Stunnel - Redigeerimiste ajalugu

Imre: /* Ettevalmistused */

2008-09-28T13:10:29Z

Ettevalmistused

←Vanem redaktsioon		Redaktsioon: 28. september 2008, kell 13:10
16. rida:		16. rida:
	* sertifikaat.crt - isesigneeritud sertifikaat, mis tähendab praktiliselt seda, et sertifikaadi Issuer ja Subjekt langevad kokku		* sertifikaat.crt - isesigneeritud sertifikaat, mis tähendab praktiliselt seda, et sertifikaadi Issuer ja Subjekt langevad kokku

	openssl x509 -in sertifikaat.crt -text -noout		$ openssl x509 -in sertifikaat.crt -text -noout

	Lisaks on OpenSSL programmiga hea pöörduda krüptitud teenuse poole selliselt		Lisaks on OpenSSL programmiga hea pöörduda krüptitud teenuse poole selliselt

	openssl s_client -connect ssl.loomaaed.tartu.ee:993		$ openssl s_client -connect ssl.loomaaed.tartu.ee:993

	millele vastuseks näidatakse krüptitud ühenduse moodustamisel kasutatud parameetreid ning jääb ootama konsoolilt sisendit. Praktiliselt saab siit edasi tegutseda nagu krüptimata serveri poole telnet programmiga pöördumisel.		millele vastuseks näidatakse krüptitud ühenduse moodustamisel kasutatud parameetreid ning jääb ootama konsoolilt sisendit. Praktiliselt saab siit edasi tegutseda nagu krüptimata serveri poole telnet programmiga pöördumisel.

Imre: /* Krüptitud liikluse debugimine */

2008-09-28T13:09:56Z

Krüptitud liikluse debugimine

←Vanem redaktsioon		Redaktsioon: 28. september 2008, kell 13:09
103. rida:		103. rida:

	$ stunnel -f -c -d localhost:4430 -r loomaaed:443 -P /tmp/stunnel-klient.pid		$ stunnel -f -c -d localhost:4430 -r loomaaed:443 -P /tmp/stunnel-klient.pid
	$ stunnel -f -d localhost:~~8080~~ -p sertifikaat.pem -r localhost:4430 -P /tmp/stunnel-server.pid		$ stunnel -f -d localhost:443 -p sertifikaat.pem -r localhost:4430 -P /tmp/stunnel-server.pid

	Esimene stunnel toimib teenuse kliendina (joonisel parempoolne) ning teine stunnel töötab https kliendi jaoks serverina. Seejuures peab arvestama, et https kliendile esitatakse isegenereeritud sertifikaati.		Esimene stunnel toimib teenuse kliendina (joonisel parempoolne) ning teine stunnel töötab https kliendi jaoks serverina, soketil localhost:443. Seejuures peab arvestama, et https kliendile esitatakse isegenereeritud sertifikaati.

	===Veaolukorrad===		===Veaolukorrad===

Imre: /* Veaolukorrad */

2008-09-28T13:08:49Z

Veaolukorrad

@@ 93. rida: / 93. rida: @@
   accept  = 143
   connect = imap.loomaaed.tartu.ee:993
 ===Veaolukorrad===

Imre: /* Stunneli kasutamine MS Windows operatsioonisüsteemiga */

2008-09-28T12:30:15Z

Stunneli kasutamine MS Windows operatsioonisüsteemiga

←Vanem redaktsioon		Redaktsioon: 28. september 2008, kell 12:30
93. rida:		93. rida:
	accept = 143		accept = 143
	connect = imap.loomaaed.tartu.ee:993		connect = imap.loomaaed.tartu.ee:993


	===Veaolukorrad===		===Veaolukorrad===

Imre: /* Logi */

2008-09-28T12:30:05Z

Logi

←Vanem redaktsioon		Redaktsioon: 28. september 2008, kell 12:30
77. rida:		77. rida:
	Mar 25 14:18:47 imap stunnel[17333]: 192.168.1.251.993 connected from 192.168.1.3:59617		Mar 25 14:18:47 imap stunnel[17333]: 192.168.1.251.993 connected from 192.168.1.3:59617
	Mar 25 14:18:47 imap stunnel[17333]: VERIFY OK: depth=0, /C=AU/ST=Some-State/O=Internet Widgits Pty Ltd		Mar 25 14:18:47 imap stunnel[17333]: VERIFY OK: depth=0, /C=AU/ST=Some-State/O=Internet Widgits Pty Ltd


	===Stunneli kasutamine MS Windows operatsioonisüsteemiga===		===Stunneli kasutamine MS Windows operatsioonisüsteemiga===

Imre: /* Kliendisertifikaati küsiva krüptitud teenuse tekitamine */

2008-09-28T12:24:18Z

Kliendisertifikaati küsiva krüptitud teenuse tekitamine

←Vanem redaktsioon		Redaktsioon: 28. september 2008, kell 12:24
56. rida:		56. rida:
	client.pem fail sisaldab sarnaselt eeltoodule kokku ühendatud salajast võtit ning sertifikaati.		client.pem fail sisaldab sarnaselt eeltoodule kokku ühendatud salajast võtit ning sertifikaati.

	===~~Kliendisertifikaati küsiva~~ krüptitud teenuse tekitamine===		===Kliendisertifikaadi kontrolliga krüptitud teenuse tekitamine===

	Selleks tuleb serveri poolel paigutada kliendi sertifikaat kataloogi ning öelda seal kataloogis c_rehash, näiteks selliselt		Selleks tuleb serveri poolel paigutada kliendi sertifikaat kataloogi ning öelda seal kataloogis c_rehash, näiteks selliselt
69. rida:		69. rida:
	bash$ stunnel -f -d imap.loomaaed.tartu.ee:993 -p sertifikaat.pem -r localhost:143 -v 3 -a ~/kliendisertifikaat		bash$ stunnel -f -d imap.loomaaed.tartu.ee:993 -p sertifikaat.pem -r localhost:143 -v 3 -a ~/kliendisertifikaat

	Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.		Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.


	===Logi===		===Logi===

Imre – 28. september 2008, kell 12:14

2008-09-28T12:14:20Z

←Vanem redaktsioon		Redaktsioon: 28. september 2008, kell 12:14
1. rida:		1. rida:
	~~'''~~Eesmärk~~'''~~		===Eesmärk===

	Stunnel tarkvara võimaldab programmidel, mis iseenesest ei sisalda krüptimise tuge pidada üle võrgu krüptitud andmevahetust.		Stunnel tarkvara võimaldab programmidel, mis iseenesest ei sisalda krüptimise tuge pidada üle võrgu krüptitud andmevahetust.

	~~'''~~Ettevalmistused~~'''~~		===Ettevalmistused===

	Stunneli kasutamisel üldiselt läheb tarvis lisaks stunneli programmile endale võimalust tekitada sertifikaate ning kasutada neid kliendi või serveri sertifikaatidena. Stunnel programmist on tänapäeval levinud versioonid 3 ja 4, kui valikut ei määra muud asjaolud, võiks kasutada uuemat versiooni. Tõenäoliselt kõige otsekohesem on kasutada isesigneeritud (ingl. k. self-signed) sertifikaate, mille valmistamine toimub tarkvara OpenSSL abil näiteks selliselt		Stunneli kasutamisel üldiselt läheb tarvis lisaks stunneli programmile endale võimalust tekitada sertifikaate ning kasutada neid kliendi või serveri sertifikaatidena. Stunnel programmist on tänapäeval levinud versioonid 3 ja 4, kui valikut ei määra muud asjaolud, võiks kasutada uuemat versiooni. Tõenäoliselt kõige otsekohesem on kasutada isesigneeritud (ingl. k. self-signed) sertifikaate, mille valmistamine toimub tarkvara OpenSSL abil näiteks selliselt
12. rida:		12. rida:
	Tulemusena on tekkinud kolm faili		Tulemusena on tekkinud kolm faili

	sertifikaat.csr - nn sertifikaadi gereneerimise taotlus ehk avalik võti		* sertifikaat.csr - nn sertifikaadi gereneerimise taotlus ehk avalik võti
	sertifikaat.key - vastav salajane võti		* sertifikaat.key - vastav salajane võti
	sertifikaat.crt - isesigneeritud sertifikaat, mis tähendab praktiliselt seda, et sertifikaadi Issuer ja Subjekt langevad kokku		* sertifikaat.crt - isesigneeritud sertifikaat, mis tähendab praktiliselt seda, et sertifikaadi Issuer ja Subjekt langevad kokku

	openssl x509 -in sertifikaat.crt -text -noout		openssl x509 -in sertifikaat.crt -text -noout
24. rida:		24. rida:
	millele vastuseks näidatakse krüptitud ühenduse moodustamisel kasutatud parameetreid ning jääb ootama konsoolilt sisendit. Praktiliselt saab siit edasi tegutseda nagu krüptimata serveri poole telnet programmiga pöördumisel.		millele vastuseks näidatakse krüptitud ühenduse moodustamisel kasutatud parameetreid ning jääb ootama konsoolilt sisendit. Praktiliselt saab siit edasi tegutseda nagu krüptimata serveri poole telnet programmiga pöördumisel.

	~~'''~~Krüptitud teenuse kasutamine krüptimise mitte toetava kliendiga~~'''~~		===Krüptitud teenuse kasutamine krüptimise mitte toetava kliendiga===

	Eeldame, et krüptitud teenus asub aadressil ssl.loomaaed.tartu.ee:993 ning eesmärgiks on korraldada, et krüptimata andmevahetuseks saab pöörduda kohaliku arvuti localhost:143 pordi poole.		Eeldame, et krüptitud teenus asub aadressil ssl.loomaaed.tartu.ee:993 ning eesmärgiks on korraldada, et krüptimata andmevahetuseks saab pöörduda kohaliku arvuti localhost:143 pordi poole.
38. rida:		38. rida:
	Veendumaks, et ühendus toimib maksab pöörduda telneti või imap'i kliendiga localhost:143 poole.		Veendumaks, et ühendus toimib maksab pöörduda telneti või imap'i kliendiga localhost:143 poole.

	~~'''~~Krüptitud teenuse pakkumine~~'''~~		===Krüptitud teenuse pakkumine===

	Kui on tarvis korraldada krüptitud andmevahetust iseenesest krüptimist mitte toetava tarkvara abil, siis sobib kasutada stunnelit selliselt		Kui on tarvis korraldada krüptitud andmevahetust iseenesest krüptimist mitte toetava tarkvara abil, siis sobib kasutada stunnelit selliselt
48. rida:		48. rida:
	bash$ cat sertifikaat.key sertifikaat.crt > sertifikaat.pem		bash$ cat sertifikaat.key sertifikaat.crt > sertifikaat.pem

	~~'''~~Kliendisertifikaadiga autentimine~~'''~~		===Kliendisertifikaadiga autentimine===

	Lisaks niisama krüptimist mitte võimaldavale programmile krüptitud teenuse kättesaadavaks teegemisele on võimalik stunneli abil esitada ka kliendisertifikaat, näiteks juhul kui teenus on seadistatud käima selliselt, et kliendi autentimine toimub kliendisertifikaadi alusel.		Lisaks niisama krüptimist mitte võimaldavale programmile krüptitud teenuse kättesaadavaks teegemisele on võimalik stunneli abil esitada ka kliendisertifikaat, näiteks juhul kui teenus on seadistatud käima selliselt, et kliendi autentimine toimub kliendisertifikaadi alusel.
56. rida:		56. rida:
	client.pem fail sisaldab sarnaselt eeltoodule kokku ühendatud salajast võtit ning sertifikaati.		client.pem fail sisaldab sarnaselt eeltoodule kokku ühendatud salajast võtit ning sertifikaati.

	~~'''~~Kliendisertifikaati küsiva krüptitud teenuse tekitamine~~'''~~		===Kliendisertifikaati küsiva krüptitud teenuse tekitamine===

	Selleks tuleb serveri poolel paigutada kliendi sertifikaat kataloogi ning öelda seal kataloogis c_rehash, näiteks selliselt		Selleks tuleb serveri poolel paigutada kliendi sertifikaat kataloogi ning öelda seal kataloogis c_rehash, näiteks selliselt
72. rida:		72. rida:


	~~'''~~Logi~~'''~~		===Logi===

	Selle arvuti syslog logisse, kus stunnel töötab deemonina tekitavad eduka kliendi ühenduse tekitamisel sarnased sissekanded (antud juhul on tegu kliendi serdi abil autentimise juhuga)		Selle arvuti syslog logisse, kus stunnel töötab deemonina tekitavad eduka kliendi ühenduse tekitamisel sarnased sissekanded (antud juhul on tegu kliendi serdi abil autentimise juhuga)
80. rida:		80. rida:


	~~'''~~Stunneli kasutamine MS Windows operatsioonisüsteemiga~~'''~~		===Stunneli kasutamine MS Windows operatsioonisüsteemiga===

	Selleks tuleb kopeerida Windows operatsioonisüsteemi jaoks ettevalmistatud .exe fail www.stunnel.org veebikohast. Käivitamisel küsitakse kuhu kataloogi tarkvara paigaldada ning tulemusena tekib Start-Programs menüüsse juurde vastav sektsioon. Sealt saab stunneli võtta kasutusele teenusena (service). Stunneli tööd juhib seadistusfail stunnel.conf, mis paigaldatakse vaikimisi samasse kataloogi kuhu tarkvara. Näiteks sellise sellise sisuga seadistusfail korraldab krüptimist mitte toetava kliendi suhtlemise krüptitud teenusega kasutades kliendisertifikaati		Selleks tuleb kopeerida Windows operatsioonisüsteemi jaoks ettevalmistatud .exe fail www.stunnel.org veebikohast. Käivitamisel küsitakse kuhu kataloogi tarkvara paigaldada ning tulemusena tekib Start-Programs menüüsse juurde vastav sektsioon. Sealt saab stunneli võtta kasutusele teenusena (service). Stunneli tööd juhib seadistusfail stunnel.conf, mis paigaldatakse vaikimisi samasse kataloogi kuhu tarkvara. Näiteks sellise sellise sisuga seadistusfail korraldab krüptimist mitte toetava kliendi suhtlemise krüptitud teenusega kasutades kliendisertifikaati
97. rida:		97. rida:


	~~'''~~Veaolukorrad~~'''~~		===Veaolukorrad===

	Põhjuseks, miks stunnel ei käivitu võib olla, et kasutatav .pem fail on ebasobivate loabittidega, sobivaks on 0600.		* Põhjuseks, miks stunnel ei käivitu võib olla, et kasutatav .pem fail on ebasobivate loabittidega, sobivaks on 0600.
			* Põhjuseks, miks stunnel ei käivitu võib olla, et stunnel ei saa moodustada pid faili, siis sobib kasutada -P pidfilename.pid võtit.
	Sõltuvalt c_rehash versioonist ei moodustata linke kõigile kataloogis paiknevatele failidele, vaid ainult teatud laienditega failidele, nt .pem.		* Sõltuvalt c_rehash versioonist ei moodustata linke kõigile kataloogis paiknevatele failidele, vaid ainult teatud laienditega failidele, nt .pem.

Imre – 22. veebruar 2008, kell 12:42

2008-02-22T12:42:31Z

←Vanem redaktsioon		Redaktsioon: 22. veebruar 2008, kell 12:42
67. rida:		67. rida:
	Ning käivitada seejärel stunnel		Ning käivitada seejärel stunnel

	bash$ stunnel -f -d imap.loomaaed.tartu.ee:993 -p sertifikaat.pem -r localhost:143 -v 3 -a ~/kliendisertifikaat		bash$ stunnel -f -d imap.loomaaed.tartu.ee:993 -p sertifikaat.pem -r localhost:143 -v 3 -a ~/kliendisertifikaat

	Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.		Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.

Imre – 25. märts 2007, kell 11:21

2007-03-25T11:21:38Z

←Vanem redaktsioon		Redaktsioon: 25. märts 2007, kell 11:21
70. rida:		70. rida:

	Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.		Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.


			'''Logi'''

			Selle arvuti syslog logisse, kus stunnel töötab deemonina tekitavad eduka kliendi ühenduse tekitamisel sarnased sissekanded (antud juhul on tegu kliendi serdi abil autentimise juhuga)

			Mar 25 14:18:47 imap stunnel[17333]: 192.168.1.251.993 connected from 192.168.1.3:59617
			Mar 25 14:18:47 imap stunnel[17333]: VERIFY OK: depth=0, /C=AU/ST=Some-State/O=Internet Widgits Pty Ltd

Imre – 25. märts 2007, kell 11:17

2007-03-25T11:17:01Z

←Vanem redaktsioon		Redaktsioon: 25. märts 2007, kell 11:17
5. rida:		5. rida:
	'''Ettevalmistused'''		'''Ettevalmistused'''

	Stunneli kasutamisel üldiselt läheb tarvis lisaks stunneli programmile endale võimalust tekitada sertifikaate ning kasutada neid kliendi või serveri sertifikaatidena. Tõenäoliselt kõige otsekohesem on kasutada isesigneeritud (ingl. k. self-signed) sertifikaate, mille valmistamine toimub tarkvara OpenSSL abil näiteks selliselt		Stunneli kasutamisel üldiselt läheb tarvis lisaks stunneli programmile endale võimalust tekitada sertifikaate ning kasutada neid kliendi või serveri sertifikaatidena. Stunnel programmist on tänapäeval levinud versioonid 3 ja 4, kui valikut ei määra muud asjaolud, võiks kasutada uuemat versiooni. Tõenäoliselt kõige otsekohesem on kasutada isesigneeritud (ingl. k. self-signed) sertifikaate, mille valmistamine toimub tarkvara OpenSSL abil näiteks selliselt

	bash$ openssl req -nodes -new -newkey rsa:1024 -keyout sertifikaat.key -out sertifikaat.csr		bash$ openssl req -nodes -new -newkey rsa:1024 -keyout sertifikaat.key -out sertifikaat.csr
70. rida:		70. rida:

	Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.		Võtme -v järel olev arv näitab kui tõsiselt stunneli abil moodustatud server suhtub kliendi sertifikaadi esitamata jätmisse.


	'''Stunneli kasutamine MS Windows operatsioonisüsteemiga'''		'''Stunneli kasutamine MS Windows operatsioonisüsteemiga'''