Suna ɗaya na gama-gari, takardun shaida biyu: jerin izini ko sokewa?

Sake fitar da takardar shaidar kwamfutar tafi-da-gida a ƙarƙashin wannan sunan gama-gari yana kama da maye gurbi, kuma kowa yana ɗauka tsohuwar ta mutu. Ba haka ba. Magabaci ya kasance ingantacciyar takardar shaida da aka sanya wa hannu daga wannan hukuma, kuma duk wani iko da ke karɓar abokan ciniki da suna zai ci gaba da karɓarta. Abin da ke raba duba ainihi da duba takardun shaida shi ne lambar serial, kuma a nan ne gyaran ya kamata ya kasance.

Fara da manufar suna da uwar garken ke amfani da ita

Ana rikita iko biyu: karɓar abokin ciniki saboda wanda ya ce shi ne, da fitar da wata takardar shaida daga hidima. Na farko duba suna ne, na biyu duba sokewa ne. Suna amsa tambayoyi daban-daban, kuma turawa na iya samun ɗaya ba tare da ɗayan ba.

Karanta tsarin uwar garken kuma lura wace tushen ainihi ke aiki. username-as-common-name yana mai da sunan mai amfani da aka tabbatar da shi ya zama sunan da ake amfani da shi don binciken da ya shafi abokin ciniki. Ba tare da shi ba, ana amfani da sunan gama-gari na batun daga takardar shaidar. Ko menene amsar, rubuta ta kafin ka taɓa kowane jerin izini.

Hanyoyin biyu suna samar da wani tsari daban na sunaye da aka yarda da su don wannan takardar shaida. Yin hasashe a nan yana nufin gyara fayil ɗin da bai dace ba da kuma yanke shawarar cewa iko ba ya aiki.

Duba abin da a zahiri ke karɓar abokin ciniki

Umurnin client-config-dir mai dacewa yana ba da zaɓuɓɓukan kowane abokin ciniki; shi kaɗai ba ka'idar karɓa ba ce. Karɓa da suna yana buƙatar ccd-exclusive, wanda ke ƙin abokan ciniki waɗanda ba su da fayil mai dacewa. Kunna wannan a cikin turawa mai aiki yana cire duk wanda sunansa ba shi da fayil, don haka ƙidaya fayilolin kafin ka juya wani abu.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Ƙidayar ita ce duba: kwatanta jerin jagorar da ainihin da kuke tsammanin za su haɗa.

Sannan tabbatar kowane sunan fayil ya yi daidai da ainihin da ake amfani da shi, har da manyan ƙananan haruffa da sarari. Fayil don office-laptop ba ya yin komai ga takardar shaida wadda batunta ya ce Office-Laptop. Sarari na ƙarshe ma suna ɓoyewa daga jerin na yau da kullum, kuma haka ne fayil ɗin da ya yi kama da yana nan ya kasance ba a karanta shi ba.

Duba CRL da ƙofar ke lodawa

CRL tana ambaton takardun shaida da aka soke ta mai bayarwa da lambar serial, wanda shi ne zurfin da duba suna ba shi da shi. Takardun shaida biyu na iya raba suna ɗaya na gama-gari kuma su bambanta a lambar serial, kuma jerin da ke matakin lambar serial ne kawai ke raba su.

Tabbatar da hanyar da aka saita, ranar fitarwa da filin sabuntawa na gaba kafin ka amince da fayil ɗin kwata-kwata.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Kwatanta lambar serial a cikin CRL da lambar serial a takardar shaidar da kake niyyar ajiyewa. Wannan kwatancen shi ne dukan gwajin, kuma yin shi sau ɗaya da ido ya fi amincewa da rubutun da babu wanda ya karanta. Raba CRL ɗin da aka sabunta ta hanyar da ƙofar ke karantawa tuni. CRL da ke cikin jagorar da ba daidai ba ba ta tilasta komai, kuma babu wani log ɗin abokin ciniki da zai ambace ta.

Maye gurbi, sannan tabbatar da sakamakon biyu

Fitar da maye gurbin a ƙarƙashin wannan sunan gama-gari, rubuta lambobin serial biyu, sannan kawai soke tsohuwar. Wannan tsari yana kiyaye ainihin da ke aiki a samuwa yayin da kake shirya canjin.

Gwada maye gurbin da farko: ya kamata ya tabbatar da kansa kuma ya isa duk abin da sunansa ya cancanci. Sannan gwada tsohuwar takardar shaida kuma tabbatar an ƙi ta, domin maye gurbi mai nasara ba ya faɗin komai game da sokewa. Idan duka biyu har yanzu suna haɗawa, ba a karanta shigarwar sokewa ba ko kuma ba a taɓa jera tsohuwar lambar serial ba. Idan babu wanda ya haɗa, ka karya ka'idar karɓa ne ba takardar shaida ba.

Zaman da aka riga aka kafa abu ne na daban, domin sokewa yana shafi sabbin tabbatarwa sai dai idan an saita ƙofar kuma don sauke haɗin kai kai tsaye. Yanke shawara ko cirewa nan take ake buƙata kafin ka yi wa wani alkawari.

Abin da duba suna ba zai taɓa iyawa ba

Jerin izini yana amsa ko wannan ainihin na iya haɗawa. Ba zai iya faɗin wace takardar shaida wannan ainihin ya yi amfani da ita ba, kuma zai karɓi tsohuwar takardar shaida muddin takardar shaida ta kasance da inganci kuma ba a soke ta ba. Wannan gibin yana bayyana a lokacin wani lamari, lokacin da aka fitar da maye gurbin watanni da suka wuce kuma magabacin yana aiki har yanzu.

Inda ake buƙatar iko a matakin takardar shaida, yi amfani da hanyar da ke ambaton takardar shaida: shigarwar CRL, ko ƙugiya ta tabbatarwa da ke duba sawun yatsa da mai aiki ke kiyayewa. Dukansu suna buƙatar kulawa, kuma dukansu suna da gaskiya game da abin da suke bincikawa. Littafin jagora na OpenVPN 2.6 yana rubuta crl-verify da karɓar na musamman ga abokin ciniki a matsayin zaɓuɓɓuka daban saboda wannan dalili.

Rubuta wane iko ke yin wane aiki, sannan gwada yanayin mara kyau. Sokewar da ba ka taɓa ganin ta ƙi haɗi ba tsari ne da kake fatan zai yi aiki.