Iwe-ẹri VPN tuntun: diẹ ninu awọn onibara ṣi kọ

Idaji ayika naa tun sopọ lẹhin isọdọtun naa ati pe awọn ẹrọ mẹta kọ, ọkọọkan pẹlu ikilọ nipa idanimọ ẹnu-ọna. Isọdọtun naa funrararẹ jẹ iṣe deede. Ohun ti awọn ẹrọ mẹta naa dimu ni pin si ohun atijọ, ati pin kii ṣe atokọ CA, ayẹwo orukọ tabi titẹsi ninu ile-ipamọ igbẹkẹle. Fi awọn ọna mẹta naa wéye ṣaaju ki o to fi ọwọ kan eyikeyi onibara.

Isọdọtun kan, iwa meji

Awọn onibara ti o tun sopọ ni ipinnu igbẹkẹle ti o tun kọja, ati awọn ti o kọ ni ibeere ti iwe-ẹri tuntun ko ni pade. Iyẹn iyatọ jẹ alaye, kii ṣe ariwo. Ka ifiranṣẹ onibara ti o kuna ni deede. Aiyẹ orukọ, olupilẹjade aimọ ati itẹka ti o yipada jẹ idajọ mẹta ti o yatọ, ati pe ti o kẹhin nikan ni o tọka si pin.

Tun ṣayẹwo iru profaili ti onibara ti o kuna yan. Daakọ ti a gbe wọle ti o ngbe inu ile-ipamọ tirẹ ko yipada nigbati alabojuto ba ṣatunkọ faili atilẹba ni ibomiiran.

Isọdọtun yi ohun naa pada, kii ṣe ọjọ nikan

Itẹka n ṣe idanimọ akoonu iwe-ẹri ti a fi koodu pamọ. Isọdọtun n ṣe iwe-ẹri tuntun, nitorinaa itẹka yipada paapaa nigbati orukọ koko-ọrọ ati bọtini gbangba ba wa bakan naa. Iyẹn ni a reti ati pe ko lewu fun awọn onibara ti o gbẹkẹle CA ti wọn si ṣayẹwo orukọ naa. O lewu iku fun onibara ti a ṣeto lati gba iwe-ẹri kan gangan, ati pe o tun lewu fun onibara ti ile-ipamọ igbẹkẹle rẹ ko gba olupilẹjade tuntun rara.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Laini keji n dahun ibeere miiran, boya bọtini bọtini naa ye. Isọdọtun ti o tun lo bọtini naa n pa iye yẹn mọ ati yi iwe-ẹri nikan pada, ati pe iyẹn ni ọran gangan ti alabojuto fi ro pe ko si ohun ti o yipada. Yẹ iwe-ẹri ti a ti fi sori ẹrọ, kii ṣe eyi ti o wa lori olupese iṣelọpọ. Ifiwera faili kan ninu ile-ipamọ n fihan ohun ti a ṣe, kii ṣe ohun ti olutẹtisi n gbekalẹ ni bayi.

Ka ohun ti onibara n pin

Diẹ ninu awọn onibara n tọju itẹka ninu profaili wọn ati fi wé ni gbogbo asopọ. Awọn miiran n tọju rẹ ninu ile-ipamọ igbẹkẹle ti pẹpẹ, ati awọn miiran tun gbẹkẹle CA nikan. Atunṣe yatọ ni ọran kọọkan, nitorinaa kọkọ ṣe idanimọ ọna naa.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Aṣẹ akọkọ fihan pin ninu profaili deede; ekeji fihan itẹka ti opin opin n ṣiṣẹ gangan ni bayi. Nigbati awọn meji yẹn ba yatọ, o ti wa aṣiṣe naa lai ṣe akiyesi. Ma ṣe lẹ iye tuntun sinu gbogbo onibara ti o n kerora. Onibara ti o kọ nitori olupilẹjade yoo tẹsiwaju lati kọ, ati pe iwọ yoo fi ara rẹ gbagbọ pe itẹka ni iṣoro nigbati kii ṣe bẹ.

Fi iwe-ẹri ti backend kọọkan n ṣiṣẹ wé

Awọn esi ti o duro lai duro nigbagbogbo tumọ si diẹ sii ju opin opin kan, ati isọdọtun ti a lo si ipade kan n fi awọn miiran silẹ lati gbekalẹ ohun atijọ. Fi backend kọọkan wé nipasẹ adirẹsi kii ṣe nipasẹ orukọ ti a pin.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Ẹgbẹ kan ninu eyiti ipade kan wa lẹhin n ṣalaye onibara ti o sopọ ni igbiyanju keji ti o kuna ni akọkọ. O tun ṣalaye ayẹwo abojuto ti o kọja nigbati awọn olumulo n kerora. Kọkọ ṣatunṣe idaduro naa. Yiyi iṣeto igbẹkẹle ṣaaju ki ipade kọọkan to ṣiṣẹ iwe-ẹri tuntun n ṣẹda ferese ti ko si ohun ti n ṣiṣẹ, ati yiyi lẹhin naa n fi awọn onibara silẹ lati kuna laini akiyesi.

Yi igbẹkẹle pada nipasẹ ọna iṣakoso

Jẹrisi iyipada nipasẹ ikanni iṣakoso ti o ti ni igbẹkẹle ṣaaju ki o to gba ni ibikibi. Ọjọ ipari ti o dabi pe o ṣeeṣe kii ṣe ẹri ohun-ini. Ṣe imudojuiwọn iṣeto iṣakoso nipasẹ ilana ti o ni rẹ, pẹlu eyikeyi idapọ ti a gbero ti awọn idanimọ ti a gba, ati tọju ijẹrisi orukọ ti imuṣiṣẹ nilo. Pin laisi ayẹwo orukọ jẹ apẹrẹ alailera ju igbẹkẹle CA ti o rọpo lọ.

Lẹhinna jẹrisi fun onibara kọọkan, sopọ, jẹrisi idanimọ ti o gba, ati ṣe akiyesi ẹya iwe-ẹri ti o gbẹkẹle ni bayi. Ikilọ ti a kọ lẹẹkan ni aṣa lati pada si ni isọdọtun ti o tẹle.