Athnuachan deimhniúcháin VPN gan a fhéiniúlacht a athrú

Ní athnuachan í athnuachan deimhniúcháin a athraíonn an fhéiniúlacht, is aistriú í atá gléasta i dticéad cothabhála. Fíoraíonn an cliant ainm, slabhra agus uaireanta eochair ar leith, agus is féidir leis an trí rud seo athrú gan an dáta éaga a athrú. Sula n-iarrfaidh tú athsholáthar, scríobh síos an méid a sheiceálann an cliant i ndáiríre: an t-ainm óstach nó féiniúlacht an phiara, cuspóir an deimhniúcháin, an beartas eochrach agus an slabhra eisitheora. Bíonn an athnuachan gnásúil nó comhordaithe ag brath ar cé acu de na rudaí sin a athraíonn an t-athsholáthar.

Trí choinníoll a chinneann cruth na hathnuachana

Is iad na trí choinníoll cé acu a bhfuil rud ar bith ag pionnáil na duille, an athraíonn an slabhra, agus cé eile a fhíoraíonn an t-ainm. Freagair ó thaobh an chliaint iad seachas ó áisiúlacht an CA, mar is é an cliant a theipeann ag a trí a chlog ar maidin.

Tosaigh trí iniúchadh a dhéanamh ar an deimhniúchán atá agat. Priontálann openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName an t-ábhar, an t-eisitheoir, an fhuinneog bailíochta agus na hainmneacha a bhfuil an deimhniúchán bailí dóibh i ndáiríre. Is é an réimse deireanach sin an ceann is tábhachtaí agus is minice a ghlactar leis: cruthaíonn iarratas athnuachana a fhágann SAN ar a mbíonn an cliant ag brath deimhniúchán atá bailí go teicniúil agus mícheart go feidhmiúil. Cóipeáil liosta na SAN ón sean-deimhniúchán isteach san iarratas seachas é a athchlóscríobh ó chuimhne.

Coinníoll a haon: an bhfuil rud ar bith ag pionnáil na duille

Má tá muinín ag cliaint as CA cothabháilte agus má fhíoraíonn siad an t-ainm, tá athnuachan duille le heochair nua dofheicthe dóibh. Má phionnálann aon chliant an deimhniúchán duille, a mhéarlorg nó a eochair phoiblí, is athrú comhordaithe le hathrú crua é an t-athsholáthar, mar ní féidir leis an sean-phionn an deimhniúchán nua a fhíorú.

Faigh amach cén cás ina bhfuil tú sula n-oróidh tú rud ar bith. Is pionn fós pionn nach ndearna aon duine é a dhoiciméadú nuair a bhriseann sé.

Coinníoll a dó: déan comparáid idir na pionnaí agus an slabhra

Déanann méarloirg an pionn in-seiceáilte: openssl x509 -noout -fingerprint -sha256 -in server.crt ar an sean-deimhniúchán agus ar an gceann nua, agus openssl x509 -noout -pubkey chun eochracha poiblí a chur i gcomparáid. Má tá ceachtar den dá luach i gcumraíocht an chliaint, i bpróifíl shoghluaiste nó i stór muiníne fearais, tá pionn agat. Is áit choitianta cheilt iad próifílí VPN soghluaiste, mar scaiptear an phróifíl uair amháin agus ní dhéantar í a iniúchadh arís.

Má thagann an t-athsholáthar ón idirmheánach céanna agus má tá an t-idirmheánach sin ag an gcliant cheana féin nó má féidir leis é a fháil, ní athraíonn aon rud ar thaobh an mhuiníne. Athraíonn idirmheánach nua, eisitheoir difriúil nó slabhra a sheachadtar san ord mícheart athnuachan ina hathrú muiníne, agus breathnaíonn an teip mar eisitheoir anaithnid seachas mar dheimhniúchán éaga.

Seiceáil an slabhra a sheolann an freastalaí i ndáiríre le openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, agus fíoraigh go háitiúil é le openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Má dhéanann tú é sin roimh an athrú, beidh bunlíne agat le comparáid a dhéanamh ina choinne ina dhiaidh sin.

Coinníoll a trí: cé eile a fhíoraíonn an t-ainm

I measc na rud a d'fhéadfadh a gcóip féin den ainm nó den ancaire muiníne a choinneáil tá comhchruinneoir VPN, comhla ualaigh, probe monatóireachta, comhtháthú RADIUS nó SAML agus próifíl shoghluaiste. Is é an athnuachan an nóiméad a n-éiríonn na cóipeanna sin difriúil, mar athraíonn an deimhniúchán agus ní athraíonn na cóipeanna.

Liostaigh gach tomhaltóir roimh an athrú agus socraigh, do gach ceann, an bhfuil nuashonrú de dhíth air. Is é an ceann a dhéanann tú dearmad air an ceann a ghlaonn ort.

Tá gaiste ama ann freisin. Iniúch tús na bailíochta chomh maith leis an éag, mar diúltaítear do dheimhniúchán a ullmhaítear le haghaidh gníomhachtú níos déanaí má shuiteáiltear é ró-luath, agus breathnaíonn an earráid mar fhadhb chloig seachas mar fhadhb ullmhúcháin. Is seiceáil dhá shoicind é openssl x509 -noout -dates ar an gcomhad nua sula n-imscarfá é. Coinnigh cosán téarnaimh tacaíochta agus an chumraíocht is fearr atá ar eolas freisin, ionas gur féidir athnuachan a théann ar strae a aisiompú tríd an deimhniúchán agus an eochair roimhe a athchóiriú.

Imscar, fíoraigh le fíordheimhniú nua, ansin cuir ar scor

Léiríonn tollán bunaithe an fhíorú a tharla nuair a tógadh é, mar sin féadfaidh sé breathnú sláintiúil cé go dteipeann ar gach nasc nua. Tástáil le fíordheimhniú nua ag baint úsáide as an bhfíor-ainm seirbhíse a úsáideann na cliaint.

Comhlánaigh an tseiceáil ar leibhéal an fheidhmchláir a bhfuil an t-úsáideoir buartha faoi, agus deimhnigh seachadadh an tslabhra ó thaobh an chliaint seachas ó thaobh an fhreastalaí. Ná cuir seiceálacha ainm nó deimhniúcháin faoi chois chun an t-aistriú a choinneáil ciúin; déanann sé sin fadhb chomhoiriúnachta shealadach a iompú ina fadhb bhuan.

Ná cuir ábhar as feidhm ach amháin tar éis an rollú amach a fhíorú, agus caith le heochair chompromhaithe mar chás iomlán difriúil: ní tharraingíonn athnuachan amháin aon rud siar, mar sin tá próiseas cúlghairthe agus láimhseála seisiúin an imlonnaithe de dhíth ar an bhféiniúlacht atá i gceist. RFC 5280 a shainíonn na rialacha deimhniúcháin agus bailíochtaithe conaire atá faoi seo ar fad. Coinnigh athnuachan duille gnásúil scartha ó athsholáthar CA, ionas nach n-iarrtar ar chliaint muinín a chur in eisitheoir nua gan chúis.