CA ಮರುನಿರ್ಮಿಸದೆ VPN ಕ್ಲೈಂಟ್ ಸೇರಿಸುವುದು

ಇನ್ನೊಂದು ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗೆ ಇನ್ನೊಂದು ಪ್ರಮಾಣಪತ್ರ ಬೇಕು, ಆದರೆ ಹುಡುಕಾಟ ಫಲಿತಾಂಶಗಳ ಮೊದಲ ಪಾಠ PKI ಕಡತಕೋಶವನ್ನು ಅಳಿಸುವ ಆಜ್ಞೆಯಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ. ಆ ಆಜ್ಞೆ ಮೊದಲ ಸಂರಚನೆಗೆ ಸೇರಿದ್ದು, ನೋಂದಣಿಗೆ ಅಲ್ಲ, ಮತ್ತು ಅದನ್ನು ಚಲಾಯಿಸಿದರೆ CA, ನೀಡಿಕೆ ಇತಿಹಾಸ ಮತ್ತು ಹಳೆಯ ನೀಡುಗರನ್ನು ನಂಬಿದ ಎಲ್ಲಾ ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್‌ಗಳು ಹೋಗುತ್ತವೆ. ನಿರ್ಧಾರ ಸಣ್ಣದು: ನೀಡುಗರ ಬಳಿ ಇನ್ನೂ ಬಳಸಬಹುದಾದ ಸ್ಥಿತಿ ಇದೆಯೇ, ಮತ್ತು ಹೊಸ ಸಾಧನ ನಿಮ್ಮ ನೋಂದಣಿ ನೀತಿಗೆ ಹೊಂದುತ್ತದೆಯೇ? ಮೂರು ಷರತ್ತುಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ, ಒಂದೇ ಮರುನಿರ್ಮಾಣವನ್ನು ಸಮರ್ಥಿಸುತ್ತದೆ.

ಮರುನಿರ್ಮಾಣ ನಿಜವಾಗಿ ಏನನ್ನು ನಾಶಪಡಿಸುತ್ತದೆ

PKI ಮರುಪ್ರಾರಂಭಿಸಿದರೆ ಕಡತಕೋಶವು ಖಾಲಿ ರಚನೆಯಿಂದ ಬದಲಾಗುತ್ತದೆ: ಹೊಸ CA ಕೀ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ, ಖಾಲಿ ನೀಡಿಕೆ ಡೇಟಾಬೇಸ್, ಹೊಸ ಕ್ರಮ ಸಂಖ್ಯೆ ಎಣಿಕೆ. ಕ್ಲೈಂಟ್‌ಗಳು ತಾವಾಗಿಯೇ ಹಿಂಬಾಲಿಸುವುದಿಲ್ಲ; ಅವುಗಳ ಪ್ರೊಫೈಲ್‌ಗಳು ಹಳೆಯ CA ಅನ್ನು ಪಿನ್ ಮಾಡುತ್ತವೆ, ಆದ್ದರಿಂದ ಪ್ರತಿ ಸಾಧನವೂ ಮತ್ತೆ ನೋಂದಣಿ ಮಾಡಬೇಕು, ತಲುಪಲಾಗದವುಗಳು ಕೈಯಿಂದ.

ಹೆಚ್ಚು ನಿಶ್ಶಬ್ದ ನಷ್ಟವೆಂದರೆ ಲೆಕ್ಕಪತ್ರ. ರದ್ದತಿ ಯಾವ ಕ್ರಮ ಸಂಖ್ಯೆಗಳನ್ನು ಯಾರಿಗೆ ನೀಡಿದಿರಿ ಎಂಬುದನ್ನು ತಿಳಿದಿರುವುದನ್ನು ಅವಲಂಬಿಸಿದೆ. ಸೂಚಿಯನ್ನು ಅಳಿಸಿದರೂ ಸಹಿ ಮಾಡಬಹುದು, ಆದರೆ ಉಳಿದ ಪ್ರಮಾಣಪತ್ರಗಳಲ್ಲಿ ಯಾವುದನ್ನು ರದ್ದು ಮಾಡಬೇಕೆಂದು ಖಚಿತವಾಗಿ ಹೇಳಲಾಗದು. ನೀಡುಗರ ಸ್ಥಿತಿ ಇಲ್ಲದ ಪ್ರಮಾಣಪತ್ರಗಳಿರುವ CA ಕಡತಕೋಶವು ವ್ಯವಸ್ಥೆಯ ತಪ್ಪು ಅರ್ಧವನ್ನು ಮರುಸ್ಥಾಪಿಸುವ ಬ್ಯಾಕಪ್.

CA ಖಾಸಗಿ ಕೀಯನ್ನು ಚಾಲನೆಯಲ್ಲಿರುವ ಸರ್ವರ್ ಪಕ್ಕಕ್ಕೆ ನಕಲಿಸುವುದು ನಿರಾಕರಿಸಬೇಕಾದ ಇನ್ನೊಂದು ಕಿರುಮಾರ್ಗ: ಆಫ್‌ಲೈನ್‌ನಲ್ಲಿ ಇರಬೇಕಾದ ಸಹಿ ಪ್ರಾಧಿಕಾರವನ್ನು ಅವಿಶ್ವಾಸನೀಯ ಸಂಚಾರವಿರುವ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಇನ್ನೊಂದು ಕಡತವಾಗಿಸುತ್ತದೆ.

ಮೊದಲ ಷರತ್ತು: ನೀಡುಗರ ಸ್ಥಿತಿ ಇನ್ನೂ ತಲುಪಬಹುದೇ

ನಿರ್ಧಾರಕ್ಕೂ ಮೊದಲು ಸರ್ವರ್ ನಿಜವಾಗಿ ನಂಬುವ ಕಡತಕೋಶವನ್ನು ಕಂಡುಹಿಡಿಯಿರಿ. ಸರ್ವರ್ CA ಎಂದು ತೋರಿಸುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು PKI ಕಡತಕೋಶದಲ್ಲಿನದರೊಂದಿಗೆ ಬೆರಳಚ್ಚಿನಿಂದ ಹೋಲಿಸಿ, ಕಡತದ ಹೆಸರಿನಿಂದ ಅಲ್ಲ:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

ಬೆರಳಚ್ಚುಗಳು ಹೊಂದಿದರೆ ನೋಂದಣಿ ಹೆಚ್ಚುವರಿ ಮತ್ತು ಏನನ್ನೂ ಮರುನಿರ್ಮಿಸಬೇಡಿ. ಭಿನ್ನವಾದರೆ ಸರ್ವರ್ ನಂಬದ CA ಯಿಂದ ಸಹಿ ಮಾಡುತ್ತೀರಿ: ಪ್ರಮಾಣಪತ್ರ ಸ್ವಚ್ಛವಾಗಿ ಸ್ಥಾಪನೆಯಾಗಿ ಕೈಹಿಡಿತದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ, ಮತ್ತು ಆ ದೋಷವನ್ನು ಗಂಟೆಗಟ್ಟಲೆ ಕ್ಲೈಂಟ್ ದೋಷ ಎಂದು ತಪ್ಪಾಗಿ ನಿರ್ಣಯಿಸಲಾಗುತ್ತದೆ.

ನಂತರ ನೀಡಿಕೆ ಸ್ಥಿತಿಯನ್ನು ಹುಡುಕಿ: ಸೂಚಿ ಕಡತ, ಕ್ರಮ ಎಣಿಕೆ ಮತ್ತು CRL ಸಂಖ್ಯೆ ಕಡತ. ಸೂಚಿ ಇಲ್ಲದಿದ್ದರೂ ಕೀ ಇದ್ದರೆ ನೀಡಬಹುದು, ಆದರೆ ರದ್ದತಿ ದಾಖಲಿಸುವ ಸಮಸ್ಯೆಯನ್ನು ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುತ್ತೀರಿ. ಅದನ್ನು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ಮುಂದಿನ ರದ್ದತಿ ವಿನಂತಿ ಅದನ್ನು ಬಯಲು ಮಾಡುತ್ತದೆ.

ಎರಡನೇ ಷರತ್ತು: ಹೊಸ ಖಾಸಗಿ ಕೀ ಯಾರ ಬಳಿ

ಇದು ಬಳಕೆದಾರರು ಅನುಭವಿಸುವ ನಿರ್ಧಾರ, ಆದ್ದರಿಂದ ಸ್ಪಷ್ಟವಾಗಿ ತೆಗೆದುಕೊಳ್ಳಿ. ಕ್ಲೈಂಟ್ ರಚಿಸಿ ವಿನಂತಿಯಾಗಿ ಕಳುಹಿಸಿದ ಕೀ ಖಾಸಗಿ ಭಾಗವನ್ನು ಮೊದಲ ಆಜ್ಞೆಯಿಂದ ಸಾಧನದಲ್ಲೇ ಇಡುತ್ತದೆ ಮತ್ತು ನಿರ್ವಾಹಕ ಅದನ್ನು ಎಂದಿಗೂ ಮುಟ್ಟುವುದಿಲ್ಲ. ಸರ್ವರ್ ರಚಿಸಿದ ಕೀ ಸಾಧನಗಳಿಲ್ಲದ ಸಾಧನಗಳಿಗೆ ಸುಲಭ, ಆದರೆ ನಿರ್ವಾಹಕನನ್ನು ಪ್ರತಿ ಕೀಯ ರಕ್ಷಕನಾಗಿಸಿ ಸರ್ವರ್ ಭೇದದ ಪರಿಣಾಮವನ್ನು ವಿಸ್ತರಿಸುತ್ತದೆ.

ಇರುವ CA ವಿರುದ್ಧ Easy-RSA 3 ಜೊತೆಗೆ ವಿನಂತಿ ಆಮದು ಮತ್ತು ಸಹಿ ಎರಡು ಆಜ್ಞೆಗಳು:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

ಪ್ರಮಾಣಪತ್ರದ ಪ್ರಕಾರವನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಆರಿಸಿ. ಕ್ಲೈಂಟ್ ಬದಲು ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವಾಗಿ ಸಹಿ ಮಾಡಿದ ವಿನಂತಿ ಚೆನ್ನಾಗಿ ಕಾಣುವ ಆದರೆ ಪಾಲುದಾರ ತಿರಸ್ಕರಿಸುವ ಕಡತವನ್ನು ನೀಡುತ್ತದೆ, ಮತ್ತು ದೋಷ ಸಂದೇಶವು ಕಾರಣವನ್ನು ಅಪರೂಪವಾಗಿ ಹೇಳುತ್ತದೆ. openssl ca ಯಿಂದ ಸಹಿ ಮಾಡಿದರೆ ಅದೇ ಆಯ್ಕೆ ನೀವು ನೀಡುವ ವಿಸ್ತರಣೆಗಳಲ್ಲಿ ಇರುತ್ತದೆ, ಡೀಫಾಲ್ಟ್ ವಿಭಾಗದಲ್ಲಿ ಅಲ್ಲ.

ಮೂರನೇ ಷರತ್ತು: ಸರ್ವರ್‌ಗೆ ಪ್ರಮಾಣಪತ್ರಕ್ಕಿಂತ ಹೆಚ್ಚು ಬೇಕೇ

ಪ್ರಮಾಣಪತ್ರ ದೃಢೀಕರಣವಿರುವ ಸಾಮಾನ್ಯ OpenVPN ಸರ್ವರ್‌ಗೆ ಪ್ರಮಾಣಪತ್ರವೇ ನೋಂದಣಿ: ಸಾಮಾನ್ಯ ಹೆಸರು ಕ್ಲೈಂಟ್ ಗುರುತಾಗುತ್ತದೆ, ಮತ್ತು ಯಾವುದೇ ಕಡತಕೋಶ, ತಳ್ಳಿದ ಮಾರ್ಗ ಅಥವಾ ಸ್ಥಿರ ವಿಳಾಸ ಆ ಹೆಸರನ್ನು ಅವಲಂಬಿಸಿದೆ. ಪ್ರಮಾಣಪತ್ರ ಸೇರಿಸಿ ಸಂರಚನೆ ಮರೆತರೆ ಸುರಂಗ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ ಆದರೆ ಅಗತ್ಯ ಮಾರ್ಗಗಳು ಕಾಣಿಸುವುದಿಲ್ಲ.

ವೇದಿಕೆಗಳು ಇದನ್ನು ಬದಲಿಸುತ್ತವೆ. OpenVPN Access Server ತನ್ನದೇ ಬಳಕೆದಾರ ಡೇಟಾಬೇಸ್ ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಹಿ ಮಾಡಿದ ಪ್ರಮಾಣಪತ್ರ ಖಾತೆ ಅಲ್ಲ; ಖಾತೆ ಇರಬೇಕು ಮತ್ತು ಅನುಮತಿ ಇರಬೇಕು. ಇತರ ಗೇಟ್‌ವೇಗಳು ಗುರುತಿನ ಸರಣಿಯನ್ನು ಗುಂಪಿಗೆ ಜೋಡಿಸುತ್ತವೆ. ಒಂದು ಸಾಧನದ ನೋಂದಣಿ ಸಾಮಾನ್ಯವಾಗಿ ಎರಡು ವ್ಯವಸ್ಥೆಗಳನ್ನು ಮುಟ್ಟುತ್ತದೆ, ಪ್ರಮಾಣಪತ್ರ ಮೊದಲನೆಯದು ಮಾತ್ರ.

ಹೆಚ್ಚುವರಿ ಕಾರ್ಯವಿಧಾನ ಮತ್ತು ಯಾವಾಗ ಮರುನಿರ್ಮಾಣ ಸರಿ

ಹಾನಿಯಿಲ್ಲದೆ ಒಂದು ಸಾಧನ ಸೇರಿಸುವ ಕ್ರಮ: ಬೆರಳಚ್ಚಿನಿಂದ ನೀಡುಗರನ್ನು ಖಚಿತಪಡಿಸಿ, PKI ಕಡತಕೋಶದ ತಾಜಾ ಬ್ಯಾಕಪ್ ತೆಗೆದುಕೊಳ್ಳಿ, ಕ್ಲೈಂಟ್ ಪಾತ್ರಕ್ಕೆ ವಿನಂತಿಯನ್ನು ಆಮದು ಮಾಡಿ ಸಹಿ ಮಾಡಿ, ಅನುಮೋದಿತ ಮಾರ್ಗದಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸರಪಳಿಯೊಂದಿಗೆ ಒಪ್ಪಿಸಿ, ನಂತರ ಬಳಕೆದಾರ ಸಂಪರ್ಕಿಸುವ ಮೊದಲು ಪರಿಶೀಲಿಸಿ:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

ಉದ್ದೇಶ ಸಾಲಿನಲ್ಲಿ SSL client ಕಾಣಬೇಕು. ನೀಡಿಕೆಯ ನಂತರ CA ಬ್ಯಾಕಪ್ ನವೀಕರಿಸಿ ಮುಗಿಸಿ, ಏಕೆಂದರೆ ಹೊಸ ಕ್ರಮ ಸಂಖ್ಯೆ ದಾಖಲಾಗುವ ಮೊದಲು ತೆಗೆದ ಬ್ಯಾಕಪ್ ನೀವು ಈಗ ಸೇರಿಸಿದ ಸಾಧನವಿಲ್ಲದ ಸ್ಥಿತಿಯನ್ನು ಮರಳಿಸುತ್ತದೆ.

ಮರುನಿರ್ಮಾಣ ಮೂರು ಸಂದರ್ಭಗಳಲ್ಲಿ ಸರಿ: CA ಕೀ ಭೇದಿಸಲ್ಪಟ್ಟಿದೆ, ನೀಡಿಕೆ ಸ್ಥಿತಿ ಮರುಪಡೆಯಲಾಗದಂತೆ ಕಳೆದುಹೋಗಿದೆ, ಅಥವಾ ನೀವು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಕೀ ಅಲ್ಗಾರಿದಮ್ ಅಥವಾ ಪ್ರಮಾಣಪತ್ರ ನೀತಿ ಬದಲಿಸುತ್ತಿದ್ದೀರಿ. ಮೂರೂ ಪ್ರತಿ ಕ್ಲೈಂಟ್‌ಗೆ ಮರುನೋಂದಣಿ ಯೋಜನೆ ಬೇಕಾದ ಯೋಜನೆಗಳು, ಒಂದು ಸಾಧನದ ವಿನಂತಿಯ ಹಂತಗಳಲ್ಲ. ಯಾವುದೂ ಅನ್ವಯಿಸದಿದ್ದರೆ ಹೆಚ್ಚುವರಿಯಾಗಿ ನೋಂದಣಿ ಮಾಡಿ.