Kí ni VPN klián’tì rẹ ń yẹ̀wò kí ó tó gbẹ́kẹ̀ lé ìwé-ẹ̀rí

VPN klián’tì rẹ sọ pé a kò lè dán ìwé-ẹ̀rí wò, àti pé ìjíròrò náà dúró níbẹ̀. Fáìlì náà wà, sáfà náà ń ṣiṣẹ́, àti pé profáìlì kan náà ṣiṣẹ́ lórí kọ̀mpútà gbé-ní-ọ̀kẹ́ mìíràn ní oṣù tó kọjá. Nísàlẹ̀ ìkìlọ̀ ìlà kan yẹn, klián’tì náà gbé ìwé-ẹ̀rí alábàápàdé la ẹnubodè mẹ́rin: ẹ̀ka ìwé-ẹ̀rí tó o ṣètò ń ṣe àgbélẹ́wọ́n ojú-ọ̀nà ìfọwọ́sí, ojú-ọ̀nà yẹn dé ọ̀dọ̀ ẹ̀ka náà, orúkọ alábàápàdé ni èyí tó o béèrè, àti pé ìwé-ẹ̀rí náà ń ṣe é lò báyìí fún èròǹgbà yìí. Wá ẹnubodè tó ti sé, àti pé àtúnṣe sábà máa ń jẹ́ fáìlì kan; bí o bá fòhùn yẹn kọjá, ìwọ yóò tún gbé àwọn ìdìpọ̀ wọlé pọ̀ ní gbogbo ọ̀sán.

Ka ìjíròrò náà kí o tó ṣàtúnṣe profáìlì

Ìwé-ìkọ́ni tó wà nísàlẹ̀ ni ó ń kọ àwọn àṣìṣe ìwé-ẹ̀rí, kì í ṣe ọjà VPN tó o fi sílẹ̀, nítorí náà gbólóhùn pípé ni ẹ̀rí àkọ́kọ́ rẹ. «A kò lè gba ìwé-ẹ̀rí olùgbéjáde ìbílẹ̀» ń tọ́ka sí ojú-ọ̀nà tàbí sí ìdúró ìgbẹ́kẹ̀lé. «Ìwé-ẹ̀rí ti parí tàbí kò tíì wúlò» ń tọ́ka sí àkókò. «Èròǹgbà ìwé-ẹ̀rí kò ní àtìlẹ́yìn» ń tọ́ka sí ìlò kọ́kọ́rọ́ tó gbòòrò. Àìbáramu orúkọ sọ fún ọ orúkọ tí ó fẹ́. Kò sí ọ̀kan nínú mẹ́rin náà tí a ń túnṣe nípa fífi klián’tì sódò lẹ́ẹ̀kan sí i.

Gbe ìpele àkọsílẹ̀ sókè kí o tó yí ohunkóhun padà. OpenVPN ń ròyìn ìkùnà ìjẹ́rìí ní àyíká ìfọwọ́wé nígbà tí o bá ṣe é pẹ̀lú --verb 4, àti pé strongSwan ń kọ àwọn ìpinnu ìdánimọ̀ àti ẹ̀wọ̀n rẹ̀ sínú àkọsílẹ̀ charon. Lẹ́yìn náà fi dáni pé ìwé-ẹ̀rí wo ni o ń yẹ̀wò, nítorí àwọn ènìyàn sábà ń dán fáìlì tó wà lórí dííìkì wò nígbà tí profáìlì ń fi àdàkọ àtijọ́ sínú. Nígbà tí profáìlì bá fi àwọn ìpín PEM sínú, ìwé-ẹ̀rí tó wà nínú ni a ń dán wò.

Ẹ̀ka ìwé-ẹ̀rí ń fọwọ́ sí àwọn ìdánimọ̀, kì í ṣe àwọn àṣẹ

Ẹ̀ka náà ní orúkọ àti kọ́kọ́rọ́ ìfọwọ́sí. Ó ń ṣe àwọn ìwé-ẹ̀rí tó so kọ́kọ́rọ́ gbogbogbò mọ́ orúkọ yẹn gẹ́gẹ́ bí ìlànà tirẹ̀, pẹ̀lú àkókò ìwúlò àti àwọn ààlà ìlò tí a so mọ́. Klián’tì rẹ nílò ìwé-ẹ̀rí ẹ̀ka náà nìkan láti dá olùgbéjáde mọ̀; kò nílò kọ́kọ́rọ́ ìfọwọ́sí rárá, àti pé fífi kọ́kọ́rọ́ yẹn ránṣẹ́ sí àwọn klián’tì yóò fún wọn ní agbára láti dá ìdánimọ̀ èyíkéyìí tí ìgbékalẹ̀ náà gbẹ́kẹ̀ lé.

Gbígbẹ́kẹ̀ lé ẹ̀ka kan máa ń sọ gbogbo ìwé-ẹ̀rí tó ti fọwọ́ sí di olùdíje, kì í ṣe alábàápàdé tó tọ́. Ìwé-ẹ̀rí sáfà wẹ́ẹ̀bù láti inú CA inú kan náà pẹ̀lú jẹ́ olùdíje. Ìdí ni pé àwọn ẹnubodè orúkọ àti èròǹgbà wà, àti ìdí ni pé kọ́kọ́rọ́ CA tó ti bàjẹ́ ṣe pàtàkì ju sáfà kọ̀ọ̀kan lọ: ó ń dé gbogbo ìdánimọ̀ tí ẹ̀ka náà ti gbé jáde rí. Pín àwọn ìwé-ẹ̀rí klián’tì fún ẹ̀rọ kọ̀ọ̀kan, kí kọ̀mpútà gbé-ní-ọ̀kẹ́ tó sọnù lè jẹ́ ìfagilé kan dípò àtúnṣe kọ́kọ́rọ́ fún gbogbo ìgbékalẹ̀.

Tún ojú-ọ̀nà tí klián’tì ń gbìyànjú láti kọ́ kọ́

Ojú-ọ̀nà náà bẹ̀rẹ̀ láti ìwé-ẹ̀rí alábàápàdé, la odò tàbí jù bẹ́ẹ̀ lọ àwọn ìwé-ẹ̀rí àárín, dé gbòǹgbò kan nínú ilé-ìkópamọ́ ìgbẹ́kẹ̀lé rẹ. Ìwé-ẹ̀rí àárín tó sọnù ni àìdá ẹ̀wọ̀n tó wọ́pọ̀ jù, àti pé láti ẹ̀gbẹ́ klián’tì ó ń rí bíi gbòǹgbò tí a kò gbẹ́kẹ̀ lé gan-an. Ka ewé náà kọ́kọ́, lẹ́yìn náà jẹ́ kí OpenSSL kọ́ ojú-ọ̀nà náà láti inú ohun èlò tí o fẹ́ rán.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Ipò ìjáde òdo túmọ̀ sí pé a kọ́ ojú-ọ̀nà náà láti inú àwọn fáìlì yẹn; ìkùnà máa ń dárúkọ ìwé-ẹ̀rí tí kò lè dé. Bí openssl verify bá ṣàṣeyọrí nígbà tí klián’tì ṣì ń kọ̀, ìyàtọ̀ wà nínú ohun tí sáfà ń rán gan-an tàbí nínú fáìlì ìgbẹ́kẹ̀lé tí profáìlì ń gbé wọlé. Nínú OpenVPN, àwọn ìwé-ẹ̀rí àárín lè bá fáìlì ìwé-ẹ̀rí sáfà lọ tàbí kí a pèsè wọn lọ́tọ̀ pẹ̀lú --extra-certs, àti pé ìdìpọ̀ tó ní gbòǹgbò méjì tí a kọ sábẹ́ orúkọ kókó kan náà yóò rán ọ̀kan nínú àwọn klián’tì rẹ lọ sí ẹ̀ka tí kò tọ́.

Orúkọ àti èròǹgbà jẹ́ ẹnubodè lọ́tọ̀

Kíkọ́ ẹ̀wọ̀n kì í béèrè rárá bóyá orúkọ náà jẹ́ tirẹ. OpenVPN ń yẹ̀wò rẹ̀ nìkan nígbà tí profáìlì bá ṣètò --verify-x509-name, àti pé àṣà àtijọ́ láti bá orúkọ gbogbogbò nìkan mu yóò já ní àwọn ìwé-ẹ̀rí tí ìdánimọ̀ wọn ń gbé nínú subjectAltName. Àwọn ìgbékalẹ̀ IKEv2 ń bá ìdánimọ̀ tí a ṣètò mu pẹ̀lú àwọn àkọsílẹ̀ SAN tàbí pẹ̀lú orúkọ ìyàtọ̀, gẹ́gẹ́ bí klián’tì, àti pé iye wildcard tàbí %any ń pa ìfiwéra tí o rò pé o ní mọ́ ní ìdákẹ́jẹ́.

Lẹ́yìn náà àkókò àti èròǹgbà ń bọ̀. Kọ̀mpútà gbé-ní-ọ̀kẹ́ tí aago rẹ̀ ń yára ní wákàtí mélòó kan yóò kọ̀ ìwé-ẹ̀rí tí kò tíì wúlò, àti pé ìwé-ẹ̀rí àárín tó ti parí yóò ba ojú-ọ̀nà náà jẹ́ nígbà tí ewé náà ṣì wúlò. Àwọn ìkùnà èròǹgbà ń wá láti inú ìwé-ẹ̀rí tí kò ní serverAuth nínú ìlò kọ́kọ́rọ́ tó gbòòrò, tàbí tí ó ní keyUsage tí kò gba ìfọwọ́sí ìfọwọ́wé láàyè, èyí tí OpenSSL ń ròyìn gẹ́gẹ́ bí èròǹgbà ìwé-ẹ̀rí tí kò ní àtìlẹ́yìn. Tún gbé jáde láti inú àwòkọ́ṣe tó tọ́; kò sí ohunkóhun nínú ìfiránṣẹ́ yẹn tó jẹ́ ìdí láti pa ìjẹ́rìí.

Ìfagilé ń ṣiṣẹ́ nìkan bí ẹnìkan bá ti ṣètò rẹ̀

A kì í wo CRL tàbí ìdáhùn OCSP lọ́nà aládàáṣiṣẹ́. Lórí sáfà OpenVPN, a máa ń fi àwọn ìwé-ẹ̀rí klián’tì wé àkójọ nìkan nígbà tí --crl-verify bá tọ́ka sí ọ̀kan. Ìyẹ̀wò ìwé-ẹ̀rí sáfà ní ẹ̀gbẹ́ klián’tì dá lórí ìmúṣẹ, ó sì sábà kò sí. strongSwan nílò àfikún ìfagilé rẹ̀ àti ìlànà kan kí ó tó wo CRL fún alábàápàdé.

Ìyẹn ló ń ṣàlàyé tíkẹ́ẹ̀tì tí ìwọ yóò gbà ní ìgbẹ̀yìn: ìwé-ẹ̀rí klián’tì tí a ti fagilé ṣì ń so, gbogbo ènìyàn sì parí pé ìfagilé ti bàjẹ́. Kò sí ohun tó ń yẹ̀wò. Ṣe àtẹ̀jáde CRL kí o sì tún ṣe é, tàbí kí o pa àwọn ìwé-ẹ̀rí klián’tì mọ́ ní ààyè kúkúrú tó bẹ́ẹ̀ pé ìfagilé àtijọ́ yóò ṣe pàtàkì fún ìgbà díẹ̀, kí o sì dán ojú-ọ̀nà ìfagilé wò lórí ìwé-ẹ̀rí yàrá-ìdánwò kí o tó nílò rẹ̀ nígbà ìṣẹ̀lẹ̀.

Ìtò àtúnṣe tí ń pa ìjẹ́rìí mọ́ ṣíṣí

Tò ó gẹ́gẹ́ bí àmì àrùn kí o tó fi ọwọ́ kan fáìlì, nítorí ọ̀wọ̀n kọ̀ọ̀kan nínú tábìlì ń rán ọ sí ohun mìíràn.

La àkójọ náà ní ìgbà kan ṣoṣo: fi dáni fáìlì tí profáìlì ń gbé wọlé, kọ́ ojú-ọ̀nà náà fúnra rẹ, yẹ̀wò bóyá sáfà ń rán ìwé-ẹ̀rí àárín, fi aago wé, ka SAN, ka EKU, lẹ́yìn náà tún so mọ́ kí o sì wo bí ìlà àkọsílẹ̀ kan náà ṣe ń parẹ́. Bí a kò bá lè fún ẹ̀rọ kan ní CA rárá, pínníngì ni àṣàyàn tó dúró ní òtítọ́, nítorí OpenVPN 2.6 gba --peer-fingerprint, ó sì dín ìgbẹ́kẹ̀lé kù sí kọ́kọ́rọ́ kan dípò yíyọ ìyẹ̀wò kúrò. Ìtọ́kasí fún ìtumọ̀ ọ̀kọ̀ọ̀kan àwọn pápá wọ̀nyí ni RFC 5280.