VPN ಪ್ರಮಾಣಪತ್ರವನ್ನು ಅದರ ಗುರುತನ್ನು ಬದಲಿಸದೆ ನವೀಕರಿಸುವುದು

ಗುರುತನ್ನು ಬದಲಿಸುವ ಪ್ರಮಾಣಪತ್ರ ನವೀಕರಣವು ನವೀಕರಣವಲ್ಲ, ಅದು ನಿರ್ವಹಣಾ ಟಿಕೆಟ್ ಧರಿಸಿದ ವಲಸೆ. ಕ್ಲೈಂಟ್ ಹೆಸರು, ಸರಪಳಿ ಮತ್ತು ಕೆಲವೊಮ್ಮೆ ನಿರ್ದಿಷ್ಟ ಕೀಯನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, ಮತ್ತು ಮೂರೂ ಅವಧಿ ಮುಗಿಯುವ ದಿನಾಂಕ ಬದಲಾಗದೆ ಬದಲಾಗಬಹುದು. ಬದಲಿಯನ್ನು ಕೇಳುವ ಮೊದಲು ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಏನನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಬರೆಯಿರಿ: ಹೋಸ್ಟ್ ಹೆಸರು ಅಥವಾ ಪೀರ್ ಗುರುತು, ಪ್ರಮಾಣಪತ್ರದ ಉದ್ದೇಶ, ಕೀ ನೀತಿ ಮತ್ತು ನೀಡುವ ಸರಪಳಿ. ಬದಲಿ ಈ ಪೈಕಿ ಯಾವುದನ್ನು ಬದಲಿಸುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ನವೀಕರಣ ಸಾಮಾನ್ಯ ಅಥವಾ ಸಂಯೋಜಿತವಾಗಿರುತ್ತದೆ.

ಮೂರು ಷರತ್ತುಗಳು ನವೀಕರಣದ ರೂಪವನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ

ಮೂರು ಷರತ್ತುಗಳೆಂದರೆ: ಏನಾದರೂ ಎಲೆಯನ್ನು ಪಿನ್ ಮಾಡುತ್ತದೆಯೇ, ಸರಪಳಿ ಬದಲಾಗುತ್ತದೆಯೇ, ಮತ್ತು ಹೆಸರನ್ನು ಇನ್ನಾರು ಮಾನ್ಯಗೊಳಿಸುತ್ತಾರೆ. CA ಯ ಅನುಕೂಲದಿಂದ ಅಲ್ಲ, ಕ್ಲೈಂಟ್ ಕಡೆಯಿಂದ ಉತ್ತರಿಸಿ, ಏಕೆಂದರೆ ರಾತ್ರಿ ಮೂರು ಗಂಟೆಗೆ ವಿಫಲವಾಗುವುದು ಕ್ಲೈಂಟ್.

ನಿಮ್ಮ ಬಳಿ ಇರುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸುವ ಮೂಲಕ ಪ್ರಾರಂಭಿಸಿ. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName ವಿಷಯ, ನೀಡುವವರು, ಮಾನ್ಯತೆಯ ಅವಧಿ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ನಿಜವಾಗಿ ಮಾನ್ಯವಾಗಿರುವ ಹೆಸರುಗಳನ್ನು ಮುದ್ರಿಸುತ್ತದೆ. ಆ ಕೊನೆಯ ಕ್ಷೇತ್ರವೇ ಅತ್ಯಂತ ಮುಖ್ಯವಾದದ್ದು ಮತ್ತು ಅತ್ಯಂತ ಹೆಚ್ಚು ಊಹಿಸಲ್ಪಡುವುದು: ಕ್ಲೈಂಟ್ ಅವಲಂಬಿಸಿರುವ SAN ಅನ್ನು ಬಿಟ್ಟುಬಿಡುವ ನವೀಕರಣ ವಿನಂತಿ ತಾಂತ್ರಿಕವಾಗಿ ಮಾನ್ಯ ಆದರೆ ಕಾರ್ಯನಿರ್ವಹಣೆಯಲ್ಲಿ ತಪ್ಪಾದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀಡುತ್ತದೆ. ಹಳೆಯ ಪ್ರಮಾಣಪತ್ರದಿಂದ SAN ಪಟ್ಟಿಯನ್ನು ವಿನಂತಿಗೆ ನಕಲಿಸಿ, ನೆನಪಿನಿಂದ ಮತ್ತೆ ಟೈಪ್ ಮಾಡುವ ಬದಲು.

ಮೊದಲ ಷರತ್ತು: ಏನಾದರೂ ಎಲೆಯನ್ನು ಪಿನ್ ಮಾಡುತ್ತದೆಯೇ

ಕ್ಲೈಂಟ್ಗಳು ನಿರ್ವಹಿತ CA ಅನ್ನು ನಂಬಿ ಹೆಸರನ್ನು ಮಾನ್ಯಗೊಳಿಸಿದರೆ, ಹೊಸ ಕೀಯೊಂದಿಗೆ ಎಲೆ ನವೀಕರಣ ಅವರಿಗೆ ಕಾಣುವುದಿಲ್ಲ. ಯಾವುದೇ ಕ್ಲೈಂಟ್ ಎಲೆ ಪ್ರಮಾಣಪತ್ರ, ಅದರ ಫಿಂಗರ್ಪ್ರಿಂಟ್ ಅಥವಾ ಅದರ ಸಾರ್ವಜನಿಕ ಕೀಯನ್ನು ಪಿನ್ ಮಾಡಿದರೆ, ಬದಲಿ ಕಠಿಣ ಬದಲಾವಣೆಯೊಂದಿಗೆ ಸಂಯೋಜಿತ ಬದಲಾವಣೆ, ಏಕೆಂದರೆ ಹಳೆಯ ಪಿನ್ ಹೊಸ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಮಾನ್ಯಗೊಳಿಸಲಾರದು.

ಏನನ್ನಾದರೂ ಆರ್ಡರ್ ಮಾಡುವ ಮೊದಲು ನೀವು ಯಾವ ಸಂದರ್ಭದಲ್ಲಿದ್ದೀರಿ ಎಂದು ಕಂಡುಹಿಡಿಯಿರಿ. ಯಾರೂ ದಾಖಲಿಸದ ಪಿನ್ ಕೂಡ ಮುರಿದಾಗ ಪಿನ್ ಆಗಿಯೇ ಇರುತ್ತದೆ.

ಎರಡನೇ ಷರತ್ತು: ಪಿನ್ಗಳು ಮತ್ತು ಸರಪಳಿಯನ್ನು ಹೋಲಿಸಿ

ಫಿಂಗರ್ಪ್ರಿಂಟ್ಗಳು ಪಿನ್ ಅನ್ನು ಪರಿಶೀಲಿಸಬಹುದಾದಂತೆ ಮಾಡುತ್ತವೆ: ಹಳೆಯ ಮತ್ತು ಹೊಸ ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ openssl x509 -noout -fingerprint -sha256 -in server.crt, ಮತ್ತು ಸಾರ್ವಜನಿಕ ಕೀಗಳನ್ನು ಹೋಲಿಸಲು openssl x509 -noout -pubkey. ಕ್ಲೈಂಟ್ ಸಂರಚನೆ, ಮೊಬೈಲ್ ಪ್ರೊಫೈಲ್ ಅಥವಾ ಉಪಕರಣದ ನಂಬಿಕೆ ಸಂಗ್ರಹವು ಆ ಮೌಲ್ಯಗಳಲ್ಲಿ ಒಂದನ್ನು ಹೊಂದಿದ್ದರೆ, ನಿಮಗೆ ಪಿನ್ ಇದೆ. ಮೊಬೈಲ್ VPN ಪ್ರೊಫೈಲ್ಗಳು ಸಾಮಾನ್ಯ ಅಡಗುಸ್ಥಳ, ಏಕೆಂದರೆ ಪ್ರೊಫೈಲ್ ಒಮ್ಮೆ ವಿತರಣೆಯಾಗಿ ಮತ್ತೆಂದೂ ಪರಿಶೀಲಿಸಲ್ಪಡುವುದಿಲ್ಲ.

ಬದಲಿ ಅದೇ ಮಧ್ಯವರ್ತಿಯಿಂದ ಬಂದರೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಈಗಾಗಲೇ ಆ ಮಧ್ಯವರ್ತಿಯನ್ನು ಹೊಂದಿದ್ದರೆ ಅಥವಾ ಅದನ್ನು ಪಡೆಯಬಹುದಾದರೆ, ನಂಬಿಕೆಯ ಕಡೆ ಏನೂ ಬದಲಾಗುವುದಿಲ್ಲ. ಹೊಸ ಮಧ್ಯವರ್ತಿ, ಬೇರೆ ನೀಡುವವರು ಅಥವಾ ತಪ್ಪು ಕ್ರಮದಲ್ಲಿ ತಲುಪಿಸಿದ ಸರಪಳಿ ನವೀಕರಣವನ್ನು ನಂಬಿಕೆ ಬದಲಾವಣೆಯಾಗಿ ಬದಲಿಸುತ್ತವೆ, ಮತ್ತು ವೈಫಲ್ಯವು ಅವಧಿ ಮುಗಿದ ಪ್ರಮಾಣಪತ್ರದಂತೆ ಅಲ್ಲ, ಅಪರಿಚಿತ ನೀಡುವವರಂತೆ ಕಾಣುತ್ತದೆ.

ಸರ್ವರ್ ನಿಜವಾಗಿ ಕಳುಹಿಸುವ ಸರಪಳಿಯನ್ನು openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts ನೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿ, ಮತ್ತು openssl verify -CAfile ca.pem -untrusted chain.pem server.crt ನೊಂದಿಗೆ ಸ್ಥಳೀಯವಾಗಿ ಪರಿಶೀಲಿಸಿ. ಬದಲಾವಣೆಗೆ ಮೊದಲು ಇದನ್ನು ಮಾಡುವುದು ನಂತರ ಹೋಲಿಸಲು ನಿಮಗೆ ಮೂಲರೇಖೆಯನ್ನು ನೀಡುತ್ತದೆ.

ಮೂರನೇ ಷರತ್ತು: ಹೆಸರನ್ನು ಇನ್ನಾರು ಮಾನ್ಯಗೊಳಿಸುತ್ತಾರೆ

VPN ಕಾನ್ಸೆಂಟ್ರೇಟರ್, ಲೋಡ್ ಬ್ಯಾಲೆನ್ಸರ್, ಮಾನಿಟರಿಂಗ್ ಪ್ರೋಬ್, RADIUS ಅಥವಾ SAML ಏಕೀಕರಣ ಮತ್ತು ಮೊಬೈಲ್ ಪ್ರೊಫೈಲ್ ಪ್ರತಿಯೊಂದೂ ನಿರೀಕ್ಷಿತ ಹೆಸರು ಅಥವಾ ನಂಬಿಕೆ ಆಂಕರ್ನ ತನ್ನದೇ ಪ್ರತಿಯನ್ನು ಹೊಂದಿರಬಹುದು. ಆ ಪ್ರತಿಗಳು ಬೇರೆಯಾಗುವ ಕ್ಷಣವೇ ನವೀಕರಣ, ಏಕೆಂದರೆ ಪ್ರಮಾಣಪತ್ರ ಬದಲಾಗುತ್ತದೆ ಮತ್ತು ಪ್ರತಿಗಳು ಬದಲಾಗುವುದಿಲ್ಲ.

ಬದಲಾವಣೆಗೆ ಮೊದಲು ಪ್ರತಿ ಗ್ರಾಹಕನನ್ನು ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ನವೀಕರಣ ಬೇಕೇ ಎಂದು ನಿರ್ಧರಿಸಿ. ನೀವು ಮರೆಯುವುದೇ ನಿಮಗೆ ಕರೆ ಮಾಡುತ್ತದೆ.

ಸಮಯದ ಬಲೆಯೂ ಇದೆ. ಅವಧಿ ಮುಗಿಯುವುದರ ಜೊತೆಗೆ ಮಾನ್ಯತೆಯ ಆರಂಭವನ್ನೂ ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ನಂತರದ ಸಕ್ರಿಯಣಕ್ಕೆ ಸಿದ್ಧಪಡಿಸಿದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ತುಂಬಾ ಬೇಗ ಅಳವಡಿಸಿದರೆ ತಿರಸ್ಕರಿಸಲಾಗುತ್ತದೆ, ಮತ್ತು ದೋಷವು ಸಿದ್ಧತೆಯ ಸಮಸ್ಯೆಯಂತೆ ಅಲ್ಲ, ಗಡಿಯಾರದ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುತ್ತದೆ. ನಿಯೋಜಿಸುವ ಮೊದಲು ಹೊಸ ಫೈಲ್ನಲ್ಲಿ openssl x509 -noout -dates ಎರಡು ಸೆಕೆಂಡಿನ ಪರಿಶೀಲನೆ. ಬೆಂಬಲಿತ ಚೇತರಿಕೆ ಮಾರ್ಗ ಮತ್ತು ತಿಳಿದಿರುವ ಉತ್ತಮ ಸಂರಚನೆಯನ್ನೂ ಇಟ್ಟುಕೊಳ್ಳಿ, ಇದರಿಂದ ತಪ್ಪಾದ ನವೀಕರಣವನ್ನು ಹಿಂದಿನ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕೀಯನ್ನು ಮರುಸ್ಥಾಪಿಸುವ ಮೂಲಕ ಹಿಂತಿರುಗಿಸಬಹುದು.

ನಿಯೋಜಿಸಿ, ಹೊಸ ದೃಢೀಕರಣದೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿ, ನಂತರ ಹಿಂತೆಗೆದುಕೊಳ್ಳಿ

ಸ್ಥಾಪಿತ ಸುರಂಗವು ಅದನ್ನು ನಿರ್ಮಿಸಿದಾಗ ನಡೆದ ಮಾನ್ಯತೆಯನ್ನು ಪ್ರತಿಬಿಂಬಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತಿ ಹೊಸ ಸಂಪರ್ಕ ವಿಫಲವಾದರೂ ಅದು ಆರೋಗ್ಯಕರವಾಗಿ ಕಾಣಬಹುದು. ಕ್ಲೈಂಟ್ಗಳು ಬಳಸುವ ನಿಜವಾದ ಸೇವಾ ಹೆಸರಿನೊಂದಿಗೆ ಹೊಸ ದೃಢೀಕರಣದಿಂದ ಪರೀಕ್ಷಿಸಿ.

ಬಳಕೆದಾರರಿಗೆ ಮುಖ್ಯವಾದ ಅಪ್ಲಿಕೇಶನ್ ಮಟ್ಟದ ಪರಿಶೀಲನೆಯನ್ನು ಪೂರ್ಣಗೊಳಿಸಿ, ಮತ್ತು ಸರಪಳಿ ವಿತರಣೆಯನ್ನು ಸರ್ವರ್ ದೃಷ್ಟಿಕೋನದಿಂದ ಅಲ್ಲ, ಕ್ಲೈಂಟ್ ದೃಷ್ಟಿಕೋನದಿಂದ ದೃಢೀಕರಿಸಿ. ಪರಿವರ್ತನೆಯನ್ನು ಶಾಂತವಾಗಿಡಲು ಹೆಸರು ಅಥವಾ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆಗಳನ್ನು ನಿಗ್ರಹಿಸಬೇಡಿ; ಅದು ತಾತ್ಕಾಲಿಕ ಹೊಂದಾಣಿಕೆಯ ಸಮಸ್ಯೆಯನ್ನು ಶಾಶ್ವತವಾಗಿಸುತ್ತದೆ.

ನಿಯೋಜನೆ ಪರಿಶೀಲಿಸಲ್ಪಟ್ಟ ನಂತರವೇ ಬಳಕೆಯಲ್ಲಿಲ್ಲದ ಸಾಮಗ್ರಿಯನ್ನು ಹಿಂತೆಗೆದುಕೊಳ್ಳಿ, ಮತ್ತು ರಾಜಿಯಾದ ಕೀಯನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಬೇರೆ ಪ್ರಕರಣವಾಗಿ ಪರಿಗಣಿಸಿ: ನವೀಕರಣ ಒಂದೇ ಏನನ್ನೂ ರದ್ದುಗೊಳಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಬಾಧಿತ ಗುರುತಿಗೆ ನಿಯೋಜನೆಯ ರದ್ದತಿ ಮತ್ತು ಸೆಷನ್ ನಿರ್ವಹಣಾ ಪ್ರಕ್ರಿಯೆ ಬೇಕು. RFC 5280 ಈ ಎಲ್ಲದರ ಕೆಳಗಿನ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಮಾರ್ಗ ಮಾನ್ಯತೆಯ ನಿಯಮಗಳನ್ನು ವ್ಯಾಖ್ಯಾನಿಸುತ್ತದೆ. ಸಾಮಾನ್ಯ ಎಲೆ ನವೀಕರಣವನ್ನು CA ಬದಲಿಯಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿಡಿ, ಇದರಿಂದ ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಕಾರಣವಿಲ್ಲದೆ ಹೊಸ ನೀಡುವವರನ್ನು ನಂಬಲು ಹೇಳಲಾಗುವುದಿಲ್ಲ.