ni ó wà ní owó pọ́ọ̀kú lati yí pada.

Ìyàtọ̀ náà wà nínú ìjẹ́rì, kí i ṣe nínú ẹníkeji. Kọ́kọ́rọ́ tí ó ṣì wà ní ọwọ́ tí ó tọ́ lè dádúró fún, a sì lè tẹ̀síwajú lai sí àdaní ìgbẹ́kẹ̀lé. Kọ́kọ́rọ́ tí ó ṣee ṣe kí a ti dá àdákọ rẹ̀ kò gbọdọ̀ tún pada, nitori ìmú pada ń sọ pé àdákọ náà kò sí.

Kọ ìdahùn sílẹ̀ kí o tó fi ọwọ́ kan ọ̀kan nínú ẹ̀rọ méjèèjì náà. Tí o kò bà lè sọ bóyá kọ́kọ́rọ́ náà tì ṣí jade, ìdahùn àfọ̀mọ́ra ni ìpadà.

Fi ìtànná àpádé tí ń ṣiṣẹ́ silẹ̀ pẹ̀lú ìtànná iṣakoso

OpenVPN ń pese ìtànná iṣakoso tí ó lè ṣe àkòsọ àwọn àpádé, tí ó sì lè pa ọ̀kan nínú wọn pẹ̀lú orúkọ tí wọ́n fi ń pè wọ́n. Mú u ṣiṣẹ́ lórí localhost, pa a mọ́ sí ìtànná gbogbo ènìyàn, kí o sì rán àṣẹyẹ pípa nígbà tí àpádé kan gbọdọ̀ parẹ́ nísisiyí. Àṣẹyẹ náà ń ti ọ̀nà àbájáde yẹn níkàn, àwọn oníbáàrá mìíràn sì ń tẹ̀síwajú ṣiṣẹ́.

Èyí jẹ́ ìdahùn sí iṣoró tí ń ṣiṣẹ́, kí i ṣe ìlana ìdádúró. Àwòṣe kanna lè tún so mọ́ nínú ìṣẹ́jú kan, nitori kò sí ohun tí ó yipada nínú ìjẹ́rì rẹ̀. Lo ó nígbà tí àpádé gbọdọ̀ lọ tí a sì ṣì ń ṣètíparílé tó máa wà.

Jẹ́rìí pé àpádé náà ti so mọ́ kí o tó pa a, kí o má bàà lépa oníbáàrá tí kò so mọ́ rí. Àṣẹyẹ ípò tí ó wà ní ìsílẹ̀ ń tẹ̀ ìyen tí ó so mọ́ nísisiyí.

printf 'status 2\nquit\n' | nc 127.0.0.1 7506
printf 'kill kiosk-14\nquit\n' | nc 127.0.0.1 7506

Tí àṣẹyẹ pípa bá sọ pé kò sí irú oníbáàrá bẹ́ẹ̀, orúkọ tí wọ́n fi ń pè wọ́n nínú iwe-ẹ̀rì kí i ṣe okun tí o kọ. Ka ìjáde ípò dípò orúkọ fáìlì àwòṣe.

Kí ni CRL ń ṣàkosósó ní àwọn òòtọ́

Ẹ̀rọ iṣẹ́ kò wo àmi ìfagilé tí a fi pamọ́ sí iwe-ẹ̀rì. Ó ń ka àkòsọ ìfagilé àwọn iwe-ẹ̀rì tí a dárúkọ nínú crl-verify ní ìgbakọ̀ kúrò ní àsopọ̀ ìsínsín, ó sì ń kọ̀ iwe-ẹ̀rì tí númbà ìtẹ̀lé rẹ̀ wà nínú àkòsọ yẹn. Ìyàlẹ́nu méjì ń tẹ̀lé, àti pé méjèèjì ṣe pátákì fún iṣẹ́. Fáìlì náà gbọdọ̀ jẹ́ èyí tí àkọsílé tí ẹ̀rọ iṣẹ́ ń fi àwọn ẹ̀tọ́ rẹ̀ lé lọ́wọ́ ní ìkàn, àti pé oníbáàrá tí ó ti so mọ́ tẹ́lẹ̀ ń tẹ̀síwajú títí ó bá tún so mọ́.

Ìyàlẹ́nu kejì ń ya ẹ̀ní lánu nígbà ìṣẹ̀lẹ̀. Ìfagilé iwe-ẹ̀rì kò ti ọ̀nà àbájáde tí ń lò ó nísisiyí. Tí àpádé gbọdọ̀ parí lójú ẹsẹ̀, so ìfagilé pọ̀ pẹ̀lú pípa iṣakoso, kí o sì ka ìṣe méjèèjì gẹ́gẹ́ bi ìgbẹ̀sẹ̀ ọ̀tọ̀ nínú ìwé ìtọ́sọ́nà.

Wo àkòsọ náà kí o lè rí ohun tí ẹ̀rọ iṣẹ́ yóò fi agbara mú, dípò kí o gbẹ́kẹ̀lé àmi ìṣẹ́jú fáìlì tí o kọ́kọ́ dá àdákọ rẹ̀. Númbà ìtẹ̀lé ni apá tí ó ṣe pátákì.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | sed -n '1,14p'
ls -l /etc/openvpn/server/crl.pem

Àkòsọ tí kò ní àkọsílé àti àkòsọ tí ó ní àkọsílé tí ó tọ́ ń dabi ọ̀kan náà ní àkòsọ ìkàn, nitori náà ó yẹ kí a tẹ̀ númbà ìtẹ̀lé. Ìla ìgbaniláyẹ̀ náà ṣe pátákì bakanna, nitori fáìlì tí daemon kò lè ka yóò mú ìkunà wá tí yóò dabi oníbáàrá tí a kọ̀.

Mú ìforúkọ pada, pẹ̀lú ìṣọ́ra

Ìmú iwe-ẹ̀rì pada túmọ̀ sí yíyipada ìforúkọ kan nínú data búrú ìfíwé, àti kí a tẹ̀ àkòsọ tuntun jade. easy-rsa 3 ń tọ́jú data búrú yẹn gẹ́gẹ́ bi index.txt labẹ́ àpò PKI, nígbà tí àwọn ìtósọ́nà àtijọ́ lo ìṣetò mìíràn. Ìla kan ń bẹ̀rẹ̀ pẹ̀lú lẹ́ta ípò àti ọjọ́ ìparí. Ìla tí a fagilé ń fi àmi ìṣẹ́jú ìfagilé sí kí o tó tẹ̀síwajú pẹ̀lú númbà ìtẹ̀lé, orúkọ fáìlì iwe-ẹ̀rì àti orúkọ ìyàtọ̀. Fífi ìla pada síbi túmọ̀ sí pípa àmi ìṣẹ́jú yẹn àti yíyipada lẹ́ta náà, kí a sì fi ìyọkù silẹ̀ bí ó ṣe rí.

Kọ́kọ́ dá àdákọ fáìlì náà, kí o sì ṣe àtúnṣe náà gẹ́gẹ́ bi script dípò kí o tẹ̀ ẹ́ nínú oluṣàtúnṣe ọ̀rọ̀. Àṣìṣe tẹ́ẹ̀lẹ̀fúnu tí ó yí iye àyè tí ìla kan ní pada yóò ba ìfíwé jẹ́ fún gbogbo iwe-ẹ̀rì tí a bá fi kún ní ìyẹn. Ìdí nìyẹn tí a fi yẹ kí a ṣe àyípadá ní ẹ̀rọ àti kí a dá àdákọ fáìlì kí o tó fi ọwọ́ kan.

Ìfagilé kejì ti orúkọ kanna ń kunà ní ọ̀pọ̀ ìgbà pẹ̀lú, nitori ìṣíṣe àkọ́kọ́ gbé iwe-ẹ̀rì yẹn àti kọ́kọ́rọ́ rẹ̀ kúrò nínú àwọn àpò tí irinṣẹ́ ń retí rí wọn. Nígbà yẹn irinṣẹ́ kò lè rí ohun tí a ní ìfẹ́ kí o fagilé, ìfirọ̀rọ̀ àṣìṣe kò sì ń ṣàlàyẹ́ ìdí rẹ̀ ní gbogbo ìgbà.

cp /etc/easy-rsa/pki/index.txt /root/index.txt.$(date +%F-%H%M)
grep -c '^R' /etc/easy-rsa/pki/index.txt
easyrsa gen-crl

Tẹ àkòsọ tuntun jade, tọ́jú ìníní rẹ̀, kí o sì mú kí ẹ̀rọ iṣẹ́ ka á. Ìtuntú padá tó fún ọ̀pọ̀ ìfísọ́lẹ̀, ṣùgbọ́n ìjẹ́rì gbọdọ̀ wá láti inú àsopọ̀ tuntun, nitori àpádé tí ó wà kò tún ṣàyẹ̀wò ohun kan.

Wo ó báwo ni ọwọ́ tí ọ̀rọ̀ náà yẹ

Bèèrè ìbèèrè kan ṣoṣo tí ó pinnu gbogbo ìwé ìtọ́sọ́nà: ṣé kọ́kọ́rọ́ àṣírí ṣì wà níbi tí ó yẹ níkàn. Tí ó bá rí bẹ́ẹ̀, pípa àpádé àti ìdádúró tí a kọ sílẹ̀ ń bo ọ̀rọ̀ náà, wọn kò sì fi ìforúkọ ayeraye silẹ̀. Tí kò bá rí bẹ́ẹ̀, ìdahùn àilewu kan ṣoṣo ni kọ́kọ́rọ́ tuntun, a sì fi iwe-ẹ̀rì àtijọ́ silẹ̀ ní ìfagilé.

Lẹ́yìn náà, jẹ́rìí èsì náà pẹ̀lú ìgbìyànjú àsopọ̀ dípò ìyàtọ̀ ìṣetò. Ìyàtọ̀ náà sọ fún ọ ohun tí o gbèrò, àsopọ̀ náà sì sọ fún ọ ohun tí ẹ̀rọ iṣẹ́ ń fi agbara mú.

openssl crl -in /etc/openvpn/server/crl.pem -noout -text | grep -c 'Serial Number'
printf 'status 2\nquit\n' | nc 127.0.0.1 7506

Tí oníbáàrá tí a mú pada bá so mọ́ tí ó sì fara hàn ní ìjáde ípò, àtúnṣe ìforúkọ náà ṣiṣẹ́. Tí wọ́n bá kọ̀ oníbáàrá tí a fagilé tí àkọsílé sì dárúkọ CRL, ìfagilé náà ṣiṣẹ́. Ohun eyikeyi tí ó wà láàrín jẹ́ iṣoró ìgbaniláyẹ̀ tàbi ìtuntú padá, ó sì yẹ kí a tún ṣe kí ìbèèrè tó ń bọ̀ tó dé.