Deimhniú VPN athnuaite: diúltaíonn roinnt cliant dó fós

Athcheanglaíonn leath an eastáit tar éis an athnuachana agus diúltaíonn trí fheiste, gach ceann le rabhadh faoi fhéiniúlacht an gheata. Tá an t-athnuachan féin ina ghnáthruda. Is biorán chuig an seanréad a choinníonn na trí fheiste sin, agus ní liosta CA, ní seiceáil ainm ná iontráil i stór muiníne é biorán. Cuir na trí mheicníocht i gcomparáid sula dteagmhaíonn tú le haon chliant.

Athnuachan amháin, dhá iompar

Tá cinneadh muiníne fós ag na cliant a athcheanglaíonn, agus tá ceanglas ag na cinn a dhiúltaíonn nach sásaíonn an deimhniú nua. Is faisnéis í an difríocht sin, ní torann. Léigh teachtaireacht an chliaint a theipeann go beacht. Is trí fhíorú éagsúla iad neamhréir ainm, eisitheoir anaithnid agus méarlorg athraithe, agus ní thagraíonn ach an ceann deireanach do bhiorán.

Seiceáil freisin cén próifíl a roghnaigh an cliant a theipeann. Ní athraíonn cóip iompórtáilte a chónaíonn ina stór féin nuair a chuireann an riarthóir an bhunleagain in eagar áit eile.

Athnuaíonn an t-athnuachan an réad, ní an dáta amháin

Sainaithníonn méarlorg ábhar ionchódaithe an deimhnithe. Táirgeann athnuachan deimhniú nua, mar sin athraíonn an méarlorg fiú nuair a fhanann ainm an ábhair agus an eochair phoiblí mar an gcéanna. Tá sé sin ionchasach agus neamhdhíobhálach do chliaint a chuireann muinín i CA agus a fhíoraíonn an t-ainm. Tá sé marfach do chliant atá cumraithe chun deimhniú amháin a ghlacadh go beacht, agus tá sé marfach freisin do chliant nár ghlac a stór muiníne an t-eisitheoir nua riamh.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

Freagraíonn an dara líne ceist eile: ar mhair an péire eochracha. Coinníonn athnuachan a d’athúsáid an eochair an luach sin agus ní athraíonn sí ach an deimhniú, arb é go beacht an cás ina mbíonn riarthóir á mhealladh chun glacadh leis nár athraigh aon rud. Scrúdaigh an deimhniú atá imscartha, ní an ceann ar an óstach tógála. Cruthaíonn comparáid comhaid i stór cad a gineadh, ní cad atá á chur i láthair ag éisteoir anois.

Léigh cad atá á bhiorú ag an gcliant

Coinníonn roinnt cliant méarlorg ina bpróifíl agus cuireann siad i gcomparáid é ar gach nasc. Stórálann daoine eile é i stór muiníne ardáin, agus ní bhíonn daoine eile fós ag brath ach ar CA. Bíonn an deisiú difriúil i ngach cás, mar sin sainaithin an mheicníocht ar dtús.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

Taispeánann an chéad ordú biorán i bpróifíl thraidisiúnta; taispeánann an dara ceann an méarlorg a sheirbheálann an críochphointe i ndáiríre anois. Nuair a bhíonn an dá cheann difriúil, tá an locht aimsithe agat gan buille faoi thuairim. Ná greamaigh an luach nua in gach cliant a dhéanann gearán. Leanfaidh cliant a dhiúltaíonn ar fhorais eisitheora de bheith ag diúltú, agus beidh tú tar éis a mhúineadh duit féin gurbh é an méarlorg an fhadhb nuair nach raibh.

Cuir an deimhniú a sheirbheálann gach backend i gcomparáid

Ciallaíonn torthaí eatramhacha de ghnáth níos mó ná críochphointe amháin, agus fágann athnuachan a cuireadh i bhfeidhm ar nód amháin na cinn eile ag cur an tseanréada i láthair. Cuir gach backend i gcomparáid de réir seolta seachas de réir an ainm chomhroinnte.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

Míníonn linn ina bhfuil nód amháin chun deiridh cliant a nascann ar an dara hiarracht agus a theipeann ar an gcéad cheann. Míníonn sé freisin seiceáil monatóireachta a éiríonn nuair a dhéanann úsáideoirí gearán. Deisigh an moill ar dtús. Cruthaíonn rolladh an chumraíocht mhuiníne sula seirbheálann gach nód an deimhniú nua fuinneog nach n-oibríonn aon rud inti, agus fágann rolladh ina dhiaidh sin cliaint ag teip go hintuartha.

Athraigh muinín tríd an gcosán bainistithe

Deimhnigh an t-ionadú trí chainéal riaracháin atá iontaofa cheana sula nglacfaidh tú leis áit ar bith. Ní cruthúnas úinéireachta é dáta éaga inchreidte. Nuashonraigh an chumraíocht bhainistithe tríd an bpróiseas ar leis í, le haon fhorluí pleanáilte d’fhéiniúlachtaí inghlactha, agus coinnigh an fhíorú ainm a éilíonn an t-imscaradh. Is dearadh níos laige é biorán gan seiceáil ainm ná an mhuinín CA a tháinig ina áit.

Ansin fíoraigh de réir cliaint: nasc, deimhnigh an fhéiniúlacht a ghlac sé, agus tabhair faoi deara an leagan deimhnithe a bhfuil muinín aige as anois. Bíonn claonadh ag rabhadh a dhíbreofar uair amháin filleadh ar an gcéad athnuachan eile.