ನಿಮ್ಮ VPN ರೂಟ್ CA ಅನ್ನು ಆಫ್ಲೈನ್ನಲ್ಲಿ ಇರಿಸಿ ಮತ್ತು ಹಾಗಿದ್ದರೂ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡಿ

ನಿಮ್ಮ VPN ರಾತ್ರಿ 3 ಗಂಟೆಗೆ ಸಂಪರ್ಕಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ, ಅದೇ ಸಮಯದಲ್ಲಿ ಅದರ ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ಸಹಿ ಹಾಕುವ ಯಂತ್ರ ಡ್ರಾಯರ್ನಲ್ಲಿ ಆಫ್ ಆಗಿ ಇರುತ್ತದೆ. ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸುವ ಕ್ಲೈಂಟ್ ಎಂದಿಗೂ ನಿಮ್ಮ CA ಅನ್ನು ಸಂಪರ್ಕಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಯಾವುದೇ ಸಂಪರ್ಕಕ್ಕೆ CA ತಲುಪಬಲ್ಲದಾಗಿರಬೇಕಿಲ್ಲ. ಯೋಜನೆ ಬೇಕಾಗುವ ಭಾಗವೆಂದರೆ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀಡಬೇಕಾದ, ನವೀಕರಿಸಬೇಕಾದ ಅಥವಾ ರದ್ದುಗೊಳಿಸಬೇಕಾದ ದಿನ ರೂಟ್ ಕೀ ಬೀಗದಲ್ಲಿಯೇ ಉಳಿಯುವಾಗ.

ಸಂಪರ್ಕವು ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ

OpenVPN ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕಿಸಿದಾಗ, ಅದು ಸರ್ವರ್ನ ಲೀಫ್ ಪ್ರಮಾಣಪತ್ರದಿಂದ ತಾನು ಈಗಾಗಲೇ ನಂಬುವ CA ಪ್ರಮಾಣಪತ್ರದವರೆಗೆ ಸಹಿ ಸರಪಣಿಯನ್ನು ಸಾಗುತ್ತದೆ, ಮಾನ್ಯತೆಯ ಅವಧಿಯನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ ಮತ್ತು ಪ್ರೊಫೈಲ್ ಹೇಳಿದರೆ ರದ್ದತಿ ಪಟ್ಟಿಯನ್ನು ನೋಡುತ್ತದೆ. ಅದು ಎಂದಿಗೂ ನಿಮ್ಮ ರೂಟ್ CA ಅನ್ನು ಹುಡುಕುವುದಿಲ್ಲ. ಸರ್ವರ್ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ಪ್ರತಿಬಿಂಬ ಕೆಲಸವನ್ನು ಮಾಡುತ್ತದೆ. ಸಂಪರ್ಕದ ಸಮಯದಲ್ಲಿ ಲೀಫ್, ಮಧ್ಯಂತರ ಮತ್ತು ಹಿಂದೆ ವಿತರಿಸಿದ ನಂಬಿಕೆ ಬಂಡಲ್ ಮಾತ್ರ ಇರುತ್ತವೆ.

ವಾಸ್ತವವಾಗಿ ವಿಫಲವಾಗುವುದು ಮೂರರಲ್ಲಿ ಒಂದು: ನೀಡುವ ಸಮಯದಲ್ಲಿ ಸಹಿ ಕೀ ಲಭ್ಯವಿಲ್ಲ, ರದ್ದತಿ ಪಟ್ಟಿ ಹಳೆಯದಾಗಿದೆ, ಅಥವಾ ಕ್ಲೈಂಟ್ನ ನಂಬಿಕೆ ಬಂಡಲ್ ಸರ್ವರ್ ಪ್ರಸ್ತುತಪಡಿಸುವ ಸರಪಣಿಗಿಂತ ಹಳೆಯದು. ಮೊದಲನೆಯದು ಪ್ರಕ್ರಿಯೆಯ ಸಮಸ್ಯೆ; ಉಳಿದೆರಡು ವಿತರಣೆಯ ಸಮಸ್ಯೆಗಳು. ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ರೂಟ್ ಕೀ ಆನ್ಲೈನ್ನಲ್ಲಿರಬೇಕೆಂದು ಒತ್ತಾಯಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಟನಲ್ ದೃಢೀಕರಣಕ್ಕೆ ಖಾಸಗಿ ಪ್ರಮಾಣಪತ್ರ ಬೇಕೆಂದು ಒತ್ತಾಯಿಸುವ ನಿರ್ವಹಿತ VPN ಸೇವೆ ಸಹಿ ಅಧಿಕಾರವನ್ನು ಪೂರೈಕೆದಾರರಿಗೆ ಸ್ಥಳಾಂತರಿಸುತ್ತದೆ ಮಾತ್ರ. Azure ಪಾಯಿಂಟ್-ಟು-ಸೈಟ್ ವಿರುದ್ಧವಾಗಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ: ನೀವು ರೂಟ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಅಪ್ಲೋಡ್ ಮಾಡುತ್ತೀರಿ ಮತ್ತು ಅದರ ಅಡಿಯಲ್ಲಿ ಸಹಿ ಮಾಡಿದ ಪ್ರಮಾಣಪತ್ರಗಳು ವಿಶ್ವಾಸಾರ್ಹವೆಂದು ಪರಿಗಣಿಸಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಾರು ಸಹಿ ಹಾಕುತ್ತಾರೆ, ಯಾರು ಪರಿಶೀಲಿಸುತ್ತಾರೆ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮೊದಲೇ ಹೇಗೆ ಹಿಂಪಡೆಯಲಾಗುತ್ತದೆ ಎಂದು ಕೇಳಿ.

ಎಂದಿಗೂ ವಿಳಾಸ ಪಡೆಯದ ಹೋಸ್ಟ್ನಲ್ಲಿ ರೂಟ್ ಅನ್ನು ನಿರ್ಮಿಸಿ

ಆಫ್ಲೈನ್ ರೂಟ್ ಅನ್ನು ಅಪರೂಪವಾಗಿ ಬಳಸಲಾಗುತ್ತದೆ: ಮಧ್ಯಂತರ CA ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಸಹಿ ಹಾಕಲು ಮತ್ತು ನಂತರ ಅದನ್ನು ನವೀಕರಿಸಲು ಅಥವಾ ರದ್ದುಗೊಳಿಸಲು. ಉಳಿದೆಲ್ಲವೂ ಒಂದು ಹಂತ ಕೆಳಗೆ ನಡೆಯುತ್ತದೆ. ರೂಟ್ ಕೆಲಸವನ್ನು ನೆಟ್ವರ್ಕ್ನಿಂದ ದೂರವಿಡಲಾದ ಯಂತ್ರದಲ್ಲಿ, ಸಾಧ್ಯವಾದರೆ ಜೀವಂತ ವ್ಯವಸ್ಥೆಯಿಂದ ಮಾಡಿ ಮತ್ತು ಕೋಣೆಯಲ್ಲಿ ಯಾರಿದ್ದರು ಎಂದು ದಾಖಲಿಸಿ. ಆದೇಶಗಳು OpenSSL 1.1.1 ಅಥವಾ ಹೊಸದನ್ನು ಊಹಿಸುತ್ತವೆ, ಏಕೆಂದರೆ -addext ಹಳೆಯ ಬಿಲ್ಡ್ಗಳಲ್ಲಿ ಇಲ್ಲ.

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out root.key
openssl req -x509 -new -key root.key -sha256 -days 7300 \
  -subj "/CN=Example VPN Root CA" -out root.crt \
  -addext "basicConstraints=critical,CA:TRUE" \
  -addext "keyUsage=critical,keyCertSign,cRLSign"

ಸಹಿ ಹೋಸ್ಟ್ನಲ್ಲಿ ಮಧ್ಯಂತರವನ್ನು ರಚಿಸಿ ಮತ್ತು ಅದರ ವಿನಂತಿಯನ್ನು ಮಾತ್ರ ಆಫ್ಲೈನ್ ಯಂತ್ರಕ್ಕೆ ಒಯ್ಯಿರಿ. ರೂಟ್ ಆ ವಿನಂತಿಗೆ ಶೂನ್ಯ ಮಾರ್ಗ ಉದ್ದದೊಂದಿಗೆ ಸಹಿ ಹಾಕುತ್ತದೆ, ಆದ್ದರಿಂದ ಮಧ್ಯಂತರ CA ತುದಿ ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ಸಹಿ ಹಾಕಬಹುದು ಆದರೆ ತನ್ನ ಅಡಿಯಲ್ಲಿ ಇನ್ನೊಂದು CA ರಚಿಸಲಾಗದು. ಆ ಒಂದು ವಿಸ್ತರಣೆ ರಾಜಿಗೊಳಗಾದ ಸಹಿ ಹೋಸ್ಟ್ ರೂಟ್ಗೆ ಸಮಾನವಾದ ಅಧಿಕಾರವನ್ನು ಸೃಷ್ಟಿಸುವುದನ್ನು ತಡೆಯುತ್ತದೆ. ಪ್ರತಿ ಕ್ಲೈಂಟ್ OpenVPN 2.4 ಅಥವಾ ಹೊಸದನ್ನು ಚಲಾಯಿಸಿದರೆ ಮಾತ್ರ ECDSA ಬಳಸಿ; ಇಲ್ಲದಿದ್ದರೆ RSA ಕೀಗಳನ್ನು ರಚಿಸಿ ಮತ್ತು ಹರಿವನ್ನು ಅದೇ ರೀತಿ ಇರಿಸಿ.

openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out intermediate.key
openssl req -new -key intermediate.key -subj "/CN=Example VPN Intermediate CA" -out intermediate.csr
openssl x509 -req -in intermediate.csr -CA root.crt -CAkey root.key \
  -CAcreateserial -days 3650 -sha256 -extfile intermediate.ext -out intermediate.crt

intermediate.ext ಒಳಗೊಂಡಿದೆ basicConstraints=critical,CA:TRUE,pathlen:0, keyUsage=critical,keyCertSign,cRLSign ಮತ್ತು authorityKeyIdentifier=keyid:always. ಸಹಿ ಹೋಸ್ಟ್ ಮತ್ತೆ ಸಂಪರ್ಕಗೊಳ್ಳುವ ಮೊದಲು ರೂಟ್ ಕೀಯನ್ನು ಅದರ ಕೀಲಿಕೈಗೆ ಹಿಂತಿರುಗಿಸಿ. ರೂಟ್ ಮಧ್ಯಂತರವನ್ನು ರದ್ದುಗೊಳಿಸಲು ಸಾಧ್ಯವಾಗಬೇಕಿದ್ದರೆ, openssl x509 -req ಬದಲು ರೂಟ್ ಮಟ್ಟದ index.txt ವಿರುದ್ಧ openssl ca -config root.cnf -extensions intermediate_ca ನಿಂದ ಸಹಿ ಹಾಕಿ, ಸರಣಿ ಸಂಖ್ಯೆ ದಾಖಲಾಗುವಂತೆ; ನಂತರ ಫಲಿತ ರೂಟ್ ಪಟ್ಟಿಯನ್ನು ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್ನ ಒಳಗೆ ಕಳುಹಿಸಿ, ಅಲ್ಲಿ ಫೈಲ್ ಆಧಾರಿತ crl-verify ಅದನ್ನು ಆರಂಭದಲ್ಲಿ ಓದುತ್ತದೆ. ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಎರಡೂ CA ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹೊಂದಿರುವ ಬಂಡಲ್ ಕಳುಹಿಸಿ; ಒಂಟಿ ಲೀಫ್ ರೂಟ್ ವಿರುದ್ಧ ಪರಿಶೀಲನೆಯಾಗುವುದಿಲ್ಲ.

ಮಧ್ಯಂತರದಿಂದ ಲೀಫ್ಗಳನ್ನು ನೀಡಿ, ಡೇಟಾಬೇಸ್ನೊಂದಿಗೆ

openssl x509 -req ನೊಂದಿಗೆ ಸಹಿ ಹಾಕುವುದು ರದ್ದುಗೊಳಿಸುವ ಅಗತ್ಯ ಬರುವವರೆಗೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಏಕೆಂದರೆ ಯಾವುದೂ ಸರಣಿ ಸಂಖ್ಯೆಯನ್ನು ದಾಖಲಿಸುವುದಿಲ್ಲ. ಮೊದಲ ಪ್ರಮಾಣಪತ್ರದಿಂದಲೇ openssl ca ಬಳಸಿ, ಸರಣಿ ಸಂಖ್ಯೆ, ಮುಕ್ತಾಯ ಮತ್ತು ರದ್ದತಿ ಸ್ಥಿತಿ ಒಂದೇ ಡೇಟಾಬೇಸ್ನಲ್ಲಿ ಇರುವಂತೆ. ಡೇಟಾಬೇಸ್ ಫೈಲ್ಗಳನ್ನು ಒಮ್ಮೆ ರಚಿಸಿ, ನಂತರ ಸಂರಚನೆಯನ್ನು ಅವುಗಳ ಕಡೆಗೆ ತೋರಿಸಿ:

mkdir -p /etc/vpn-ca/intermediate/newcerts
touch /etc/vpn-ca/intermediate/index.txt
echo 1000 > /etc/vpn-ca/intermediate/serial
echo 1000 > /etc/vpn-ca/intermediate/crlnumber

[ ca ]
default_ca = CA_default
[ CA_default ]
dir = /etc/vpn-ca/intermediate
database = $dir/index.txt
new_certs_dir = $dir/newcerts
serial = $dir/serial
crlnumber = $dir/crlnumber
certificate = $dir/intermediate.crt
private_key = $dir/intermediate.key
default_md = sha256
default_days = 365
default_crl_days = 30
unique_subject = no
policy = policy_any
[ policy_any ]
commonName = supplied
[ server_cert ]
basicConstraints = CA:FALSE
keyUsage = critical, digitalSignature
extendedKeyUsage = serverAuth
subjectAltName = @server_names
[ client_cert ]
basicConstraints = CA:FALSE
keyUsage = critical, digitalSignature
extendedKeyUsage = clientAuth
[ server_names ]
DNS.1 = vpn.example.com

ಕೀ ಬಳಕೆಯ ಸಾಲು ECDSA ಕೀಯನ್ನು ಊಹಿಸುತ್ತದೆ; RSA ಗಾಗಿ keyEncipherment ಸೇರಿಸಿ. ಪ್ರತಿ ಕ್ಲೈಂಟ್ಗೆ ಅದರದೇ ಸಾಮಾನ್ಯ ಹೆಸರು ನೀಡಿ, ಏಕೆಂದರೆ OpenVPN ಆ ಕ್ಷೇತ್ರದಿಂದ ಸಂಪರ್ಕವನ್ನು ಗುರುತಿಸುತ್ತದೆ, ಮತ್ತು CN=vpn-client ಹಂಚಿಕೊಳ್ಳುವ ಎರಡು ಲ್ಯಾಪ್ಟಾಪ್ಗಳನ್ನು ಲಾಗ್ಗಳಲ್ಲಿ, client-config-dir ನಿಯಮಗಳಲ್ಲಿ ಅಥವಾ ಯಾವುದೇ ಬಳಕೆದಾರ-ನಿರ್ದಿಷ್ಟ ಪುಶ್ನಲ್ಲಿ ಪ್ರತ್ಯೇಕಿಸಲಾಗದು, ಮತ್ತು ರದ್ದತಿ ನಿರ್ಧಾರವನ್ನು ಸಮರ್ಥನೀಯವಾಗಿಸುವ ಗುಣಲಕ್ಷಣವನ್ನು ನೀವು ಕಳೆದುಕೊಳ್ಳುತ್ತೀರಿ. ಲೀಫ್ ಅನ್ನು ಹೀಗೆ ನೀಡಿ ಮತ್ತು ಪರಿಶೀಲಿಸಿ:

openssl req -new -key alice.key -subj "/CN=alice-laptop" -out alice.csr
openssl ca -config intermediate.cnf -extensions client_cert -in alice.csr -out alice.crt -batch
openssl verify -CAfile ca-bundle.crt -untrusted intermediate.crt alice.crt

ಸಹಿ ಕೀಯನ್ನು VPN ಹೋಸ್ಟ್ಗೆ ನಕಲಿಸುವ ಬದಲು ನೀತಿ ಗಡಿಯ ಹಿಂದೆ ಇರಿಸಿ: ವಿನಂತಿಯನ್ನು ದೃಢೀಕರಿಸುವ, ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ಅನುಮತಿಸಿದ ಪಟ್ಟಿಯ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸುವ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮಾತ್ರ ಹಿಂತಿರುಗಿಸುವ ಸಣ್ಣ ಸೇವೆ. ಪ್ರತಿ ಸರಣಿ ಸಂಖ್ಯೆಯನ್ನು ದಾಖಲಿಸಿ; ಲಾಗ್ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಅದನ್ನು ಕೇಳಿದ ವ್ಯಕ್ತಿಯ ನಡುವಿನ ಏಕೈಕ ಕೊಂಡಿ.

ರೂಟ್ ಅನ್ನು ಎಬ್ಬಿಸದೆ ರದ್ದತಿಯನ್ನು ಪ್ರಕಟಿಸಿ

ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಮಧ್ಯಂತರ ರದ್ದುಗೊಳಿಸುತ್ತದೆ, ಎಂದಿಗೂ ರೂಟ್ ಅಲ್ಲ. ರೂಟ್ ಪಟ್ಟಿ ಮಧ್ಯಂತರವೊಂದು ಸುಟ್ಟಾಗ ಮಾತ್ರ ಮುಖ್ಯ. crl-verify ನೊಂದಿಗೆ ಸರ್ವರ್ ಅನ್ನು ಮಧ್ಯಂತರ ಪಟ್ಟಿಗೆ ತೋರಿಸಿ. ಫೈಲ್ ಆಧಾರಿತ CRL ಸೇವೆ ಆರಂಭದಲ್ಲಿ ಲೋಡ್ ಆಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತಿ ಮರುಸೃಷ್ಟಿಯ ನಂತರ ಮತ್ತೆ ಲೋಡ್ ಮಾಡಿ; ಡೈರೆಕ್ಟರಿ ರೂಪ ಸಂಪರ್ಕದ ಸಮಯದಲ್ಲಿ ಸ್ಥಿತಿಯನ್ನು ಓದುತ್ತದೆ ಮತ್ತು ಪ್ರತಿ ಸರಣಿ ಸಂಖ್ಯೆಗೆ ಒಂದು ಫೈಲ್ ವೆಚ್ಚ ಮಾಡುತ್ತದೆ.

ಅದೇ ಡೇಟಾಬೇಸ್ನಿಂದ ಎರಡು ಆದೇಶಗಳೊಂದಿಗೆ ರದ್ದುಗೊಳಿಸಿ ಮತ್ತು ಮರುಸೃಷ್ಟಿಸಿ:

openssl ca -config intermediate.cnf -revoke /etc/vpn-ca/intermediate/newcerts/1001.pem
openssl ca -config intermediate.cnf -gencrl -out /etc/openvpn/crl.pem

ನಂತರ ಗಡಿಯಾರವನ್ನು ಗಮನಿಸಿ. CRL ಮುಂದಿನ ನವೀಕರಣ ಕ್ಷೇತ್ರವನ್ನು ಹೊಂದಿರುತ್ತದೆ, ಮತ್ತು ಆ ದಿನಾಂಕ ಕಳೆದ ನಂತರ ಪರಿಶೀಲಿಸುವ ಸಹವರ್ತಿ ಪಟ್ಟಿಯನ್ನು ನಿರ್ಲಕ್ಷಿಸುವ ಬದಲು ತಿರಸ್ಕರಿಸುತ್ತದೆ. default_crl_days = 30 ನೊಂದಿಗೆ ಮಾಸಿಕ ಮರುಸೃಷ್ಟಿ ಅವಕಾಶ ಬಿಡುತ್ತದೆ; ವಾರ್ಷಿಕ ಬಿಡುವುದಿಲ್ಲ. ಚಿಕ್ಕ ಲೀಫ್ ಆಯುಷ್ಯವು ಹೆಚ್ಚು ವಿಶ್ವಾಸಾರ್ಹ ನಿಯಂತ್ರಣ, ಏಕೆಂದರೆ ರದ್ದತಿ ಪಟ್ಟಿಯನ್ನು ನೋಡುವ ಸ್ಥಳದಲ್ಲಿ ಮಾತ್ರ ಅನ್ವಯಿಸುತ್ತದೆ.

ಸರಪಣಿಯನ್ನು ಪರೀಕ್ಷಿಸಿ, ನಂತರ ಸಮಾರಂಭವನ್ನು ಬರೆಯಿರಿ

ವಿನ್ಯಾಸವನ್ನು ನಂಬುವ ಮೊದಲು ನಾಲ್ಕು ವೈಫಲ್ಯಗಳನ್ನು ಪುನರುತ್ಪಾದಿಸಿ. openssl verify -CAfile ca-bundle.crt -untrusted intermediate.crt server.crt ನೊಂದಿಗೆ ಸರಪಣಿಯನ್ನು ಪರಿಶೀಲಿಸಿ. ಅವಧಿ ಮೀರಿದ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ ಸಂಪರ್ಕಿಸಿ ಮತ್ತು ಸರ್ವರ್ ಅದನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಪರೀಕ್ಷಾ ಕ್ಲೈಂಟ್ ರದ್ದುಗೊಳಿಸಿ, ಮತ್ತೆ ಲೋಡ್ ಮಾಡಿ ಮತ್ತು ಪಟ್ಟಿ ಜಾರಿಗೆ ಬರುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಹೋಸ್ಟ್ನ ಗಡಿಯಾರವನ್ನು ಒಂದು ದಿನ ಮುಂದಕ್ಕೆ ಸರಿಸಿ, ಏಕೆಂದರೆ ತಪ್ಪು ಗಡಿಯಾರ ಬೇರೆಡೆ ಮಾನ್ಯವೆಂದು ಕಾಣುವ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡಬಹುದು ಮತ್ತು ತಿರಸ್ಕರಿಸಬಹುದು.

ಆಫ್ಲೈನ್ ರೂಟ್ ಕಾಗದಪತ್ರಗಳಿದ್ದರೆ ಮಾತ್ರ ನಿಯಂತ್ರಣ: ಸಮಾರಂಭಕ್ಕೆ ಇಬ್ಬರು ಹೆಸರಿಸಿದ ವ್ಯಕ್ತಿಗಳು, ಪ್ರತಿ ಸಹಿ ಮಾಡಿದ ಸರಣಿ ಸಂಖ್ಯೆಯ ದಾಖಲೆ, ಯಂತ್ರದಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಸಂಗ್ರಹಿಸಿದ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಬ್ಯಾಕಪ್ ಮತ್ತು ಪ್ರತ್ಯೇಕಿಸಿದ ಹೋಸ್ಟ್ನಲ್ಲಿ ಮರುಸ್ಥಾಪನೆ ಪರೀಕ್ಷೆ. ಅದೇ ಸಮಾರಂಭದಲ್ಲಿ ಬಿಡಿ ಮಧ್ಯಂತರಕ್ಕೆ ಸಹಿ ಹಾಕಿ, ಸತ್ತ ಸಹಿ ಹೋಸ್ಟ್ ನಿಮ್ಮನ್ನು ಮಧ್ಯರಾತ್ರಿ ರೂಟ್ ತೆರೆಯಲು ಒತ್ತಾಯಿಸದಂತೆ.

ಅದನ್ನು ಪೂರ್ಣ ಎಂದು ಹೇಳುವ ಮೊದಲು ಐದು ವಿಷಯಗಳನ್ನು ಖಚಿತಪಡಿಸಿ: ರೂಟ್ ಕೀ ನೆಟ್ವರ್ಕ್ ಹೋಸ್ಟ್ನಲ್ಲಿಲ್ಲ, ಮಧ್ಯಂತರ ಕೀ ಸಹಿ ಹೋಸ್ಟ್ನಲ್ಲಿ ಮಾತ್ರ ಇರುತ್ತದೆ, ಕ್ಲೈಂಟ್ ಬಂಡಲ್ ಎರಡೂ CA ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹೊಂದಿದೆ, CRL ಭವಿಷ್ಯದ ಮುಂದಿನ ನವೀಕರಣವನ್ನು ಹೊಂದಿದೆ, ಮತ್ತು ಸರಪಣಿಯ ಪ್ರತಿ ಮುಕ್ತಾಯಕ್ಕೂ ಯಾರೊಬ್ಬರಿಗೆ ಕ್ಯಾಲೆಂಡರ್ ನಮೂದು ಇದೆ. ಒಂದು ಕಾಣೆಯಾಗಿದ್ದರೆ, ಆಫ್ಲೈನ್ ಕಾಣುವ ಸಂರಚನೆ ಕೇವಲ ದಾಖಲೆಯಾಗದೆ ಇರುವುದು.