Тапсырыс VPN сертификаты қосымша шифрлау қабаты емес
Сертификат шифрлау қабаттарының санын емес, сәйкестік пен сенімді өзгертеді. Не және қайда аяқталатынын сұрап шешіңіз.
VPN соңғы нүктесіне тапсырыс сертификатын орнату қорғаныс қосқандай көрінеді, өйткені сертификаттар мен шифрлау барлық жерде бірге кездеседі. Іс жүзінде ол екі нәрсені өзгертеді: соңғы нүкте қандай сәйкестікті ұсынады және оның серіктесі қандай шығарушыға сенуге дайын. Олардың ешқайсысы деректеріңізді екінші рет орамайды. Егер нақты қажеттілік екінші қорғалған арна болса, сізге өз соңғы нүктелері бар екінші арна керек, тағы бір сертификат емес.
TLS 1.3 қол алысуындағы үш бөлек жұмыс
RFC 8446 бұларды бөліп ұстайды және дәл сол бөлу — толық жауап. Certificate хабарламасы соңғы нүктенің сертификаттар тізбегін тасымалдайды. CertificateVerify сәйкес жеке кілтке иелікті дәлелдейді және қол алысу жазбасын байланыстырады. Жазба қабаты трафикті келісілген трафик кілттерімен қорғайды.
Сертификатты ауыстырыңыз — алғашқы екі тармақ өзгереді. Жазба қорғанысы екі рет іске қосылмайды және шығарушы енді жеке болғандықтан күшеймейді.
Жеке CA шын мәнінде не береді
Ол бақыланатын сәйкестік жүйесін береді: кімге шығарылатынын сіз шешесіз, серіктестер қандай шығарушыларды қабылдайтынын сіз шешесіз және өз кестеңізбен қайтарып ала аласыз. Екі шетін өзіңіз басқарсаңыз, бұл шынымен пайдалы.
Ол міндеттемелерді де әкеледі. Сенім әдейі таратылуы керек, серіктесті тексеру қосулы қалуы керек және куәліктердің өмірлік циклінің иесі біреу болуы керек. Жеке CA осы үшеудің ешқайсысын айналып өтетін қысқа жол емес.
Екінші арна қашан дұрыс жауап
Қолданба өз қызметіне тексерілген HTTPS ашады, ал оның пакеттері VPN арқылы да жүреді делік. Мұндай дизайнның соңғы нүктелері әртүрлі болуы мүмкін екі шекарасы бар және екінші қорғалған арна дәл солай көрінеді.
Айырмашылық шлюзде маңызды. Егер қолданбаның TLS сессиясы қолданбада емес, VPN шлюзінде аяқталса, туннельден әріде бар деп ойлаған қорғанысыңыз онда жоқ. Бұл қасиетті мәлімдеуден бұрын әр арнаны кім аяқтайтынын жазып қойыңыз.
Орнату нені өзгертетінін сұраңыз
Сертификат орнату өтініші үш түрлі нәрсені білдіруі мүмкін. Ол клиенттің өз сәйкестігін, қолданбаға тән сенім тірегін немесе құрылғыдағы барлық нәрсеге платформалық деңгейдегі сенімді өзгертуі мүмкін. Бұлар тең емес және тек соңғысы байланысы жоқ бағдарламалық жасақтамаға әсер етеді.
Үшеуінің қайсысы көзделгенін, содан кейін ол неге қол жеткізуі керектігін сұраңыз. Жауап көбірек шифрлау болса, ұсыныс қате механизмге бағытталған.
Шекараларды жазыңыз
Әр арна үшін соңғы нүктелерді, әр тарап тексеретін сәйкестікті және ортадағы оператордың нені көре алатынын жазып алыңыз. Содан кейін сәтсіздік тәртібін жазыңыз: тексеру сәтсіз болғанда не болады және арнадан бас тартылғанда не болады.
Бір беттегі екі жол сертификат айналдыру шеше алмайтын дауды әдетте шешеді.
Үш сұрақпен шешіңіз
Мәселе соңғы нүктенің өзін кім деп таныстыратынында ма, әлде деректерге не болатынында ма? Қорғаныс VPN шлюзінен әрі нақты қолданбаға дейін жалғасуы керек пе? Және екінші арнаны аяқтайтын екі соңғы нүктені атай аласыз ба?
Егер бірінші сұрақ шынайы болса, сәйкестік пен сенімді түзетіңіз. Екінші немесе үшінші болса, екінші арнаны жобалаңыз да, сертификатты өз орнында қалдырыңыз.