Sabunta takardar shaidar VPN ba tare da canza ainihi ba

Sabunta takardar shaidar da ke canza ainihi ba sabuntawa ba ce, ƙaura ce sanye da tikitin kulawa. Abokin ciniki yana tabbatar da suna, sarka kuma wani lokacin takamaiman maɓalli, kuma duka ukun na iya canzawa ba tare da ranar ƙarewa ta canza ba. Kafin neman maye gurbi, rubuta abin da abokin ciniki yake bincika da gaske: sunan mai masauki ko ainihin takwaransa, manufar takardar shaidar, manufar maɓalli da sarkar mai bayarwa. Sabuntawar ta zama ta yau da kullum ko kuma an tsara ta dangane da wanne daga waɗannan maye gurbin ya canza.

Sharuɗɗa uku ne ke ƙayyade siffar sabuntawa

Sharuɗɗan ukun su ne ko wani abu yana ɗaure ganyen, ko sarkar tana canzawa, da wanda kuma ke tabbatar da sunan. Amsa su daga ɓangaren abokin ciniki maimakon daga jin daɗin CA, domin abokin ciniki ne ke kasawa da ƙarfe uku na safe.

Fara da duba takardar shaidar da kake da ita. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName yana buga batun, mai bayarwa, taga inganci da sunayen da takardar shaidar ta inganta a zahiri. Wannan filin na ƙarshe shi ne mafi muhimmanci kuma ana ɗaukarsa a yawancin lokuta: buƙatar sabuntawa da ta tsallake SAN da abokin ciniki ya dogara da shi tana samar da takardar shaidar da ta inganta a fasaha amma ba daidai ba a aiki. Kwafi jerin SAN daga tsohuwar takardar shaidar cikin buƙatar maimakon sake buga shi daga ƙwaƙwalwa.

Sharaɗi na ɗaya: shin wani abu yana ɗaure ganyen

Idan abokan ciniki sun amince da CA da ake kula da ita kuma suna tabbatar da sunan, sabunta ganye da sabon maɓalli ba ta ganuwa gare su. Idan wani abokin ciniki ya ɗaure takardar shaidar ganye, hoton yatsansa ko maɓallinsa na jama'a, maye gurbin canji ne da aka tsara tare da tsattsauran sauyi, domin tsohon pin ba zai iya tabbatar da sabuwar takardar shaidar ba.

Gano wane yanayi kake ciki kafin ka yi odar wani abu. Pin da babu wanda ya rubuta shi har yanzu pin ne idan ya karye.

Sharaɗi na biyu: kwatanta pins da sarkar

Hoton yatsa yana sa pin ɗin a iya dubawa: openssl x509 -noout -fingerprint -sha256 -in server.crt akan tsohuwar da sabuwar takardar shaidar, da openssl x509 -noout -pubkey don kwatanta maɓallan jama'a. Idan tsarin abokin ciniki, bayanin martaba na wayar hannu ko ma'ajiyar amana ta na'ura ya ƙunshi ɗaya daga cikin ƙimar biyun, kana da pin. Bayanan martaba na VPN na wayar hannu wuri ne na ɓoyewa da aka saba, domin ana rarraba bayanin sau ɗaya kuma ba a sake duba shi ba.

Idan maye gurbin ya fito daga tsaka-tsaki ɗaya kuma abokin ciniki yana da wannan tsaka-tsakin ko zai iya samun sa, babu abin da ke canzawa a ɓangaren amana. Sabon tsaka-tsaki, mai bayarwa daban ko sarka da aka kawo cikin tsari mara kyau duk suna mai da sabuntawa zuwa canjin amana, kuma gazawar tana kama da wanda ba a sani ba maimakon takardar shaidar da ta ƙare.

Duba sarkar da uwar garken yake aikawa da gaske tare da openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, kuma tabbatar da ita a gida tare da openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Yin hakan kafin canjin yana ba ka tushen kwatance don kwatanta bayan haka.

Sharaɗi na uku: wanda kuma ke tabbatar da sunan

Mai tattara VPN, mai daidaita nauyi, binciken sa ido, haɗin RADIUS ko SAML da bayanin martaba na wayar hannu kowanne na iya riƙe kwafin nasa na sunan da ake tsammani ko ankaɗin amana. Sabuntawa ita ce lokacin da waɗannan kwafin suka bambanta, domin takardar shaidar tana canzawa kuma kwafin ba sa canzawa.

Lissafa kowane mai amfani kafin canjin kuma yanke shawara, ga kowanne, ko yana buƙatar sabuntawa. Wanda ka manta shi ne zai kira ka.

Akwai kuma tarkon lokaci. Duba farkon inganci da kuma ƙarewa, domin takardar shaidar da aka shirya don kunnawa daga baya ana ƙin ta idan an shigar da ita da wuri, kuma kuskuren yana kama da matsalar agogo maimakon matsalar shiri. openssl x509 -noout -dates akan sabon fayil kafin ka tura shi dubawa ne na daƙiƙa biyu. Ka kiyaye hanyar dawo da tallafi da tsarin da aka sani mai kyau, domin sabuntawar da ta yi kuskure tana iya juyawa ta hanyar mayar da takardar shaidar da maɓallin da suka gabata.

Tura, tabbatar da sabon tabbaci, sannan ka yi ritaya

Tunnel da aka kafa yana nuna tabbacin da ya faru lokacin da aka gina shi, don haka yana iya kama da lafiya yayin da kowace sabuwar haɗi ke kasawa. Gwada da sabon tabbaci ta amfani da ainihin sunan sabis ɗin da abokan ciniki ke amfani da shi.

Kammala duba matakin aikace-aikacen da mai amfani ya damu da shi, kuma tabbatar da isar da sarkar daga ra'ayin abokin ciniki maimakon daga na uwar garken. Kada ka hana binciken suna ko takardar shaidar don kiyaye sauyin a hankali; hakan yana mai da matsalar jituwa ta ɗan lokaci zuwa ta dindindin.

Ka yi ritayar kayan da suka tsufa bayan an tabbatar da turawa, kuma ka ɗauki maɓallin da aka lalata a matsayin wani lamari daban gabaɗaya: sabuntawa ita kaɗai ba ta soke komai, don haka ainihin da abin ya shafa yana buƙatar tsarin sokewar turawa da kula da zaman turawar. RFC 5280 yana bayyana ƙa'idodin takardar shaidar da tabbatar da hanya a ƙasan duk wannan. Ka raba sabuntawar ganye ta yau da kullum daga maye gurbin CA, don kada a nemi abokan ciniki su amince da sabon mai bayarwa ba tare da dalili ba.