remote-cert-tls server: kí ni ó ń yẹ̀wò nínú profáìlì OpenVPN

Àwọn ìbéèrè mẹ́ta ọ̀tọ̀ọ̀tọ̀ ni àwọn ẹ̀yà mẹ́ta ọ̀tọ̀ọ̀tọ̀ ti profáìlì OpenVPN ń dá lóhùn, àti pípọ̀ wọ́n jọ ni bí àwọn ènìyàn ṣe ń pa àyẹ̀wò tí ń ṣiṣẹ́. Ṣé àwọn aláṣẹ tí mo gbẹ́kẹ̀lé ló fọwọ́ sí sẹ́tífíkétì ẹlẹgbẹ́ náà? Ṣé sẹ́tífíkétì yẹn ń kéde ipa olùpèsè TLS? Ṣé òun gan-an ni olùpèsè pàtó tí mo fẹ́ dé ọ̀dọ̀? remote-cert-tls server ń dá ìdáhùn ìbéèrè àárín nìkan, ó sì ń ṣe bẹ́ẹ̀ nípa kíkà àwọn àfikún inú sẹ́tífíkétì náà.

Àwọn àyẹ̀wò mẹ́ta tí ó rọrùn láti pọ̀ mọ́ ara wọn ní orí

Ìpilẹ̀ ìgbẹ́kẹ̀lé wà nínú ìtọ́ni ca. Àyẹ̀wò ipa jẹ́ ti remote-cert-tls. Àyẹ̀wò ìdánimọ̀ jẹ́ ti verify-x509-name, nígbà tí profáìlì bá ń lò ó, tàbí ti àyẹ̀wò orúkọ èyíkéyìí tí ìmúṣẹ fi kún.

Wọ́n ń bo àwọn ìkùnà ọ̀tọ̀ọ̀tọ̀:

Profáìlì lè ní àwọn mẹ́tẹ̀ẹ̀ta náà síbẹ̀ ó lè jẹ́ aláìlera tí CA bá pín jákèjádò jù, èyí jẹ́ ìbéèrè ìṣàkóso kọ́kọ́rọ́ kì í ṣe ìbéèrè ìtọ́ni.

Ohun tí àyẹ̀wò ipa ń kà

Ìtọ́ni yìí jẹ́ makiro. Ó ń gbòòrò sí ìbéèrè lílò kọ́kọ́rọ́ àti ìbéèrè lílò kọ́kọ́rọ́ tí ó gbòòrò tí ń dárúkọ ipa TLS Web Server, nítorí náà sẹ́tífíkétì ẹlẹgbẹ́ gbọ́dọ̀ kéde ète yẹn gan-an. Sẹ́tífíkétì tí a gbé jáde fún ìjẹ́rìí olùṣàmúlò kò ní ìtẹ́lọ́rùn rẹ̀, kódà nígbà tí àwọn aláṣẹ kan náà bá fọwọ́ sí méjèèjì.

Ìyẹn ṣe pàtàkì nítorí CA tí a pín jẹ́ ohun tí ó wọ́pọ̀ nínú àwọn ìmúṣẹ kékeré. Aláṣẹ kan ń fọwọ́ sí gbogbo olùṣàmúlò àti olùpèsè, àti láìsí àyẹ̀wò ipa èyíkéyìí nínú àwọn sẹ́tífíkétì yẹn lè parí ẹ̀gbẹ́ olùpèsè ti ìfọwọ́sowọ́pọ̀. Àyẹ̀wò náà kò sọ ipò yẹn di aláìṣeéṣe, ṣùgbọ́n ó ń yọ ẹ̀dà tí ó rọrùn kúrò.

Ìtọ́ni yìí kò dọ́gba nípa ìṣètò: àwọn olùṣàmúlò ń gbé remote-cert-tls server, àwọn olùpèsè sì ń gbé remote-cert-tls client. Pààrọ̀ wọ́n, gbogbo ìsopọ̀ yóò kùnà pẹ̀lú àṣìṣe ipa tí ó dàbí sẹ́tífíkétì tí ó ti bàjẹ́.

Àwọn profáìlì àtijọ́ máa ń lo ns-cert-type fún ète kan náà. Àwọn ojú-ìwé ìtọ́nisọ́nà lọ́wọ́lọ́wọ́ ka àṣàyàn yẹn sí ohun tí a ti rọ́pò, nítorí náà profáìlì tí ó ṣì gbẹ́kẹ̀lé e yẹ ní gbígbé lọ dípò ṣíṣàtúnṣe àṣìṣe.

Ìdí tí pípa á lódi fi dàbí àtúnṣe

Nígbà tí àyẹ̀wò ipa bá kùnà, ìsopọ̀ dúró pẹ̀lú àṣìṣe ìjẹ́rìí àti ìgbésẹ̀ tí ó hàn gbangba ni láti pa ìlà yẹn rẹ́. Lẹ́yìn náà ìsopọ̀ á gòkè, èyí tí ó dàbí ìtẹ̀síwájú àti ní ti gidi ìyẹn ni ipò ìkùnà tí ìtọ́ni yìí wà fún láti dènà. Nísinsìnyí o ń gba ẹlẹgbẹ́ kan tí a kò kúkú dá sẹ́tífíkétì rẹ̀ fún ipa yẹn.

Kà àṣìṣe náà dípò bẹ́ẹ̀. Ó ń dárúkọ àyẹ̀wò tí ó kùnà, a sì lè yẹ̀wò sẹ́tífíkétì tí ó wà ní ẹ̀gbẹ́ kejì láti rí àwọn àfikún tí ó ní gan-an. Ìṣẹ́jú méjì kíkà á yanjú bóyá ẹ̀bi wà nínú gbígbé jáde tàbí nínú ìṣètò. Ìdánwò á gba ọ̀sán kan, yóò sì máa parí pẹ̀lú profáìlì tí ó ti di aláìlera. Sẹ́tífíkétì olùpèsè tí a ti sọ di tuntun tí ó pàdánù lílò kọ́kọ́rọ́ tí ó gbòòrò jẹ́ ẹ̀bi gidi nínú ìsọdọ̀tun, kì í ṣe ìdí láti jẹ́ kí olùṣàmúlò rọ̀.

Àyẹ̀wò orúkọ jẹ́ ìtọ́ni ọ̀tọ̀ọ̀tọ̀

Mímú àyẹ̀wò ipa tẹ́lọ́rùn ń sọ pé ẹlẹgbẹ́ náà jẹ́ olùpèsè kan tí àwọn aláṣẹ rẹ fọwọ́ sí. Kò sọ nǹkan kan nípa èyí tí ó jẹ́, èyí tí ó ṣe pàtàkì nígbà tí CA kan náà bá ń gbé sẹ́tífíkétì jáde fún ọ̀pọ̀ ẹnubodè tí ọ̀kan nínú wọn sì ti bàjẹ́ tàbí a ti yí i padà sí ète mìíràn.

verify-x509-name ń fi kókó sẹ́tífíkétì wé iye tí o ṣètò, pẹ̀lú àwọn ọ̀nà ìbámu fún kókó gangan, ìpilẹ̀ tàbí pápá kan ṣoṣo. Lo pápá tí ó ń dán ẹnubodè mọ̀ gan-an, kí o sì retí láti ṣe àtúnṣe rẹ̀ pẹ̀lú ìmọ̀ọ́nú nígbà tí orúkọ bá yí padà.

Kò sí ìtọ́ni nínú àwọn méjèèjì tí ó rọ́pò ìṣàkóso kọ́kọ́rọ́ tí ó dára. Tí wọ́n bá ń da fáìlì kọ́kọ́rọ́ olùṣàmúlò kiri pẹ̀lú profáìlì, ìdánimọ̀ ẹlẹgbẹ́ kò lágbára ju àkọsílẹ̀ ìpínkiri lọ.

Yẹ̀wò sẹ́tífíkétì kí o tó ṣàtúnṣe profáìlì

Ka sẹ́tífíkétì ẹlẹgbẹ́ àti àkọsílẹ̀ olùṣàmúlò, ní ìtòlẹ́sẹẹsẹ yẹn. Sẹ́tífíkétì ń sọ àwọn ipa tí ó ń kéde; àkọsílẹ̀ ń sọ àyẹ̀wò tí ó kọ̀ ọ́.

Àwọn àṣẹ wọ̀nyí ń tẹ̀ àwọn àfikún lílò àti àwọn ìlà ìjẹ́rìí jáde láti inú ìsopọ̀ aláfikún:

openssl x509 -in server.crt -noout -text | grep -A1 -E "Key Usage|Extended Key Usage"
sudo openvpn --config client.ovpn --verb 4 2>&1 | grep -i verify

Tí àwọn àfikún bá fi ipa olùpèsè hàn tí àkọsílẹ̀ sì ṣì ń ròyìn ìkùnà ipa, ó ṣeé ṣe kí profáìlì ń tọ́ka sí fáìlì sẹ́tífíkétì tí kò tọ́ dípò sẹ́tífíkétì búburú. Tí àwọn àfikún bá fi ìjẹ́rìí olùṣàmúlò nìkan hàn, dáwọ́ lílo wo olùṣàmúlò dúró kí o sì tún gbígbé jáde ṣe. Ní ọ̀nà èyíkéyìí, mú àyẹ̀wò padà kí o tó pe ìsopọ̀ ní aláfíà, nítorí ìfọwọ́sowọ́pọ̀ tí ó ṣàṣeyọrí lẹ́yìn yíyọ ìjẹ́rìí kúrò ń fi díẹ̀ hàn ju àṣìṣe tí ó rọ́pò lọ.