એક સામાન્ય નામ, બે પ્રમાણપત્રો: મંજૂરી યાદી કે રદ કરવું?

એ જ સામાન્ય નામ હેઠળ લેપટોપ પ્રમાણપત્ર ફરી જારી કરવું બદલી જેવું લાગે છે, અને દરેક ધારે છે કે જૂનું મૃત છે. એવું નથી. પૂર્વગામી એ જ સત્તાધિકારી દ્વારા સહી કરેલું માન્ય પ્રમાણપત્ર રહે છે, અને નામ દ્વારા ગ્રાહકોને સ્વીકારતું કોઈપણ નિયંત્રણ તેને સ્વીકારતું રહેશે. ઓળખ ચકાસણીને ઓળખપત્ર ચકાસણીથી અલગ પાડે છે સીરીયલ નંબર, અને સુધારો ત્યાં જ હોવો જોઈએ.

સર્વર જે નામકરણ નીતિ વાપરે છે તેનાથી શરૂ કરો

બે નિયંત્રણો ભેગાં થઈ જાય છે: ગ્રાહક પોતાને જે કહે છે તેના આધારે સ્વીકારવો, અને એક ચોક્કસ પ્રમાણપત્રને સેવામાંથી દૂર કરવું. પ્રથમ નામ ચકાસણી છે, બીજું રદ કરવાની ચકાસણી છે. તેઓ જુદા જુદા પ્રશ્નોના જવાબ આપે છે, અને એક જમાવટમાં એક વગર બીજું હોઈ શકે.

સર્વરની ગોઠવણી વાંચો અને નોંધો કે કયો ઓળખ સ્રોત વપરાય છે. username-as-common-name પ્રમાણિત વપરાશકર્તાનામને ગ્રાહક-વિશિષ્ટ શોધ માટે અસરકારક નામ બનાવે છે. તેના વિના પ્રમાણપત્રમાંથી વિષયનું સામાન્ય નામ વપરાય છે. જવાબ ગમે તે હોય, કોઈપણ મંજૂરી યાદીને અડકતા પહેલાં તેને લખી લો.

બે માર્ગો એ જ પ્રમાણપત્ર માટે અલગ મંજૂર નામોનો સમૂહ આપે છે. અહીં અનુમાન કરવું એટલે ખોટી ફાઈલ સંપાદિત કરવી અને નિયંત્રણ કામ નથી કરતું એવું તારણ કાઢવું.

ખરેખર શું ગ્રાહકને સ્વીકારે છે તે તપાસો

એક client-config-dir સાથે મેળ ખાતી ફાઈલ દરેક ગ્રાહક માટે વિકલ્પો પૂરા પાડે છે; એકલું તે સ્વીકૃતિ નિયમ નથી. નામ દ્વારા સ્વીકૃતિ માટે જરૂરી છે ccd-exclusive, જે મેળ ખાતી ફાઈલ ન હોય તેવા ગ્રાહકોને નકારે છે. ચાલુ જમાવટ પર તેને સક્રિય કરવાથી જેમના નામની ફાઈલ નથી તે બધા ડિસ્કનેક્ટ થાય છે, તેથી કંઈપણ બદલતા પહેલાં ફાઈલોની ગણતરી કરો.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

ગણતરી જ ચકાસણી છે: ડિરેક્ટરીની યાદીને તમે જે ઓળખો જોડાશે તેવી અપેક્ષા રાખો છો તેની સાથે સરખાવો.

પછી ખાતરી કરો કે દરેક ફાઈલનું નામ અસરકારક ઓળખ સાથે બરાબર મેળ ખાય છે, જેમાં અક્ષરોનું કદ અને જગ્યાઓનો સમાવેશ થાય છે. office-laptop માટેની ફાઈલ એવા પ્રમાણપત્ર માટે કંઈ કરતી નથી જેનો વિષય Office-Laptop દર્શાવે છે. અંતમાં રહેલી જગ્યાઓ પણ સાદી યાદીથી છુપાય છે, અને એ રીતે હાજર દેખાતી ફાઈલ વંચાયા વિના રહે છે.

ગેટવે જે CRL લોડ કરે છે તે તપાસો

CRL રદ કરાયેલા પ્રમાણપત્રોને ઈશ્યુઅર અને સીરીયલ નંબર દ્વારા નામ આપે છે, જે નામ ચકાસણીમાં નથી તેવી સૂક્ષ્મતા છે. બે પ્રમાણપત્રો સામાન્ય નામ વહેંચી શકે છે અને સીરીયલ નંબરમાં અલગ હોઈ શકે છે, અને ફક્ત સીરીયલ-સ્તરની યાદી તેમને અલગ પાડે છે.

ફાઈલ પર બિલકુલ ભરોસો કરતા પહેલાં ગોઠવેલો માર્ગ, જારી કરવાની તારીખ અને આગળના અપડેટનું ક્ષેત્ર ખાતરી કરો.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL માંનો સીરીયલ નંબર તમે રાખવા માંગો છો તે પ્રમાણપત્રના સીરીયલ નંબર સાથે સરખાવો. એ સરખામણી જ આખી કસોટી છે, અને એક વાર આંખે કરવી એ કોઈ ન વાંચે તેવી સ્ક્રિપ્ટ પર ભરોસો કરવા કરતાં વધુ કિંમતી છે. અપડેટ કરેલી CRL ગેટવે પહેલેથી વાંચે છે તે માર્ગ દ્વારા વિતરિત કરો. ખોટી ડિરેક્ટરીમાં પડેલી CRL કંઈ લાગુ કરતી નથી, અને કોઈ ગ્રાહક લોગ તેનો ઉલ્લેખ કરશે નહીં.

બદલો, પછી બંને પરિણામો સાબિત કરો

એ જ સામાન્ય નામ હેઠળ બદલી જારી કરો, બંને સીરીયલ નંબર નોંધો, અને પછી જ જૂનું રદ કરો. એ ક્રમ ફેરફાર તૈયાર કરતી વખતે કાર્યક્ષમ ઓળખ ઉપલબ્ધ રાખે છે.

પહેલાં બદલી ચકાસો: તે પ્રમાણિત થવી જોઈએ અને તેના નામનો હક છે તે બધું સુધી પહોંચવી જોઈએ. પછી જૂનું પ્રમાણપત્ર ચકાસો અને ખાતરી કરો કે તે નકારાય છે, કારણ કે સફળ બદલી રદ કરવા વિશે કંઈ કહેતી નથી. જો બંને હજી જોડાય છે, તો રદ કરવાનું ઇનપુટ વંચાતું નથી અથવા જૂનો સીરીયલ નંબર ક્યારેય યાદીમાં નહોતો. જો કોઈ જોડાતું નથી, તો તમે ઓળખપત્ર નહીં, સ્વીકૃતિ નિયમ તોડ્યો છે.

પહેલેથી સ્થાપિત સત્રો અલગ બાબત છે, કારણ કે રદ કરવું નવી પ્રમાણિકરણોને લાગુ પડે છે સિવાય કે ગેટવે જીવંત જોડાણો કાપવા માટે પણ ગોઠવેલું હોય. કોઈને વચન આપતા પહેલાં નક્કી કરો કે તાત્કાલિક દૂર કરવું જરૂરી છે કે નહીં.

નામ ચકાસણી ક્યારેય જે કરી શકતી નથી

મંજૂરી યાદી જવાબ આપે છે કે આ ઓળખ જોડાઈ શકે છે કે નહીં. તે કહી શકતી નથી કે તે ઓળખે કયું પ્રમાણપત્ર વાપર્યું, અને જૂનું ઓળખપત્ર ત્યાં સુધી સ્વીકારશે જ્યાં સુધી ઓળખપત્ર માન્ય અને રદ ન થયેલું રહે. એ અંતર ઘટનાના સમયે દેખાય છે, જ્યારે બદલી મહિનાઓ પહેલાં જારી થઈ હોય અને પૂર્વગામી હજી કામ કરતું હોય.

જ્યાં પ્રમાણપત્ર-સ્તરનું નિયંત્રણ જરૂરી છે, ત્યાં પ્રમાણપત્રને નામ આપતી પદ્ધતિ વાપરો: CRL એન્ટ્રીઓ, અથવા ચકાસણી હૂક જે ઓપરેટર જાળવે છે તેવી ફિંગરપ્રિન્ટ તપાસે છે. બંને જાળવણીનો ખર્ચ કરે છે, અને બંને પોતે તપાસતા પદાર્થ વિશે પ્રામાણિક છે. OpenVPN 2.6 માર્ગદર્શિકા દસ્તાવેજીકરણ કરે છે crl-verify અને ગ્રાહક-વિશિષ્ટ સ્વીકૃતિને અલગ વિકલ્પો તરીકે, એ કારણે.

કયું નિયંત્રણ કયું કામ કરે છે તે લખો, પછી નકારાત્મક કિસ્સો ચકાસો. જે રદ કરવાનું તમે ક્યારેય જોડાણ નકારતું જોયું નથી તે એવી ગોઠવણી છે જે કામ કરશે એવી તમે આશા રાખો છો.