Cailleadh deimhniú an chliaint? Cúlghair de réir sraithe, ní de réir ainm

Tá comhad deimhnithe do chliaint imithe, agus is é an freagra réidh an t-ainm a chúlghairm agus ceann nua a eisiúint. Fágann an freagra sin an deimhniú bunaidh bailí, mar oibríonn cúlghairm ar uimhir shrathach seachas ar lipéad. Beidh cóip fós ag an CA de gach a d'eisigh sé, agus is é aimsiú na cóipe sin an tasc ar fad.

Ní ionann comhad a chailleadh agus taifead an CA a chailleadh

Coinníonn PKI Easy-RSA na deimhnithe poiblí a d'eisigh sé, agus déanann na heisiúintí reatha cóipeanna a chartlannú de réir sraithe san eolaire certs_by_serial laistigh den PKI. Ní gá an eochair phríobháideach chun rud ar bith a chúlghairm. Is é atá tábhachtach an deimhniú cruinn a shínigh an CA, agus tá sé sin ag an CA cheana.

Oibrigh ar chóip chúltaca den PKI cheart, leis an riarthóir a shealbhaíonn é. Is oibríocht ininiúchta í an chúlghairm seachas deisiú a dhéantar ar bhunachar táirgthe ag meán oíche.

Oibríonn cóip de dheimhniú poiblí inlíne an chliaint freisin, má choinnigh an t-imscaradh ceann.

Léigh an t-eisitheoir agus an tsraith ar dtús

Scrúdaigh an PEM aisghafa agus scríobh síos an t-eisitheoir, an uimhir shrathach, an t-ábhar agus an fhuinneog bhailíochta. Tá an uimhir shrathach uathúil laistigh de raon eisitheora amháin, ní thar gach CA i do thimpeallacht, mar sin is cuid den fhéiniúlacht an t-eisitheoir. Má roinneann roinnt deimhnithe ábhar, is iad na sraithuimhreacha sin a idirdhealaíonn iad.

Meaitseáil na luachanna le taifid an CA agus leis an bhfeiste nó leis an duine a gcreideann tú atá ag sealbhú an deimhnithe.

Is féidir ainm coiteann a athúsáid, agus is minic a dhéantar. Ná socraigh cé na deimhnithe a tharraingt siar go dtí go scríobhtar síos na sraitheanna.

Cén fáth nach ndéanann cúlghairm an deimhnithe nua aon rud

Cruthaíonn athsholáthar a eisiúint leis an ainm coiteann céanna dara deimhniú le sraith dhifriúil. Tarraingíonn cúlghairm an athsholáthair an ceann nua siar agus fágtar an bunceann bailí go dtí go dtéann sé in éag. Ó thaobh an CA de is dhá réad neamhspleácha iad, agus liostaíonn CRL sraitheanna seachas ainmneacha. Coinníonn innéacs an CA ró amháin in aghaidh gach deimhnithe a eisíodh go díreach ar an ábhar sin.

Cruthaíonn an mhearbhall chéanna an botún droim ar ais: comhad an chliaint a scriosadh agus glacadh leis go ndearna an CA dearmad air. Ní imeacht cúlghairme é scriosadh ar an gcliant, agus leanann an deimhniú ag obair d'aon duine a bhfuil cóip aige.

Tagann an dá bhotún as an ainm a mheas mar an fhéiniúlacht.

Cúlghair an deimhniú a ainmníonn an tsraith

Aithin an réad sula dtéann tú i dteagmháil leis an CA: priontálann openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates na ceithre luach in aon phas amháin, agus is í an tsraith an rud a mheaitseálann tú le cartlann an CA. Coinníonn Easy-RSA an chartlann sin faoi pki/certs_by_serial, le comhad amháin in aghaidh gach sraithe. Glacann an t-ordú cúlghairme ainm coiteann seachas sraith, mar sin cóipeáil an comhad cartlainne go pki/issued/<common-name>.crt agus lig don ainm pointeáil chuig an réad a d'aithin tú. Rith easyrsa revoke <common-name> ó eolaire an PKI, ansin seiceáil go bhfuil an ró chomhfhreagrach in index.txt iompaithe go R. Is é an tsraith an bealach a roghnaíonn tú an réad, ní argóint a nglacann an t-ordú léi.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Mura dtaispeánann index.txt R, stop agus léigh an earráid sula ngineann tú CRL, mar ní tharraingíonn CRL a tógadh ó thaifead atá fós bailí aon rud siar. Ní dhéanann tú easyrsa gen-crl agus ní théann tú ar aghaidh chuig dáileadh an chomhaid go dtí go n-iompaíonn an ró.

Foilsigh an CRL san áit a gcuirtear i bhfeidhm é i ndáiríre

Gin CRL nua trí shreabhadh oibre tacaithe an PKI, ansin foilsigh é do gach fíoraitheoir a chuireann cúlghairmeacha an eisitheora seo i bhfeidhm.

Ní athraíonn comhad nuashonraithe atá ina luí ar an CA aon rud, mar críochnaíonn an VPN an cinneadh ag a fhíoraitheoir féin. Seiceáil eisitheoir an CRL, a thréimhse bhailíochta agus na sraitheanna cúlghairthe, agus deimhnigh go n-athlódálann an tseirbhís an comhad seachas an ceann roimhe a thaisceadh. Tá tábhacht le húinéireacht agus le cosán chomh maith leis an ábhar: níl CRL nach féidir leis an daemon a léamh indeighilte ó easpa CRL ar bith. Ainmníonn rogha crl-verify OpenVPN an comhad a léann an daemon, mar sin seiceáil an cosán sin agus úinéireacht an chomhaid i gcumraíocht an fhreastalaí.

Fíoraigh le hiarracht cheangail fhíor, ní le stampa ama an chomhaid.

Bíodh a fhios agat cathain is é an CRL an uirlis mhícheart

Mura bhfuil muinín ag éinne as eochair phríobháideach an eisitheora a thuilleadh, ní féidir le sraitheanna aitheanta a tharraingt siar stop a chur le sealbhóir neamhúdaraithe deimhnithe nua a shíniú. Is aistriú muiníne eisitheora é sin, is é sin CA nua agus plean dáileacháin, ní iontráil eile sa CRL. Ní cruthúnas ann féin é go raibh rochtain ag iar-riarthóir go ndearnadh mí-úsáid ar an eochair, mar sin faigh na fíricí sula n-atógfar an mhuinín.

Ní hionann bunachar na n-eisiúintí a chur in eagar de láimh chun litir stádais a iompú agus cúlghairm shínithe, agus fágtar an CRL ar neamhréir leis na taifid.

Coinnigh an tsraith, an CRL agus an chéim dáileacháin in aon nóta amháin, agus is cleachtadh léitheoireachta a bheidh san iniúchadh seo chugainn. Déanann tionscadal Easy-RSA doiciméadú ar na horduithe tacaithe don eisiúint atá suiteáilte agat, agus is é sin an t-aon chomhéadan ar fiú é a leanúint.