ನವೀಕರಿಸಿದ VPN ಪ್ರಮಾಣಪತ್ರ: ಕೆಲವು ಕ್ಲೈಂಟ್‌ಗಳು ಇನ್ನೂ ಅದನ್ನು ನಿರಾಕರಿಸುತ್ತವೆ

ನವೀಕರಣದ ನಂತರ ಪರಿಸರದ ಅರ್ಧ ಭಾಗ ಮತ್ತೆ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಮೂರು ಸಾಧನಗಳು ನಿರಾಕರಿಸುತ್ತವೆ, ಪ್ರತಿಯೊಂದೂ ಗೇಟ್ವೇಯ ಗುರುತಿನ ಬಗ್ಗೆ ಎಚ್ಚರಿಕೆಯೊಂದಿಗೆ. ನವೀಕರಣ ಸ್ವತಃ ದಿನನಿತ್ಯದ ಕೆಲಸ. ಆ ಮೂರು ಸಾಧನಗಳು ಹಳೆಯ ವಸ್ತುವಿಗೆ ಪಿನ್ ಅನ್ನು ಹಿಡಿದಿವೆ, ಮತ್ತು ಪಿನ್ ಎಂಬುದು CA ಪಟ್ಟಿ, ಹೆಸರು ಪರಿಶೀಲನೆ ಅಥವಾ ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್ ನಮೂದು ಅಲ್ಲ. ಯಾವುದೇ ಕ್ಲೈಂಟ್ ಅನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಮೂರು ಕಾರ್ಯವಿಧಾನಗಳನ್ನು ಹೋಲಿಸಿ.

ಒಂದು ನವೀಕರಣ, ಎರಡು ವರ್ತನೆಗಳು

ಮತ್ತೆ ಸಂಪರ್ಕಗೊಳ್ಳುವ ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಇನ್ನೂ ಯಶಸ್ವಿಯಾಗುವ ನಂಬಿಕೆಯ ನಿರ್ಣಯವಿದೆ, ಮತ್ತು ನಿರಾಕರಿಸುವವರಿಗೆ ಹೊಸ ಪ್ರಮಾಣಪತ್ರ ಪೂರೈಸದ ಬೇಡಿಕೆಯಿದೆ. ಆ ವ್ಯತ್ಯಾಸ ಮಾಹಿತಿ, ಗದ್ದಲವಲ್ಲ. ವಿಫಲವಾದ ಕ್ಲೈಂಟ್ನ ಸಂದೇಶವನ್ನು ನಿಖರವಾಗಿ ಓದಿ. ಹೆಸರಿನ ಹೊಂದಾಣಿಕೆಯಿಲ್ಲದಿರುವಿಕೆ, ಅಪರಿಚಿತ ನೀಡುಗ ಮತ್ತು ಬದಲಾದ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಮೂರು ವಿಭಿನ್ನ ತೀರ್ಪುಗಳು, ಮತ್ತು ಕೊನೆಯದು ಮಾತ್ರ ಪಿನ್ ಅನ್ನು ಸೂಚಿಸುತ್ತದೆ.

ವಿಫಲವಾದ ಕ್ಲೈಂಟ್ ಯಾವ ಪ್ರೊಫೈಲ್ ಆಯ್ಕೆ ಮಾಡಿತು ಎಂಬುದನ್ನೂ ಪರಿಶೀಲಿಸಿ. ತನ್ನದೇ ಸ್ಟೋರ್ನಲ್ಲಿ ಇರುವ ಆಮದು ಮಾಡಿದ ಪ್ರತಿ, ನಿರ್ವಾಹಕರು ಮೂಲ ಫೈಲ್ ಅನ್ನು ಬೇರೆಡೆ ಸಂಪಾದಿಸಿದಾಗ ಬದಲಾಗುವುದಿಲ್ಲ.

ನವೀಕರಣವು ವಸ್ತುವನ್ನು ಬದಲಿಸುತ್ತದೆ, ಕೇವಲ ದಿನಾಂಕವನ್ನಲ್ಲ

ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಎನ್ಕೋಡ್ ಮಾಡಿದ ಪ್ರಮಾಣಪತ್ರದ ವಿಷಯವನ್ನು ಗುರುತಿಸುತ್ತದೆ. ನವೀಕರಣ ಹೊಸ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ವಿಷಯದ ಹೆಸರು ಮತ್ತು ಸಾರ್ವಜನಿಕ ಕೀಲಿ ಒಂದೇ ಆಗಿದ್ದರೂ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಬದಲಾಗುತ್ತದೆ. CA ಅನ್ನು ನಂಬಿ ಹೆಸರನ್ನು ಪರಿಶೀಲಿಸುವ ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಇದು ನಿರೀಕ್ಷಿತ ಮತ್ತು ಹಾನಿಕರವಲ್ಲ. ನಿಖರವಾಗಿ ಒಂದು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸ್ವೀಕರಿಸಲು ಸಂರಚಿಸಲಾದ ಕ್ಲೈಂಟ್ಗೆ ಇದು ಮಾರಕ, ಮತ್ತು ಅದರ ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್ ಹೊಸ ನೀಡುಗರನ್ನು ಎಂದಿಗೂ ಪಡೆಯದ ಕ್ಲೈಂಟ್ಗೂ ಇದು ಮಾರಕ.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

ಎರಡನೇ ಸಾಲು ಬೇರೆ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ, ಕೀಲಿ ಜೋಡಿ ಉಳಿದುಕೊಂಡಿತೇ. ಕೀಲಿಯನ್ನು ಮರುಬಳಕೆ ಮಾಡುವ ನವೀಕರಣ ಆ ಮೌಲ್ಯವನ್ನು ಉಳಿಸಿಕೊಂಡು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮಾತ್ರ ಬದಲಿಸುತ್ತದೆ, ಮತ್ತು ಏನೂ ಬದಲಾಗಿಲ್ಲ ಎಂದು ನಿರ್ವಾಹಕರು ಭಾವಿಸಲು ಪ್ರಚೋದಿಸುವ ಸಂದರ್ಭ ಅದೇ. ನಿಯೋಜಿಸಲಾದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸಿ, ನಿರ್ಮಾಣ ಹೋಸ್ಟ್ನಲ್ಲಿರುವುದನ್ನಲ್ಲ. ಸಂಗ್ರಹದಲ್ಲಿನ ಫೈಲ್ ಅನ್ನು ಹೋಲಿಸುವುದು ಏನು ರಚಿಸಲ್ಪಟ್ಟಿತು ಎಂಬುದನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಕೇಳುಗರು ಈಗ ಏನನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತಿದ್ದಾರೆ ಎಂಬುದನ್ನಲ್ಲ.

ಕ್ಲೈಂಟ್ ಏನನ್ನು ಪಿನ್ ಮಾಡುತ್ತಿದೆ ಎಂದು ಓದಿ

ಕೆಲವು ಕ್ಲೈಂಟ್ಗಳು ತಮ್ಮ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಇಟ್ಟುಕೊಂಡು ಪ್ರತಿ ಸಂಪರ್ಕದಲ್ಲೂ ಹೋಲಿಸುತ್ತವೆ. ಇತರರು ಅದನ್ನು ವೇದಿಕೆಯ ಟ್ರಸ್ಟ್ ಸ್ಟೋರ್ನಲ್ಲಿ ಸಂಗ್ರಹಿಸುತ್ತಾರೆ, ಮತ್ತೆ ಕೆಲವರು CA ಅನ್ನು ಮಾತ್ರ ಅವಲಂಬಿಸುತ್ತಾರೆ. ಪ್ರತಿ ಸಂದರ್ಭದಲ್ಲೂ ದುರಸ್ತಿ ಬೇರೆಯಾಗಿರುತ್ತದೆ, ಆದ್ದರಿಂದ ಮೊದಲು ಕಾರ್ಯವಿಧಾನವನ್ನು ಗುರುತಿಸಿ.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

ಮೊದಲ ಆಜ್ಞೆ ಸಾಂಪ್ರದಾಯಿಕ ಪ್ರೊಫೈಲ್ನಲ್ಲಿ ಪಿನ್ ಅನ್ನು ತೋರಿಸುತ್ತದೆ; ಎರಡನೆಯದು ಎಂಡ್ಪಾಯಿಂಟ್ ಈಗ ನಿಜವಾಗಿ ನೀಡುತ್ತಿರುವ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಅನ್ನು ತೋರಿಸುತ್ತದೆ. ಆ ಎರಡೂ ಬೇರೆಯಾದಾಗ, ಊಹಿಸದೆಯೇ ನೀವು ವೈಫಲ್ಯವನ್ನು ಪತ್ತೆ ಮಾಡಿದ್ದೀರಿ. ಹೊಸ ಮೌಲ್ಯವನ್ನು ದೂರು ನೀಡುವ ಪ್ರತಿ ಕ್ಲೈಂಟ್ಗೂ ಅಂಟಿಸಬೇಡಿ. ನೀಡುಗರ ಕಾರಣಕ್ಕೆ ನಿರಾಕರಿಸುವ ಕ್ಲೈಂಟ್ ನಿರಾಕರಿಸುತ್ತಲೇ ಇರುತ್ತದೆ, ಮತ್ತು ಸಮಸ್ಯೆ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಆಗಿದ್ದಾಗ ಅದು ಹಾಗಿರಲಿಲ್ಲ ಎಂದು ನೀವು ನಿಮಗೇ ಕಲಿಸಿದಂತಾಗುತ್ತದೆ.

ಪ್ರತಿ ಬ್ಯಾಕೆಂಡ್ ನೀಡುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೋಲಿಸಿ

ಮಧ್ಯಂತರ ಫಲಿತಾಂಶಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ಎಂಡ್ಪಾಯಿಂಟ್ಗಳನ್ನು ಅರ್ಥೈಸುತ್ತವೆ, ಮತ್ತು ಒಂದು ನೋಡ್ಗೆ ಅನ್ವಯಿಸಿದ ನವೀಕರಣ ಉಳಿದವನ್ನು ಹಳೆಯ ವಸ್ತುವನ್ನು ತೋರಿಸುತ್ತಾ ಬಿಡುತ್ತದೆ. ಪ್ರತಿ ಬ್ಯಾಕೆಂಡ್ ಅನ್ನು ಹಂಚಿದ ಹೆಸರಿನಿಂದಲ್ಲ, ವಿಳಾಸದಿಂದ ಹೋಲಿಸಿ.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

ಒಂದು ನೋಡ್ ಹಿಂದೆ ಉಳಿದ ಪೂಲ್, ಎರಡನೇ ಪ್ರಯತ್ನದಲ್ಲಿ ಸಂಪರ್ಕಗೊಂಡು ಮೊದಲನೆಯದರಲ್ಲಿ ವಿಫಲವಾಗುವ ಕ್ಲೈಂಟ್ ಅನ್ನು ವಿವರಿಸುತ್ತದೆ. ಬಳಕೆದಾರರು ದೂರು ನೀಡುತ್ತಿರುವಾಗ ಯಶಸ್ವಿಯಾಗುವ ಮೇಲ್ವಿಚಾರಣಾ ಪರಿಶೀಲನೆಯನ್ನೂ ಇದು ವಿವರಿಸುತ್ತದೆ. ಮೊದಲು ಹಿಂದೆ ಉಳಿದಿರುವಿಕೆಯನ್ನು ಸರಿಪಡಿಸಿ. ಪ್ರತಿ ನೋಡ್ ಹೊಸ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀಡುವ ಮೊದಲು ನಂಬಿಕೆಯ ಸಂರಚನೆಯನ್ನು ಸುತ್ತಿಸುವುದು ಏನೂ ಕೆಲಸ ಮಾಡದ ಕಿಟಕಿಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ, ಮತ್ತು ನಂತರ ಸುತ್ತಿಸುವುದು ಕ್ಲೈಂಟ್ಗಳನ್ನು ಅನಿರೀಕ್ಷಿತವಾಗಿ ವಿಫಲವಾಗಿಸುತ್ತದೆ.

ನಿರ್ವಹಿತ ಮಾರ್ಗದ ಮೂಲಕ ನಂಬಿಕೆಯನ್ನು ಬದಲಿಸಿ

ಎಲ್ಲಿಯೂ ಸ್ವೀಕರಿಸುವ ಮೊದಲು ಈಗಾಗಲೇ ವಿಶ್ವಾಸಾರ್ಹವಾದ ಆಡಳಿತಾತ್ಮಕ ಚಾನಲ್ ಮೂಲಕ ಬದಲಿಯನ್ನು ದೃಢೀಕರಿಸಿ. ನಂಬುವಂಥ ಅವಧಿ ಮುಗಿಯುವ ದಿನಾಂಕವು ಮಾಲೀಕತ್ವದ ಸಾಕ್ಷ್ಯವಲ್ಲ. ನಿರ್ವಹಿತ ಸಂರಚನೆಯನ್ನು ಅದನ್ನು ಹೊಂದಿರುವ ಪ್ರಕ್ರಿಯೆಯ ಮೂಲಕ ನವೀಕರಿಸಿ, ಸ್ವೀಕಾರಾರ್ಹ ಗುರುತುಗಳ ಯಾವುದೇ ಯೋಜಿತ ಅತಿಕ್ರಮಣದೊಂದಿಗೆ, ಮತ್ತು ನಿಯೋಜನೆಗೆ ಬೇಕಾದ ಹೆಸರು ಪರಿಶೀಲನೆಯನ್ನು ಉಳಿಸಿಕೊಳ್ಳಿ. ಹೆಸರು ಪರಿಶೀಲನೆ ಇಲ್ಲದ ಪಿನ್, ಅದು ಬದಲಿಸಿದ CA ನಂಬಿಕೆಗಿಂತ ದುರ್ಬಲ ವಿನ್ಯಾಸ.

ನಂತರ ಪ್ರತಿ ಕ್ಲೈಂಟ್ಗೆ ಪರಿಶೀಲಿಸಿ: ಸಂಪರ್ಕಗೊಳ್ಳಿ, ಅದು ಸ್ವೀಕರಿಸಿದ ಗುರುತನ್ನು ದೃಢೀಕರಿಸಿ, ಮತ್ತು ಅದು ಈಗ ನಂಬುವ ಪ್ರಮಾಣಪತ್ರದ ಆವೃತ್ತಿಯನ್ನು ದಾಖಲಿಸಿ. ಒಮ್ಮೆ ತಳ್ಳಿಹಾಕಿದ ಎಚ್ಚರಿಕೆ ಮುಂದಿನ ನವೀಕರಣದಲ್ಲಿ ಮರಳಿ ಬರುವ ಸ್ವಭಾವವನ್ನು ಹೊಂದಿದೆ.