VPN પ્રમાણપત્ર ઇન્વેન્ટરી: CA લેજર શું સાબિત કરી શકે
સર્વર પરનું ફોલ્ડર, CA લેજર, રદ કરવાની સૂચિ અને સત્ર કોષ્ટક જુદા જુદા પ્રશ્નોના જવાબ આપે છે. VPN ઓળખોની ઇન્વેન્ટરી કરતી વખતે તેમને અલગ રાખો.
તમારું ગેટવે એવું ક્લાઇન્ટ પ્રમાણપત્ર સ્વીકારે છે જે તેણે ક્યારેય જોયું નથી, કારણ કે જેનાથી તે ગોઠવાયેલું છે તે વિશ્વસનીય ઇશ્યુઅર છે, અને પ્રમાણપત્ર હેન્ડશેક દરમિયાન આવે છે. પ્રોટોકોલ આમ જ કામ કરવાનો છે, અને એટ જ કારણે સર્વર પરની ડિરેક્ટરી સૂચિ નબળી ઇન્વેન્ટરી છે. ઇશ્યુઅર જાણે છે તેણે શું બનાવ્યું, સર્વર જાણે છે શું જોડાયું, અને રદ કરવાની સ્થિતિ જાણે છે શું પાછું ખેંચાયું. આ ત્રણ રેકોર્ડ ભેગા કરતી ઇન્વેન્ટરી અંતે એવું કંઈક દાવો કરે છે જે તેમાંથી કોઈએ કહ્યું નહોતું.
ગેટવે ફાઇલ સૂચિને નહીં, ઇશ્યુઅર પર ભરોસો કરે છે
માન્યતા ચકાસણી રજૂ કરેલા પ્રમાણપત્રને વિશ્વાસ એન્કર સાથે સરખાવે છે, તેથી તે જ ઇશ્યુઅરે ગઈકાલે બનાવેલી ઓળખ સર્વરની ડિસ્ક પર ક્યારેય ન હોવા છતાં જોડાય છે. એવું થવા માટે કંઈ પણ કોપી કરવાની જરૂર નથી, અને કોઈએ તેને હાથે મંજૂર કરવાની જરૂર નથી. તેથી સર્વરના પોતાના રેકોર્ડ આવવાની ઘટનાઓ વર્ણવે છે, આવી શકે તેવી ઓળખોની વસ્તી નહીં.
ઊલટું અંતર પણ એટલું જ અડચણરૂપ છે. ફોલ્ડરમાં સમય પૂરો થયેલા પ્રમાણપત્રો, રદ કરેલા પ્રમાણપત્રો, અને એવા ઉપકરણો માટે અપાયેલી ઓળખો હોઈ શકે જે ક્યારેય તૈનાત થયા નહોતા. ફાઇલો ગણવાથી એ જવાબ મળે છે કે કેટલી ફાઇલો છે, જે એવો પ્રશ્ન છે જે કોઈએ પૂછ્યો નહોતો. તેના બદલે અર્થ ધરાવતા રેકોર્ડથી શરૂ કરો.
ચાર પ્રશ્નો, ચાર જુદા રેકોર્ડ
દરેક રેકોર્ડ પ્રકાર એક પ્રશ્નનો સારો જવાબ આપે છે અને બાકીના પ્રશ્નોનો ખરાબ, તેથી તેમને ભેગા કરતો અહેવાલ પૂર્ણ લાગે છે જ્યારે તે ચોક્કસ રીતે ખોટો હોય છે. નીચેનું કોષ્ટક તેમને તે સિસ્ટમ પ્રમાણે નહીં, પરંતુ જે પ્રશ્નનો ઉકેલ આપે છે તે પ્રમાણે ગોઠવે છે.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
જાહેર પ્રમાણપત્રોનું સંગ્રહ ગુપ્ત નથી, કારણ કે તેમાં કોઈ ખાનગી કી નથી, પણ તે વહેંચવા જેવું પણ નથી. સબ્જેક્ટ અને ઉપકરણના નામ સંચાલનની વિગતો ઉજાગર કરે છે, અને અહેવાલ તેની જરૂર હોય તેવા પ્રેક્ષકો પાસે જ રહેવો જોઈએ. ખાનગી કી ઇન્વેન્ટરીની સંપૂર્ણ બહાર રહે છે, કારણ કે ઇન્વેન્ટરીને ઓળખપત્રો નહીં, મેટાડેટા જોઈએ છે.
ઇશ્યુઅર અને ક્રમાંક જ એકમાત્ર સ્થિર કી છે
સબ્જેક્ટ ફરી વપરાય છે અને ફાઇલના નામ પુનઃવપરાય છે, તેથી ગયા વર્ષે એક ઉપકરણને ઓળખાવતું નામ હવે બીજું ઓળખાવી શકે છે. બંનેમાંથી કોઈ કી નથી, અને બંનેમાંથી કોઈ પર બનેલો અહેવાલ અંતે બે ઓળખોને એક લાઇનમાં ભેગી કરશે.
ઇશ્યુઅર અને ક્રમાંકની જોડી પ્રમાણપત્રને અનન્ય રીતે ઓળખે છે, અને બંને ક્ષેત્રો પ્રમાણપત્રમાંથી જ આવે છે. તેમને સબ્જેક્ટ, માન્યતાની તારીખો, નકલ જે સ્રોતમાંથી આવી તે, અને જવાબદાર વ્યક્તિ કે ઉપકરણ સાથે નોંધો. રદ કરવાની અને તૈનાતીની સ્થિતિ પોતાના અવલોકન સમય સાથે અલગ ક્ષેત્રો તરીકે ઉમેરો, કારણ કે માન્યતાની વિન્ડોમાં રહેલું પ્રમાણપત્ર આપોઆપ અધિકૃત થતું નથી. આ બે હકીકતો જુદી જુદી સિસ્ટમોમાં રહે છે, અને તેમને ભેગી કરવાથી એ કિસ્સો છુપાય છે જ્યાં ઓળખ પાછી ખેંચાઈ હતી અને તેની ફાઇલ હજી ચાલુ લાગે છે.
એક સમયે એક પ્રમાણપત્ર વાંચો
ફોલ્ડર આખામાં ફેલાતું વાઇલ્ડકાર્ડ બેચ ઇન્ટરફેસ નથી, અને તે છુપાવે છે કે કઈ ફાઇલે કઈ આઉટપુટ આપ્યું. દરેક પ્રમાણપત્ર માટે મેટાડેટા વાંચો, અને રદ કરવાની બાજુ તેના પોતાના આર્ટિફેક્ટમાંથી વાંચો. OpenSSL x509 સંદર્ભ એ ક્ષેત્રોની સૂચિ આપે છે જે તે વિકલ્પો છાપે છે.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40સંચાલિત Easy-RSA PKI માટે, ટૂલ જે કાર્યપ્રવાહને ટેકો આપે છે તેના દ્વારા ઇશ્યુઅન્સ ડેટાબેઝને પૂછો ડિરેક્ટરી લેઆઉટ ધારવાને બદલે, અને ઇન્વેન્ટરી બનતી વખતે મૂળ ફાઇલોને ફક્ત-વાંચવા રાખો. લેજરનું બંધારણ પૂરતું નિયમિત છે કે ડેટાબેઝને હાથે ખોલ્યા વિના માન્ય નોંધો ગણી શકાય અને પાછી ખેંચાયેલીની સૂચિ બનાવી શકાય.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5આગલી અનુમતિ પછી પણ ટકતી ઇન્વેન્ટરી
ફોલ્ડરનું એકવાર થતું ડમ્પ આગલું પ્રમાણપત્ર જારી થાય તે ક્ષણે જ જૂનું થઈ જાય છે, તેથી અહેવાલ ઇશ્યુઅન્સ કાર્યપ્રવાહમાંથી બનાવો અને સામાન્ય સંચાલનના ભાગ રૂપે તેને અપડેટ થવા દો. આ અહેવાલને પુનઃઉત્પાદનયોગ્ય પણ બનાવે છે, જે ત્યારે મહત્વનું છે જ્યારે બે લોકો શું જારી થયું તે અંગે અસહમત હોય.
પરિણામનો ઉપયોગ નવીકરણ અને નિવૃત્તિના નિર્ણયો માટે કરો, સ્પ્રેડશીટ કસરત તરીકે નહીં. સ્થાનિક નકલ ભૂંસવાથી પહેલેથી અસ્તિત્વમાં રહેલી દૂરની નકલો અમાન્ય થતી નથી. ગોઠવેલા રદ કરવા અને અધિકૃતિ કાર્યપ્રવાહ દ્વારા ઓળખ પાછી ખેંચો, પછી તેની તારીખ સાથે પાછું ખેંચવાનું નોંધો. સર્વર પરથી અદૃશ્ય થયેલી પણ ઇશ્યુઅર માટે હજી વિશ્વસનીય ઓળખ નિવૃત્ત થઈ નથી, અને એ ફરક જ સચોટ ઇન્વેન્ટરીને ફક્ત આશ્વાસન આપતી ઇન્વેન્ટરીથી અલગ પાડે છે.