VPN પ્રમાણપત્રને તેની ઓળખ બદલ્યા વિના નવીકરણ કરવું

ઓળખ બદલતું પ્રમાણપત્ર નવીકરણ એ નવીકરણ નથી, તે જાળવણી ટિકિટ પહેરેલું સ્થળાંતર છે. ક્લાઇન્ટ નામ, શૃંખલા અને ક્યારેક ચોક્કસ કીની ચકાસણી કરે છે, અને ત્રણેય સમાપ્તિ તારીખ બદલ્યા વિના બદલાઈ શકે છે. બદલી માટે વિનંતી કરતા પહેલાં, ક્લાઇન્ટ ખરેખર શું ચકાસે છે તે લખો: હોસ્ટનામ અથવા પીઅર ઓળખ, પ્રમાણપત્રનો હેતુ, કી નીતિ અને જારી કરતી શૃંખલા. બદલી તેમાંથી કઈ વસ્તુ બદલે છે તેના આધારે નવીકરણ નિયમિત કે સંકલિત હોય છે.

ત્રણ શરતો નવીકરણનો આકાર નક્કી કરે છે

ત્રણ શરતો એ છે કે શું કંઈપણ પર્ણને પિન કરે છે, શું શૃંખલા બદલાય છે, અને બીજું કોણ નામની ચકાસણી કરે છે. તેમને CAની સગવડને બદલે ક્લાઇન્ટની બાજુથી જવાબ આપો, કારણ કે રાત્રે ત્રણ વાગ્યે નિષ્ફળ જતું ક્લાઇન્ટ જ છે.

તમારી પાસેનું પ્રમાણપત્ર તપાસીને શરૂ કરો. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName વિષય, જારી કરનાર, માન્યતાની વિંડો અને જે નામો માટે પ્રમાણપત્ર ખરેખર માન્ય છે તે છાપે છે. તે છેલ્લું ક્ષેત્ર સૌથી મહત્વનું છે અને સૌથી વધુ ધારી લેવાય છે: ક્લાઇન્ટ જે SAN પર આધાર રાખે છે તેને છોડી દેતી નવીકરણ વિનંતી તકનીકી રીતે માન્ય પણ કાર્યાત્મક રીતે ખોટું પ્રમાણપત્ર બનાવે છે. જૂના પ્રમાણપત્રમાંથી SAN યાદી વિનંતીમાં કૉપિ કરો, યાદશક્તિમાંથી ફરી ટાઇપ કરવાને બદલે.

શરત એક: શું કંઈપણ પર્ણને પિન કરે છે

જો ક્લાઇન્ટ જાળવેલ CA પર ભરોસો કરે છે અને નામની ચકાસણી કરે છે, તો નવી કી સાથેનું પર્ણ નવીકરણ તેમના માટે અદૃશ્ય છે. જો કોઈ ક્લાઇન્ટ પર્ણ પ્રમાણપત્ર, તેની ફિંગરપ્રિન્ટ અથવા તેની જાહેર કી પિન કરે છે, તો બદલી કઠોર સંક્રમણ સાથેનું સંકલિત પરિવર્તન છે, કારણ કે જૂનું પિન નવા પ્રમાણપત્રની ચકાસણી કરી શકતું નથી.

કંઈપણ ઓર્ડર કરતા પહેલાં તમે કયા કિસ્સામાં છો તે શોધો. કોઈએ દસ્તાવેજ ન કરેલું પિન તૂટે ત્યારે પણ પિન જ રહે છે.

શરત બે: પિન અને શૃંખલાની સરખામણી કરો

ફિંગરપ્રિન્ટ પિનને ચકાસી શકાય તેવું બનાવે છે: જૂના અને નવા પ્રમાણપત્ર પર openssl x509 -noout -fingerprint -sha256 -in server.crt, અને જાહેર કીની સરખામણી માટે openssl x509 -noout -pubkey. જો ક્લાઇન્ટ રૂપરેખાંકન, મોબાઇલ પ્રોફાઇલ અથવા ઉપકરણના વિશ્વાસ સંગ્રહમાં બંનેમાંથી કોઈ એક મૂલ્ય હોય, તો તમારી પાસે પિન છે. મોબાઇલ VPN પ્રોફાઇલ સામાન્ય છુપાવાની જગ્યા છે, કારણ કે પ્રોફાઇલ એક વાર વિતરિત થાય છે અને ફરી ક્યારેય તપાસાતી નથી.

જો બદલી એ જ મધ્યવર્તીમાંથી આવે છે અને ક્લાઇન્ટ પાસે તે મધ્યવર્તી પહેલેથી છે અથવા તે મેળવી શકે છે, તો વિશ્વાસની બાજુએ કંઈ બદલાતું નથી. નવું મધ્યવર્તી, અલગ જારીકર્તા અથવા ખોટા ક્રમમાં પહોંચાડાયેલી શૃંખલા નવીકરણને વિશ્વાસ પરિવર્તનમાં ફેરવે છે, અને નિષ્ફળતા સમાપ્ત પ્રમાણપત્રને બદલે અજાણ્યા જારીકર્તા જેવી લાગે છે.

સર્વર ખરેખર જે શૃંખલા મોકલે છે તે openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts સાથે તપાસો, અને openssl verify -CAfile ca.pem -untrusted chain.pem server.crt સાથે સ્થાનિક રીતે ચકાસો. પરિવર્તન પહેલાં આ કરવાથી પછીથી સરખામણી કરવા માટે તમને આધારરેખા મળે છે.

શરત ત્રણ: બીજું કોણ નામની ચકાસણી કરે છે

VPN કોન્સન્ટ્રેટર, લોડ બેલેન્સર, મોનિટરિંગ પ્રોબ, RADIUS અથવા SAML એકીકરણ અને મોબાઇલ પ્રોફાઇલ દરેક અપેક્ષિત નામ અથવા વિશ્વાસ એન્કરની પોતાની નકલ રાખી શકે છે. નવીકરણ એ ક્ષણ છે જ્યારે તે નકલો અલગ પડે છે, કારણ કે પ્રમાણપત્ર બદલાય છે અને નકલો બદલાતી નથી.

પરિવર્તન પહેલાં દરેક ઉપભોક્તાની યાદી બનાવો અને દરેક માટે નક્કી કરો કે તેને અપડેટની જરૂર છે કે નહીં. તમે જે ભૂલી જાઓ તે જ તમને ચેતવે છે.

સમયની એક જાળ પણ છે. સમાપ્તિની સાથે માન્યતાની શરૂઆત પણ તપાસો, કારણ કે પછીની સક્રિયતા માટે તૈયાર કરેલું પ્રમાણપત્ર વહેલું સ્થાપિત કરવામાં આવે તો નકારવામાં આવે છે, અને ભૂલ તૈયારીની સમસ્યાને બદલે ઘડિયાળની સમસ્યા જેવી લાગે છે. તમે તેને તૈનાત કરો તે પહેલાં નવી ફાઇલ પર openssl x509 -noout -dates બે-સેકન્ડની ચકાસણી છે. સમર્થિત પુનઃપ્રાપ્તિ માર્ગ અને જાણીતું-સારું રૂપરેખાંકન પણ રાખો, જેથી ખોટું જતું નવીકરણ અગાઉના પ્રમાણપત્ર અને કીને પુનઃસ્થાપિત કરીને ઉલટાવી શકાય.

તૈનાત કરો, નવા પ્રમાણીકરણ સાથે ચકાસો, પછી નિવૃત્ત કરો

સ્થાપિત ટનલ બનાવવામાં આવી ત્યારે થયેલી ચકાસણીને પ્રતિબિંબિત કરે છે, તેથી તે સ્વસ્થ દેખાઈ શકે છે જ્યારે દરેક નવું જોડાણ નિષ્ફળ જાય છે. ક્લાઇન્ટ વાપરે છે તે વાસ્તવિક સેવા નામનો ઉપયોગ કરીને નવા પ્રમાણીકરણ સાથે પરીક્ષણ કરો.

વપરાશકર્તાને મહત્વની એપ્લિકેશન-સ્તરની ચકાસણી પૂર્ણ કરો, અને સર્વરની બાજુને બદલે ક્લાઇન્ટના દૃષ્ટિકોણથી શૃંખલાની ડિલિવરીની પુષ્ટિ કરો. સંક્રમણ શાંત રાખવા માટે નામ કે પ્રમાણપત્રની ચકાસણીઓ દબાવી ન દો; તે કામચલાઉ સુસંગતતા સમસ્યાને કાયમી સમસ્યામાં ફેરવે છે.

રોલઆઉટની ચકાસણી થાય તે પછી જ અપ્રચલિત સામગ્રી નિવૃત્ત કરો, અને સમાધાન થયેલી કીને સંપૂર્ણપણે અલગ કિસ્સો ગણો: એકલું નવીકરણ કંઈપણ રદ કરતું નથી, તેથી અસરગ્રસ્ત ઓળખને તૈનાતીના રદ કરવા અને સત્ર-સંચાલન પ્રક્રિયાની જરૂર છે. RFC 5280 એ આ બધાની નીચેના પ્રમાણપત્ર અને પથ-ચકાસણીના નિયમો વ્યાખ્યાયિત કરે છે. નિયમિત પર્ણ નવીકરણને CA બદલીથી અલગ રાખો, જેથી ક્લાઇન્ટને કારણ વગર નવા જારીકર્તા પર ભરોસો કરવાનું કહેવામાં ન આવે.