ಒಂದೇ ಸಾಮಾನ್ಯ ಹೆಸರು, ಎರಡು ಪ್ರಮಾಣಪತ್ರಗಳು: ಅನುಮತಿ ಪಟ್ಟಿ ಅಥವಾ ರದ್ದುಗೊಳಿಸುವುದೇ?

ಒಂದೇ ಸಾಮಾನ್ಯ ಹೆಸರಿನಲ್ಲಿ ಲ್ಯಾಪ್ಟಾಪ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮತ್ತೆ ನೀಡುವುದು ಬದಲಿಯಂತೆ ಭಾಸವಾಗುತ್ತದೆ, ಮತ್ತು ಹಳೆಯದು ಆಗಲೇ ಸತ್ತಿದೆ ಎಂದು ಎಲ್ಲರೂ ಭಾವಿಸುತ್ತಾರೆ. ಹಾಗಲ್ಲ. ಹಿಂದಿನ ಪ್ರಮಾಣಪತ್ರವು ಅದೇ ಪ್ರಾಧಿಕಾರದಿಂದ ಸಹಿ ಮಾಡಲಾದ ಮಾನ್ಯ ಪ್ರಮಾಣಪತ್ರವಾಗಿಯೇ ಉಳಿಯುತ್ತದೆ, ಮತ್ತು ಹೆಸರಿನ ಮೂಲಕ ಗ್ರಾಹಕರನ್ನು ಸೇರಿಸಿಕೊಳ್ಳುವ ಯಾವುದೇ ನಿಯಂತ್ರಣವು ಅದನ್ನು ಸೇರಿಸಿಕೊಳ್ಳುತ್ತಲೇ ಇರುತ್ತದೆ. ಗುರುತಿನ ಪರಿಶೀಲನೆಯನ್ನು ರುಜುವಾತಿನ ಪರಿಶೀಲನೆಯಿಂದ ಬೇರ್ಪಡಿಸುವುದು ಸರಣಿ ಸಂಖ್ಯೆ, ಮತ್ತು ಸರಿಪಡಿಸುವಿಕೆ ಅಲ್ಲಿಯೇ ಇರಬೇಕು.

ಸರ್ವರ್ ಬಳಸುವ ಹೆಸರಿಸುವ ನೀತಿಯಿಂದ ಆರಂಭಿಸಿ

ಎರಡು ನಿಯಂತ್ರಣಗಳನ್ನು ಬೆರೆಸಲಾಗುತ್ತದೆ: ತಾನು ಯಾರು ಎಂದು ಹೇಳಿಕೊಳ್ಳುತ್ತಾನೆಯೋ ಅದರಿಂದ ಗ್ರಾಹಕನನ್ನು ಸೇರಿಸಿಕೊಳ್ಳುವುದು, ಮತ್ತು ಒಂದು ನಿರ್ದಿಷ್ಟ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸೇವೆಯಿಂದ ತೆಗೆದುಹಾಕುವುದು. ಮೊದಲನೆಯದು ಹೆಸರಿನ ಪರಿಶೀಲನೆ, ಎರಡನೆಯದು ರದ್ದತಿಯ ಪರಿಶೀಲನೆ. ಅವು ಬೇರೆ ಬೇರೆ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ, ಮತ್ತು ಒಂದು ನಿಯೋಜನೆಯಲ್ಲಿ ಇನ್ನೊಂದಿಲ್ಲದೆ ಒಂದು ಇರಬಹುದು.

ಸರ್ವರ್ ಸಂರಚನೆಯನ್ನು ಓದಿ ಮತ್ತು ಯಾವ ಗುರುತಿನ ಮೂಲವು ಬಳಕೆಯಲ್ಲಿದೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ. username-as-common-name ಪ್ರಮಾಣೀಕೃತ ಬಳಕೆದಾರ ಹೆಸರನ್ನು ಗ್ರಾಹಕ-ನಿರ್ದಿಷ್ಟ ಹುಡುಕಾಟಗಳಿಗೆ ಪರಿಣಾಮಕಾರಿ ಹೆಸರಾಗಿಸುತ್ತದೆ. ಅದಿಲ್ಲದೆ, ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿನ ವಿಷಯ ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ಬಳಸಲಾಗುತ್ತದೆ. ಉತ್ತರ ಏನೇ ಇರಲಿ, ಯಾವುದೇ ಅನುಮತಿ ಪಟ್ಟಿಯನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಅದನ್ನು ಬರೆದಿಡಿ.

ಎರಡು ಮಾರ್ಗಗಳು ಒಂದೇ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಬೇರೆ ಬೇರೆ ಅನುಮತಿಸಿದ ಹೆಸರುಗಳ ಗುಂಪನ್ನು ನೀಡುತ್ತವೆ. ಇಲ್ಲಿ ಊಹಿಸುವುದು ಎಂದರೆ ತಪ್ಪು ಕಡತವನ್ನು ಸಂಪಾದಿಸಿ, ನಿಯಂತ್ರಣ ಕೆಲಸ ಮಾಡುತ್ತಿಲ್ಲ ಎಂದು ತೀರ್ಮಾನಿಸುವುದು.

ಗ್ರಾಹಕನನ್ನು ನಿಜವಾಗಿ ಯಾವುದು ಸೇರಿಸುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಒಂದು client-config-dir ಹೊಂದಿಕೆಯಾದ ಕಡತವಿದ್ದರೆ ಪ್ರತಿ ಗ್ರಾಹಕರ ಆಯ್ಕೆಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ; ಅದು ಒಂದೇ ಆಗಿ ಪ್ರವೇಶದ ನಿಯಮವಲ್ಲ. ಹೆಸರಿನ ಮೂಲಕ ಪ್ರವೇಶಕ್ಕೆ ccd-exclusive, ಇದು ಹೊಂದಿಕೆಯಾದ ಕಡತವಿಲ್ಲದ ಗ್ರಾಹಕರನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ. ಚಾಲ್ತಿಯಲ್ಲಿರುವ ನಿಯೋಜನೆಯಲ್ಲಿ ಅದನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಿದರೆ ಕಡತವಿಲ್ಲದ ಹೆಸರಿನ ಎಲ್ಲರ ಸಂಪರ್ಕ ಕಡಿತಗೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಏನನ್ನೂ ಬದಲಿಸುವ ಮೊದಲು ಕಡತಗಳನ್ನು ಎಣಿಸಿ.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

ಎಣಿಕೆಯೇ ಪರಿಶೀಲನೆ: ಕೋಶ ಪಟ್ಟಿಯನ್ನು ನೀವು ಸಂಪರ್ಕಿಸುವ ನಿರೀಕ್ಷೆಯಿರುವ ಗುರುತುಗಳೊಂದಿಗೆ ಹೋಲಿಸಿ.

ನಂತರ ಪ್ರತಿ ಕಡತದ ಹೆಸರು ಅಕ್ಷರ ಸ್ಥಿತಿ ಮತ್ತು ಅಂತರ ಸೇರಿದಂತೆ ಪರಿಣಾಮಕಾರಿ ಗುರುತಿಗೆ ನಿಖರವಾಗಿ ಹೊಂದುತ್ತದೆಯೇ ಎಂದು ಖಚಿತಪಡಿಸಿ. office-laptop ಗಾಗಿ ಇರುವ ಕಡತ, ವಿಷಯವು Office-Laptop ಎಂದು ಓದುವ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಏನನ್ನೂ ಮಾಡುವುದಿಲ್ಲ. ಕೊನೆಯಲ್ಲಿನ ಖಾಲಿ ಜಾಗವೂ ಸಹ ಸಾಮಾನ್ಯ ಪಟ್ಟಿಯಿಂದ ಮರೆಯಾಗುತ್ತದೆ, ಹೀಗಾಗಿ ಇರುವಂತೆ ಕಾಣುವ ಕಡತವೇ ಓದದೆ ಉಳಿಯುತ್ತದೆ.

ಗೇಟ್ವೇ ಲೋಡ್ ಮಾಡುವ CRL ಅನ್ನು ಪರಿಶೀಲಿಸಿ

CRL ರದ್ದುಗೊಳಿಸಿದ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡುವವರು ಮತ್ತು ಸರಣಿ ಸಂಖ್ಯೆಯಿಂದ ಹೆಸರಿಸುತ್ತದೆ, ಇದು ಹೆಸರಿನ ಪರಿಶೀಲನೆಗೆ ಇಲ್ಲದ ಸೂಕ್ಷ್ಮತೆ. ಎರಡು ಪ್ರಮಾಣಪತ್ರಗಳು ಒಂದೇ ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ಹಂಚಿಕೊಳ್ಳಬಹುದು ಮತ್ತು ಸರಣಿ ಸಂಖ್ಯೆಯಲ್ಲಿ ಭಿನ್ನವಾಗಿರಬಹುದು, ಮತ್ತು ಸರಣಿ ಮಟ್ಟದ ಪಟ್ಟಿ ಮಾತ್ರ ಅವನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ.

ಕಡತವನ್ನು ನಂಬುವ ಮೊದಲು ಸಂರಚಿಸಿದ ಮಾರ್ಗ, ನೀಡಿದ ದಿನಾಂಕ ಮತ್ತು ಮುಂದಿನ ನವೀಕರಣ ಕ್ಷೇತ್ರವನ್ನು ಖಚಿತಪಡಿಸಿ.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

ನೀವು ಉಳಿಸಿಕೊಳ್ಳಲು ಉದ್ದೇಶಿಸಿರುವ ಪ್ರಮಾಣಪತ್ರದ ಸರಣಿ ಸಂಖ್ಯೆಯೊಂದಿಗೆ CRL ನಲ್ಲಿನ ಸರಣಿ ಸಂಖ್ಯೆಯನ್ನು ಹೋಲಿಸಿ. ಆ ಹೋಲಿಕೆಯೇ ಪೂರ್ಣ ಪರೀಕ್ಷೆ, ಮತ್ತು ಒಮ್ಮೆ ಕಣ್ಣಿನಿಂದ ಮಾಡುವುದು ಯಾರೂ ಓದದ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ನಂಬುವುದಕ್ಕಿಂತ ಉತ್ತಮ. ನವೀಕರಿಸಿದ CRL ಅನ್ನು ಗೇಟ್ವೇ ಈಗಾಗಲೇ ಓದುವ ಮಾರ್ಗದ ಮೂಲಕ ಹಂಚಿ. ತಪ್ಪು ಕಡತ ಕೋಶದಲ್ಲಿರುವ CRL ಏನನ್ನೂ ಜಾರಿಗೊಳಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಗ್ರಾಹಕ ಲಾಗ್ ಅದನ್ನು ಉಲ್ಲೇಖಿಸುವುದಿಲ್ಲ.

ಬದಲಿಸಿ, ನಂತರ ಎರಡೂ ಫಲಿತಾಂಶಗಳನ್ನು ಸಾಬೀತುಪಡಿಸಿ

ಅದೇ ಸಾಮಾನ್ಯ ಹೆಸರಿನಲ್ಲಿ ಬದಲಿಯನ್ನು ನೀಡಿ, ಎರಡೂ ಸರಣಿ ಸಂಖ್ಯೆಗಳನ್ನು ದಾಖಲಿಸಿ, ನಂತರವೇ ಹಳೆಯದನ್ನು ರದ್ದುಗೊಳಿಸಿ. ಆ ಕ್ರಮವು ಬದಲಾವಣೆಯನ್ನು ಸಿದ್ಧಪಡಿಸುವಾಗ ಕೆಲಸ ಮಾಡುವ ಗುರುತನ್ನು ಲಭ್ಯವಾಗಿಡುತ್ತದೆ.

ಮೊದಲು ಬದಲಿಯನ್ನು ಪರೀಕ್ಷಿಸಿ: ಅದು ಪ್ರಮಾಣೀಕರಿಸಿಕೊಳ್ಳಬೇಕು ಮತ್ತು ತನ್ನ ಹೆಸರಿಗೆ ಅರ್ಹವಾದ ಎಲ್ಲವನ್ನೂ ತಲುಪಬೇಕು. ನಂತರ ಹಳೆಯ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರೀಕ್ಷಿಸಿ ಮತ್ತು ಅದು ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಯಶಸ್ವಿ ಬದಲಿ ರದ್ದತಿಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಎರಡೂ ಇನ್ನೂ ಸಂಪರ್ಕಿಸಿದರೆ, ರದ್ದತಿಯ ಮಾಹಿತಿ ಓದಲ್ಪಡುತ್ತಿಲ್ಲ ಅಥವಾ ಹಳೆಯ ಸರಣಿ ಸಂಖ್ಯೆ ಎಂದೂ ಪಟ್ಟಿಯಾಗಿಲ್ಲ. ಎರಡೂ ಸಂಪರ್ಕಿಸದಿದ್ದರೆ, ನೀವು ರುಜುವಾತನ್ನು ಅಲ್ಲ, ಪ್ರವೇಶದ ನಿಯಮವನ್ನು ಮುರಿದಿದ್ದೀರಿ.

ಈಗಾಗಲೇ ಸ್ಥಾಪಿತವಾದ ಅವಧಿಗಳು ಬೇರೆ ವಿಷಯ, ಏಕೆಂದರೆ ಗೇಟ್ವೇ ಚಾಲ್ತಿ ಸಂಪರ್ಕಗಳನ್ನು ಕಡಿತಗೊಳಿಸಲು ಸಂರಚಿಸದ ಹೊರತು ರದ್ದತಿ ಹೊಸ ಪ್ರಮಾಣೀಕರಣಗಳಿಗೆ ಅನ್ವಯಿಸುತ್ತದೆ. ಯಾರಿಗೂ ಭರವಸೆ ನೀಡುವ ಮೊದಲು ತಕ್ಷಣ ತೆಗೆದುಹಾಕುವುದು ಅಗತ್ಯವೇ ಎಂದು ನಿರ್ಧರಿಸಿ.

ಹೆಸರಿನ ಪರಿಶೀಲನೆ ಎಂದಿಗೂ ಮಾಡಲಾಗದ್ದು

ಅನುಮತಿ ಪಟ್ಟಿ ಈ ಗುರುತು ಸಂಪರ್ಕಿಸಬಹುದೇ ಎಂದು ಉತ್ತರಿಸುತ್ತದೆ. ಆ ಗುರುತು ಯಾವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಬಳಸಿತು ಎಂದು ಅದು ಹೇಳಲಾರದು, ಮತ್ತು ರುಜುವಾತು ಮಾನ್ಯವಾಗಿದ್ದು ರದ್ದಾಗದಷ್ಟು ಕಾಲ ಹಳೆಯ ರುಜುವಾತನ್ನು ಅದು ಸೇರಿಸಿಕೊಳ್ಳುತ್ತದೆ. ಆ ಕೊರತೆ ಘಟನೆಯ ಸಮಯದಲ್ಲಿ ಕಾಣಿಸಿಕೊಳ್ಳುತ್ತದೆ, ಬದಲಿ ತಿಂಗಳುಗಳ ಹಿಂದೆ ನೀಡಲಾಗಿದ್ದು ಹಿಂದಿನದು ಇನ್ನೂ ಕೆಲಸ ಮಾಡುತ್ತಿರುವಾಗ.

ಪ್ರಮಾಣಪತ್ರ ಮಟ್ಟದ ನಿಯಂತ್ರಣ ಬೇಕಾದಲ್ಲಿ, ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೆಸರಿಸುವ ವ್ಯವಸ್ಥೆಯನ್ನು ಬಳಸಿ: CRL ನಮೂದುಗಳು, ಅಥವಾ ನಿರ್ವಾಹಕರು ನಿರ್ವಹಿಸುವ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಪರಿಶೀಲಿಸುವ ಪರಿಶೀಲನಾ ಹುಕ್. ಎರಡಕ್ಕೂ ನಿರ್ವಹಣೆ ವೆಚ್ಚವಿದೆ, ಮತ್ತು ಎರಡೂ ತಾವು ಪರೀಕ್ಷಿಸುವ ವಸ್ತುವಿನ ಬಗ್ಗೆ ಪ್ರಾಮಾಣಿಕ. OpenVPN 2.6 ಕೈಪಿಡಿ ಪ್ರಕಾರ crl-verify ಮತ್ತು ಗ್ರಾಹಕ-ನಿರ್ದಿಷ್ಟ ಪ್ರವೇಶ ಪ್ರತ್ಯೇಕ ಆಯ್ಕೆಗಳು, ಅದೇ ಕಾರಣಕ್ಕೆ.

ಯಾವ ನಿಯಂತ್ರಣ ಯಾವ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಬರೆದಿಡಿ, ನಂತರ ಋಣಾತ್ಮಕ ಪ್ರಕರಣವನ್ನು ಪರೀಕ್ಷಿಸಿ. ನೀವು ಎಂದೂ ಸಂಪರ್ಕವನ್ನು ನಿರಾಕರಿಸುವುದನ್ನು ನೋಡದ ರದ್ದತಿಯು ನೀವು ಕೆಲಸ ಮಾಡುತ್ತದೆಂದು ಆಶಿಸುವ ಸಂರಚನೆ.