ಪ್ರಮಾಣಪತ್ರಗಳು ಮಾನ್ಯವಾಗಿದ್ದರೂ ಹೊಸ VPN ಲಾಗಿನ್ಗಳು ವಿಫಲವಾಗುತ್ತವೆ: CRL ಪರಿಶೀಲಿಸಿ

ಇನ್ನೂ ತಿಂಗಳುಗಳಿರುವ ಪ್ರಮಾಣಪತ್ರಗಳು ಮತ್ತು ತಕ್ಷಣ ವಿಫಲವಾಗುವ ಲಾಗಿನ್ಗಳು ಬೇರೆ ಬೇರೆ ಗಡಿಯಾರಗಳ ಎರಡು ಬೇರೆ ವಸ್ತುಗಳನ್ನು ಸೂಚಿಸುತ್ತವೆ. ಸರ್ವರ್ ಸಂಪರ್ಕಗಳನ್ನು ತಿರಸ್ಕರಿಸುತ್ತಿದೆ ಏಕೆಂದರೆ ಅದು ಸಂಪರ್ಕಿಸುವ ರದ್ದಾದ ಪ್ರಮಾಣಪತ್ರಗಳ ಪಟ್ಟಿ ತನ್ನದೇ ಅವಧಿ ಮುಗಿದಿದೆ, ಬಳಕೆದಾರರ ಪ್ರಮಾಣಪತ್ರಗಳು ಹಳೆಯದಾದ್ದರಿಂದ ಅಲ್ಲ. ಬಳಕೆದಾರ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನವೀಕರಿಸುವುದು ಆ ಪಟ್ಟಿಗೆ ಏನನ್ನೂ ಮಾಡುವುದಿಲ್ಲ.

ಎರಡು ವೇಳಾಪಟ್ಟಿಗಳನ್ನು ಬೇರ್ಪಡಿಸುವುದೇ ಇಡೀ ರೋಗನಿರ್ಣಯ, ಮತ್ತು ಅದು ಸರಿಪಡಿಸುವಿಕೆ ಹೇಗಿರಬೇಕು ಎಂಬುದನ್ನು ಬದಲಿಸುತ್ತದೆ.

ಎರಡು ಗಡಿಯಾರಗಳು, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದೇ ಪ್ರಮಾಣಪತ್ರ

ಪ್ರಮಾಣಪತ್ರವು ಮಾನ್ಯತೆಯ ಕಿಟಕಿಯನ್ನು ಹೊತ್ತಿರುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರ ರದ್ದತಿ ಪಟ್ಟಿ ತನ್ನದೇ ಕಿಟಕಿಯನ್ನು, ಜೊತೆಗೆ ನೀಡುವವರು ಮತ್ತು ಸಹಿಯನ್ನು ಹೊತ್ತಿರುತ್ತದೆ, ಮತ್ತು ಪರಿಶೀಲಕರು ಮುಂದಿನ ನವೀಕರಣ ಸಮಯ ಮುಗಿದ ಪಟ್ಟಿಯನ್ನು ನಂಬಲು ನಿರಾಕರಿಸುತ್ತಾರೆ. ಅದು ಸಂಭವಿಸಿದಾಗ, ಕ್ಲೈಂಟ್ ಸಂಪೂರ್ಣ ಮಾನ್ಯ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ ಮತ್ತು ಸರ್ವರ್ ಪಟ್ಟಿಯ ಬಗ್ಗೆ ಸಂದೇಶದೊಂದಿಗೆ ಸಂಪರ್ಕವನ್ನು ಕಡಿತಗೊಳಿಸುತ್ತದೆ. ಬಳಕೆದಾರರು ಆ ಸಂದೇಶವನ್ನು 'ಪ್ರಮಾಣಪತ್ರ ಅವಧಿ ಮುಗಿದಿದೆ' ಎಂದು ಓದುತ್ತಾರೆ, ಇದು ನವೀಕರಣ ವಿನಂತಿಯನ್ನು ತಪ್ಪು ಸ್ಥಳಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ.

ಎರಡು ವಸ್ತುಗಳಿಗೆ ಬೇರೆ ಬೇರೆ ಮಾಲೀಕರೂ ಇದ್ದಾರೆ: ಪ್ರಮಾಣಪತ್ರವು ಅದನ್ನು ನೀಡಿದ CA ನಿಂದ ಬರುತ್ತದೆ, ಆದರೆ ಪಟ್ಟಿಯನ್ನು ವೇಳಾಪಟ್ಟಿ ಪ್ರಕಾರ ಆ CA ನಿರ್ವಹಿಸುವವರು ರಚಿಸುತ್ತಾರೆ. ಬಳಕೆದಾರರು ಅದನ್ನು ರಿಫ್ರೆಶ್ ಮಾಡಲಾಗದು, ಮತ್ತು ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಮತ್ತೆ ನೀಡುವುದರಿಂದ ಅದನ್ನು ವಿಸ್ತರಿಸಲಾಗದು.

ಸೇವೆ ನಿಜವಾಗಿ ಲೋಡ್ ಮಾಡುವ ಪಟ್ಟಿಯನ್ನು ಓದಿ

ನೀವು ನಿರೀಕ್ಷಿಸುವ ಫೈಲ್ನಿಂದ ಅಲ್ಲ, ಚಾಲನೆಯಲ್ಲಿರುವ ಸಂರಚನೆಯಿಂದ ಪ್ರಾರಂಭಿಸಿ. crl-verify ನ ಮಾರ್ಗ ಸಂಪೂರ್ಣ, ಪ್ರೊಫೈಲ್ಗೆ ಸಾಪೇಕ್ಷ, ಅಥವಾ ಇಮೇಜ್ನಲ್ಲಿ ಹುದುಗಿಸಿದ ಪ್ರತಿಯಾಗಿರಬಹುದು, ಮತ್ತು ಪರಿಶೀಲಕ ಆ ಪ್ರತಿಯನ್ನು ಓದುತ್ತದೆ. ಅದನ್ನು ಅದರ ಸ್ಥಳದಲ್ಲೇ openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate ಬಳಸಿ ಪರಿಶೀಲಿಸಿ ಮತ್ತು ದಿನಾಂಕಗಳನ್ನು ಸರ್ವರ್ನ ಗಡಿಯಾರದೊಂದಿಗೆ ಹೋಲಿಸಿ.

ನಂತರ ಫೈಲ್ ನಿಜವಾಗಿಯೂ ಬಳಕೆಯಲ್ಲಿರುವ ಫೈಲ್ ಎಂದು ದೃಢೀಕರಿಸಿ: openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout ಬಳಸಿ ಅದರ ಸಹಿಯನ್ನು ಪರಿಶೀಲಿಸಿ, ಅದು ಕ್ಷೇತ್ರಗಳನ್ನು ಮೌನವಾಗಿ ಮುದ್ರಿಸುವ ಬದಲು ಪರಿಶೀಲನಾ ಫಲಿತಾಂಶವನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ. ಬೇರೆ CA ಸಹಿ ಮಾಡಿದ ಪಟ್ಟಿ, ಅಥವಾ ಎರಡನೇ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ಉಳಿದಿರುವ ಹಳೆಯ ಪ್ರತಿ, ಅವಧಿ ಮುಗಿದ ಪಟ್ಟಿಯಂತೆಯೇ ವಿಫಲವಾಗುತ್ತದೆ.

ಶೂನ್ಯದಿಂದ ಅಲ್ಲ, ರದ್ದತಿ ಡೇಟಾಬೇಸ್ನಿಂದ ಮತ್ತೆ ರಚಿಸಿ

ಹೊಸ ಪಟ್ಟಿ CA ಯ ಪ್ರಸ್ತುತ ರದ್ದತಿ ಡೇಟಾಬೇಸ್ನಿಂದ, ಅನುಮೋದಿತ ಸಹಿ ಪ್ರಕ್ರಿಯೆಯ ಮೂಲಕ ಬರಬೇಕು. ಖಾಲಿ ಪಟ್ಟಿ ರಚಿಸುವುದು, ಅಥವಾ ಸೂಚ್ಯಂಕದ ಹಳೆಯ ಬ್ಯಾಕಪ್ನಿಂದ ಮತ್ತೆ ರಚಿಸುವುದು, ಆ ಬ್ಯಾಕಪ್ ನಂತರ ಸೇರಿಸಿದ ಪ್ರತಿ ಗುರುತನ್ನು ಮೌನವಾಗಿ ರದ್ದತಿಯಿಂದ ಮುಕ್ತಗೊಳಿಸುತ್ತದೆ. ಅದು ಲಾಗಿನ್ ಅಡಚಣೆಯನ್ನು ಭದ್ರತಾ ಹಿನ್ನಡೆಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ, ಮತ್ತು ಲಕ್ಷಣ ಮಾಯವಾಗುವುದರಿಂದ ಯಾರೂ ಗಮನಿಸುವುದಿಲ್ಲ.

ರಚನೆ ಹಂತವನ್ನು CA ಯ ಉಳಿದ ಪರಿಕರಗಳೊಂದಿಗೆ ಆವೃತ್ತಿ ನಿಯಂತ್ರಣದಲ್ಲಿಡಿ, ಮಧ್ಯಂತರ ಮತ್ತು ಸಹಿ ಕೀಲಿಯನ್ನು ನೆನಪಿಟ್ಟುಕೊಳ್ಳುವ ಬದಲು ದಾಖಲಿಸಲಾಗುವಂತೆ. ಆಜ್ಞೆ, ಸಹಿ ಮಾಡುವವರು ಮತ್ತು ಪ್ರಕಟಣೆ ಗುರಿಯನ್ನು ಹೆಸರಿಸುವ ರನ್ಬುಕ್ ನಮೂದು ಸಾಕು. ಆಗ ಕರ್ತವ್ಯದಲ್ಲಿರುವ ಯಾರಾದರೂ ಯಾವ ಸೂಚ್ಯಂಕ ಫೈಲ್ ಅಧಿಕೃತ ಎಂದು ಊಹಿಸದೆ ಮತ್ತೆ ರಚಿಸಬಹುದು. ಪಟ್ಟಿಯ ಸರಣಿ ಸಂಖ್ಯೆ ಮತ್ತು ಮುಂದಿನ ನವೀಕರಣ ಸಮಯವನ್ನು ನಿಯೋಜನೆ ದಾಖಲೆಯೊಂದಿಗೆ ಸಂಗ್ರಹಿಸಿ.

ಪರಿಶೀಲಕ ನೋಡುವ ಸ್ಥಳದಲ್ಲೇ ನಿಯೋಜಿಸಿ

ಹೊಸ ಪಟ್ಟಿಯನ್ನು ಸೇವೆ ಓದುವ ಮಾರ್ಗಕ್ಕೆ ನಕಲಿಸಿ, ಮಾಲೀಕತ್ವ ಮತ್ತು ಮೋಡ್ ಅನ್ನು ಸೇವಾ ಖಾತೆ ಅದನ್ನು ಓದಬಹುದು ಆದರೆ ಇತರರು ಓದಲಾಗದಂತೆ ಹೊಂದಿಸಿ, ಮತ್ತು ದಾಖಲಿತ ವರ್ತನೆಯ ಪ್ರಕಾರ ಮತ್ತೆ ಲೋಡ್ ಮಾಡಿ ಅಥವಾ ಮರುಪ್ರಾರಂಭಿಸಿ. ಡೀಮನ್ ಪ್ರಾರಂಭದಲ್ಲಿ ಪಟ್ಟಿಯನ್ನು ಕ್ಯಾಶ್ ಮಾಡಿದರೆ, ಮತ್ತೆ ಲೋಡ್ ಮಾಡದೆ ಫೈಲ್ ಬದಲಾಯಿಸುವುದು ಚಾಲನೆಯಲ್ಲಿರುವ ಪ್ರಕ್ರಿಯೆ ಗಮನಿಸುವ ಯಾವುದನ್ನೂ ಬದಲಿಸುವುದಿಲ್ಲ. ಮತ್ತೆ ಲೋಡ್ ಮಾಡಿದ ನಂತರ ಪ್ರಕ್ರಿಯೆ ವರದಿ ಮಾಡುವ ಟೈಮ್ಸ್ಟ್ಯಾಂಪ್ ದೃಢೀಕರಿಸಿ.

ಹಲವು ಸೇವೆಗಳು ಕ್ಲೈಂಟ್ಗಳನ್ನು ಪರಿಶೀಲಿಸಿದರೆ, ಪ್ರತಿಯೊಂದಕ್ಕೂ ನಿಯೋಜಿಸಿ. ಒಂದು ಎಂಡ್ಪಾಯಿಂಟ್ ನವೀಕರಿಸಿ ಇನ್ನೊಂದನ್ನು ಹಳೆಯ ಪ್ರತಿಯೊಂದಿಗೆ ಬಿಟ್ಟರೆ, ಎರಡನೆಯದಕ್ಕೆ ಬರುವ ಬಳಕೆದಾರರಿಗೆ ಮಾತ್ರ ಕಾಣುವ ವೈಫಲ್ಯ ಉಂಟಾಗುತ್ತದೆ. ಆ ಎಂಡ್ಪಾಯಿಂಟ್ಗಳ ಸಣ್ಣ ಪಟ್ಟಿಯನ್ನು ಅದೇ ರನ್ಬುಕ್ನಲ್ಲಿ ಇರಿಸಿ. ನಿಯೋಜನೆಯ ನಂತರ ಪ್ರತಿಯೊಂದರ ವರದಿತ ಪಟ್ಟಿ ದಿನಾಂಕವನ್ನು ಪರಿಶೀಲಿಸಿ, ಪ್ರತಿ ತಲುಪಿದೆ ಎಂದು ಊಹಿಸಬೇಡಿ.

ಮುಂದಿನ ಗಡುವು ಮುಗಿಯುವ ಮೊದಲೇ ಗೋಚರವಾಗಿಸಿ

ಉದ್ದವಾದ ಪ್ರಕಟಣೆ ಮಧ್ಯಂತರವು ಪ್ರಕ್ರಿಯೆ ಸೃಷ್ಟಿಸದೆ ಈ ಘಟನೆಯ ಆವೃತ್ತಿಯನ್ನು ಕಡಿಮೆ ಮಾಡುತ್ತದೆ. ನಿರ್ವಾಹಕರ ನೀತಿಯಿಂದ ಮಧ್ಯಂತರವನ್ನು ಆರಿಸಿ, ನಂತರ ಮತ್ತೆ ರಚಿಸಲು ಮತ್ತು ನಿಯೋಜಿಸಲು ಸಾಕಷ್ಟು ಸಮಯದೊಂದಿಗೆ ನಿಯೋಜಿತ ಪಟ್ಟಿಯ ಮುಂದಿನ-ನವೀಕರಣ ಕ್ಷೇತ್ರದಲ್ಲಿ ಎಚ್ಚರಿಕೆ ಹಾಕಿ. ನಿಯೋಜಿತ ಪ್ರತಿಯಲ್ಲಿ ಎಚ್ಚರಿಕೆ ಹಾಕಿ, CA ಹೋಸ್ಟ್ನಲ್ಲಿ ಅಲ್ಲ, ಏಕೆಂದರೆ ನಿಯೋಜಿತ ಪ್ರತಿಯೇ ವಿಫಲವಾಗುತ್ತದೆ.

ನಿಯೋಜನೆಯ ನಂತರ ಎರಡೂ ದಿಕ್ಕುಗಳನ್ನು ಪರಿಶೀಲಿಸಿ: ಅನುಮತಿಸಲಾದ ಬಳಕೆದಾರರು ಸಂಪರ್ಕಿಸುತ್ತಾರೆ, ಮತ್ತು ತಿಳಿದಿರುವ ರದ್ದಾದ ಗುರುತು ಇನ್ನೂ ವಿಫಲವಾಗುತ್ತದೆ. ಎರಡನೇ ಪರಿಶೀಲನೆಯೇ ಅಪೂರ್ಣ ಮರುರಚನೆಯನ್ನು ಹಿಡಿಯುವುದು, ಮತ್ತು ಅದಕ್ಕೆ ನಿಖರವಾಗಿ ಈ ಉದ್ದೇಶಕ್ಕಾಗಿ ಇಟ್ಟುಕೊಂಡಿರುವ ಪರೀಕ್ಷಾ ಪ್ರೊಫೈಲ್ ವಿರುದ್ಧ ಒಂದು ಆಜ್ಞೆ ಬೇಕು.