શા માટે સર્વર કી અને વપરાશકર્તા ઓળખપત્રને અલગ માલિકની જરૂર છે

જે કી સાબિત કરે છે કે તમારો ગેટવે પોતે જ છે અને જે ઓળખપત્ર કહે છે કે વ્યક્તિ જોડાઈ શકે છે, બંને ગુપ્ત છે, અને ત્યાં જ સામ્યતા પૂરી થાય છે. એક દરેક ક્લાયન્ટ સામે સેવાને ઓળખે છે; બીજું તે સેવા સામે એક વપરાશકર્તાને ઓળખે છે. તેમને મિશ્ર કરવાથી સેટઅપમાં એક પગલું બચે છે અને ઘટનાના સમયે એક બપોર ખર્ચાય છે, કારણ કે દરેકની પુનઃપ્રાપ્તિ એક જ કામગીરી નથી. વિભાજન ગોઠવવું કંટાળાજનક છે અને ચૂકી જવું યાદગાર છે.

બે ગુપ્ત, બે અલગ માલિક

ગેટવે એક ખાનગી કી અથવા પ્રમાણપત્ર રાખે છે જેનું એકમાત્ર કામ હેન્ડશેક દરમિયાન તેની ઓળખ સાબિત કરવાનું છે. ક્લાયન્ટને તેને ચકાસવા માટે મેળ ખાતી જાહેર સામગ્રીની જરૂર છે, અને તેમને ખાનગી અડધાની કદી જરૂર નથી. એ જ અસમાનતા દરેક વપરાશકર્તાને સર્વરની નકલ કરવાની ક્ષમતા આપ્યા વિના સર્વર પ્રમાણીકરણ શક્ય બનાવે છે.

વપરાશકર્તાની સામગ્રી બીજી દિશામાં જાય છે. ક્લાયન્ટની ખાનગી કી, ક્લાયન્ટ પ્રમાણપત્ર અથવા પાસવર્ડ દર્શાવે છે કે આ ચોક્કસ વ્યક્તિ કે ઉપકરણને પ્રવેશ આપવામાં આવ્યો છે. તેને વહેંચવામાં, ઉપકરણો વચ્ચે નકલ કરવામાં અને અંતે રદ કરવામાં આવે તેવી અપેક્ષા છે.

WireGuard વિભાજનને સ્પષ્ટ કરે છે કારણ કે દરેક સહભાગી પાસે કી-જોડી હોય છે: સર્વરની ખાનગી કી સર્વર પર જ રહે છે, અને વપરાશકર્તાને આપેલી રૂપરેખા ફાઇલમાં તેની પોતાની ખાનગી કી ઉપરાંત સર્વરની જાહેર કી હોય છે. સર્વરની ખાનગી કી ધરાવતી પ્રોફાઇલ ટૂંકો રસ્તો નથી, તે ફાઇલ શેરિંગની રાહ જોતી એક છેતરપિંડી છે.

વિભાજન નક્કી કરતા ત્રણ પ્રશ્નો

પૂછો કે કોણ ગુપ્ત માહિતી વાંચી શકવું જોઈએ, લીક થવાથી હુમલાખોર શું કરી શકશે, અને ઉકેલ એક રદ કરવો છે કે સેવાનું પુનર્નિર્માણ.

જો વપરાશકર્તા તેને વાંચી શકે અને તે ગેટવેની ઓળખ સાબિત કરે, તો બીજા પ્રશ્નનો જવાબ છે કે હુમલાખોર દરેક ક્લાયન્ટ સામે તમારા સર્વરની નકલ કરી શકે છે — સૌથી ખરાબ પરિણામ, કારણ કે ક્લાયન્ટ તે ઓળખ પર ભરોસો કરવા માટે બનાવવામાં આવ્યા છે. જો તે ફક્ત એક વપરાશકર્તાને સાબિત કરે, તો લીક તે વપરાશકર્તાને એક સાથી સુધી પ્રવેશ આપે છે, અને રદ કરવું એ નિયમિત કામગીરી છે. જો તે પ્રમાણપત્ર સત્તાધિકારીની કી હોય, તો લીક બંને કરતાં ખરાબ છે, કારણ કે હુમલાખોર એવી ઓળખ બનાવી શકે છે જેના પર દરેક અંતિમ બિંદુ ભરોસો કરે છે.

તે ત્રણ જવાબો સંગ્રહ નિયમ આપે છે: CA કી ઑફલાઇન અથવા તિજોરીમાં રહે છે, ગેટવે કી ગેટવે પર રહે છે, અને વપરાશકર્તા કી વપરાશકર્તાઓ પાસે રહે છે. સુવિધા માટે ત્રણેયને એક ડિરેક્ટરીમાં મૂકતું કોઈપણ ગોઠવણ નિર્ણયને અકસ્માતમાં ફેરવી નાખે છે.

ક્લાયન્ટને ખરેખર શું જોઈએ

ક્લાયન્ટને જાહેર પ્રમાણપત્ર અથવા જાહેર સાથી કી, જે CA સામગ્રી અથવા ફિંગરપ્રિન્ટ પર ભરોસો કરવો જોઈએ, તેની પોતાની ખાનગી કી અને અંતિમ બિંદુની વિગતો જોઈએ. તે યાદીમાં ગેટવેની ખાનગી ઓળખનું કંઈ નથી.

દસ્તાવેજીકરણ એ છે જ્યાં આ લીક થાય છે. જે માર્ગદર્શિકા કહે છે કે સર્વર ડિરેક્ટરી નકલ કરો અને જે જરૂરી ન હોય તે કાઢી નાખો, તે પહેલેથી ખોટું મોડેલ શીખવી ચૂકી છે, કારણ કે કાઢી નાખવાના પગલા પછી બચેલી ફાઇલને ભાગ્યે જ કોઈ તપાસે છે.

ગેટવેને અડ્યા વિના એક વપરાશકર્તા રદ કરો

વપરાશકર્તા ઓળખ અલગથી અપાય છે તેથી અલગથી પાછી ખેંચી શકાય છે. પ્રમાણપત્ર આધારિત જમાવટ ક્લાયન્ટ પ્રમાણપત્ર રદ કરે છે અને અદ્યતન રદ કરવાની યાદી પ્રકાશિત કરે છે; WireGuard જમાવટ સર્વર રૂપરેખામાંથી સાથીની નોંધ દૂર કરે છે. આમાંથી કોઈપણ કામગીરી ગેટવેની પોતાની કી બદલતી નથી.

ઇશ્યુ રેકોર્ડ રાખો, નહીં તો કઈ ઓળખ પાછી ખેંચવી તે ખબર નહીં પડે. સ્પ્રેડશીટ પૂરતી છે, જો તેમાં વ્યક્તિ, ઉપકરણ, ક્રમિક નંબર કે જાહેર કી અને તારીખનો ઉલ્લેખ હોય, અને જે વ્યક્તિએ તે બનાવી તે ગયા પછી પણ કોઈ તેની સંભાળ રાખે.

નીચેની આદેશો ક્લાયન્ટ પ્રમાણપત્રની તપાસ કરે છે અને પછી OpenSSL શૈલીની સત્તા દ્વારા તેને રદ કરે છે, જે easy-rsa લપેટે છે તે પ્રવાહ છે:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

નવી યાદી ત્યાં પ્રકાશિત કરો જ્યાં ક્લાયન્ટ તેને તપાસે છે, નહીં તો રદ કરવું એ ફાઇલમાંની એક નોંધ છે જે કંઈ બદલતી નથી. જો તમારો ગેટવે રદ કરવાની યાદીની સલાહ લીધા વિના ક્લાયન્ટ પ્રમાણપત્ર સ્વીકારે છે, તો રદ કરવું કામ કરે છે એવું સૂચવવાને બદલે તે સ્પષ્ટ કહો.

બેકઅપને ગુપ્ત માહિતી જેટલા અલગ રાખો

પુનર્નિર્માણ આર્કાઇવમાં ગેટવે કી અને CA સામગ્રી કાયદેસર રીતે હોય છે, કારણ કે તેમના વિના પુનઃસ્થાપન સેવાને ફરી બનાવી શકતું નથી. ક્લાયન્ટ સેટઅપ પેકેજમાં તે ન હોવું જોઈએ, અને બંનેને સાથે સંગ્રહિત કરવા ન જોઈએ. દરેક આર્કાઇવને કોણ રાખી શકે તે મુજબ લેબલ કરો, બન્યાની તારીખ મુજબ નહીં. થાકેલો વ્યવસ્થાપક રાત્રે બે વાગ્યે એ જ લેબલ વાંચે છે.

તે ભેદ એ પણ નક્કી કરે છે કે દરેકને કોણ મેળવી શકે. ગેટવેનું સંચાલન, વપરાશકર્તા ઓળખનું ઇશ્યુ અને બેકઅપ વાંચવું એ ત્રણ અલગ સત્તાઓ છે, અને જેને એકની જરૂર છે તેને આપોઆપ બીજીની જરૂર નથી. તે પરવાનગીઓ લખો, પછી તમારું સંગ્રહ ખરેખર શું મંજૂરી આપે તેની સાથે તેમને તપાસો, કારણ કે ડિરેક્ટરી વારસો નીતિ ધારે તેના કરતાં વધુ ચુપચાપ આપે છે.