ನಿಮ್ಮ VPN ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನಂಬುವ ಮೊದಲು ಏನನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ
ಪ್ರಮಾಣಪತ್ರದ ಎಚ್ಚರಿಕೆಯನ್ನು ನಿಮ್ಮ ಕ್ಲೈಂಟ್ ಪರಿಶೀಲಿಸುವ ನಾಲ್ಕು ದ್ವಾರಗಳ ಮೂಲಕ ಹಾಯಿಸಿ: CA ನಂಬಿಕೆ, ಸರಪಳಿ ನಿರ್ಮಾಣ, ಪೀರ್ ಹೆಸರು ಮತ್ತು ಉದ್ದೇಶ, ಮತ್ತು ರದ್ದತಿ ನೀತಿ.
ನಿಮ್ಮ VPN ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸಲು ಸಾಧ್ಯವಾಗಲಿಲ್ಲ ಎಂದು ಹೇಳುತ್ತದೆ, ಮತ್ತು ಸಂವಾದ ಅಲ್ಲೇ ನಿಲ್ಲುತ್ತದೆ. ಫೈಲ್ ಇದೆ, ಸರ್ವರ್ ಚಾಲನೆಯಲ್ಲಿದೆ, ಮತ್ತು ಅದೇ ಪ್ರೊಫೈಲ್ ಕಳೆದ ತಿಂಗಳು ಇನ್ನೊಂದು ಲ್ಯಾಪ್ಟಾಪ್ನಲ್ಲಿ ಕೆಲಸ ಮಾಡಿತ್ತು. ಆ ಒಂದು ಸಾಲಿನ ಎಚ್ಚರಿಕೆಯ ಕೆಳಗೆ ಕ್ಲೈಂಟ್ ಪೀರ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನಾಲ್ಕು ದ್ವಾರಗಳ ಮೂಲಕ ಹಾಯಿಸಿತು: ನೀವು ಕಾನ್ಫಿಗರ್ ಮಾಡಿದ ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರ ಸಹಿ ಮಾರ್ಗಕ್ಕೆ ಖಾತರಿ ನೀಡುತ್ತದೆ, ಆ ಮಾರ್ಗ ಪ್ರಾಧಿಕಾರವನ್ನು ತಲುಪುತ್ತದೆ, ಪೀರ್ ಹೆಸರು ನೀವು ಕೇಳಿದ್ದೇ ಆಗಿದೆ, ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಈಗ ಈ ಉದ್ದೇಶಕ್ಕೆ ಬಳಸಬಹುದಾಗಿದೆ. ಮುಚ್ಚಿದ ದ್ವಾರವನ್ನು ಹುಡುಕಿ ಮತ್ತು ಸರಿಪಡಿಸುವಿಕೆ ಸಾಮಾನ್ಯವಾಗಿ ಒಂದು ಫೈಲ್; ಆ ಹಂತವನ್ನು ಬಿಟ್ಟುಬಿಟ್ಟರೆ ಇಡೀ ಮಧ್ಯಾಹ್ನ ಬಂಡಲ್ಗಳನ್ನು ಮತ್ತೆ ಆಮದು ಮಾಡುತ್ತೀರಿ.
ಪ್ರೊಫೈಲ್ ಸಂಪಾದಿಸುವ ಮೊದಲು ಸಂವಾದವನ್ನು ಓದಿ
ಪ್ರಮಾಣಪತ್ರ ದೋಷಗಳ ಪದಗಳನ್ನು ಕೆಳಗಿನ ಗ್ರಂಥಾಲಯ ಬರೆಯುತ್ತದೆ, ನೀವು ಸ್ಥಾಪಿಸಿದ VPN ಉತ್ಪನ್ನವಲ್ಲ, ಆದ್ದರಿಂದ ನಿಖರವಾದ ಸ್ಟ್ರಿಂಗ್ ನಿಮ್ಮ ಮೊದಲ ಸಾಕ್ಷಿ. «ಸ್ಥಳೀಯ ನೀಡುಗರ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪಡೆಯಲು ಸಾಧ್ಯವಿಲ್ಲ» ಮಾರ್ಗ ಅಥವಾ ನಂಬಿಕೆ ಆಂಕರ್ಗೆ ಸೂಚಿಸುತ್ತದೆ. «ಪ್ರಮಾಣಪತ್ರದ ಅವಧಿ ಮುಗಿದಿದೆ ಅಥವಾ ಇನ್ನೂ ಮಾನ್ಯವಾಗಿಲ್ಲ» ಸಮಯಕ್ಕೆ ಸೂಚಿಸುತ್ತದೆ. «ಬೆಂಬಲಿಸದ ಪ್ರಮಾಣಪತ್ರ ಉದ್ದೇಶ» ವಿಸ್ತೃತ ಕೀ ಬಳಕೆಗೆ ಸೂಚಿಸುತ್ತದೆ. ಹೆಸರಿನ ಅಸಾಮರಸ್ಯ ಅದು ಯಾವ ಹೆಸರನ್ನು ಬಯಸಿತ್ತು ಎಂದು ಹೇಳುತ್ತದೆ. ನಾಲ್ಕರಲ್ಲಿ ಯಾವುದೂ ಕ್ಲೈಂಟ್ ಮರುಸ್ಥಾಪನೆಯಿಂದ ಸರಿಯಾಗುವುದಿಲ್ಲ.
ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಲಾಗ್ ಮಟ್ಟವನ್ನು ಹೆಚ್ಚಿಸಿ. OpenVPN --verb 4 ನೊಂದಿಗೆ ಚಲಾಯಿಸಿದಾಗ ಕೈಕುಲುಕುವಿಕೆಯ ಸುತ್ತ ಪರಿಶೀಲನೆ ವಿಫಲತೆಯನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು strongSwan ತನ್ನ ಗುರುತು ಮತ್ತು ಸರಪಳಿ ನಿರ್ಣಯಗಳನ್ನು charon ಲಾಗ್ಗೆ ಬರೆಯುತ್ತದೆ. ನಂತರ ನೀವು ಯಾವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸುತ್ತಿದ್ದೀರಿ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಜನರು ಸಾಮಾನ್ಯವಾಗಿ ಡಿಸ್ಕ್ನಲ್ಲಿರುವ ಫೈಲ್ ಅನ್ನು ಪರೀಕ್ಷಿಸುತ್ತಾರೆ, ಆದರೆ ಪ್ರೊಫೈಲ್ ಹಳೆಯ ಪ್ರತಿಯನ್ನು ಒಳಗೆ ಇರಿಸುತ್ತದೆ. ಪ್ರೊಫೈಲ್ PEM ಬ್ಲಾಕ್ಗಳನ್ನು ಒಳಗೆ ಇರಿಸಿದಾಗ, ಒಳಗೆ ಇರಿಸಿದ ಪ್ರಮಾಣಪತ್ರವೇ ಪರೀಕ್ಷಿಸಲ್ಪಡುತ್ತದೆ.
ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರ ಗುರುತುಗಳಿಗೆ ಸಹಿ ಹಾಕುತ್ತದೆ, ಅನುಮತಿಗಳಿಗಲ್ಲ
ಪ್ರಾಧಿಕಾರವು ಒಂದು ಹೆಸರು ಮತ್ತು ಒಂದು ಸಹಿ ಕೀಯನ್ನು ಹೊಂದಿರುತ್ತದೆ. ಅದು ತನ್ನದೇ ನೀತಿಯ ಅಡಿಯಲ್ಲಿ ಸಾರ್ವಜನಿಕ ಕೀಯನ್ನು ಆ ಹೆಸರಿಗೆ ಬಂಧಿಸುವ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡುತ್ತದೆ, ಜೊತೆಗೆ ಮಾನ್ಯತಾ ಅವಧಿ ಮತ್ತು ಬಳಕೆ ನಿರ್ಬಂಧಗಳು ಲಗತ್ತಾಗಿರುತ್ತವೆ. ನಿಮ್ಮ ಕ್ಲೈಂಟ್ಗೆ ನೀಡುಗರನ್ನು ಗುರುತಿಸಲು ಪ್ರಾಧಿಕಾರದ ಪ್ರಮಾಣಪತ್ರ ಮಾತ್ರ ಬೇಕು; ಅದಕ್ಕೆ ಸಹಿ ಕೀ ಎಂದಿಗೂ ಬೇಕಿಲ್ಲ, ಮತ್ತು ಆ ಕೀಯನ್ನು ಕ್ಲೈಂಟ್ಗಳಿಗೆ ಕಳುಹಿಸುವುದು ನಿಯೋಜನೆ ನಂಬುವ ಯಾವುದೇ ಗುರುತನ್ನು ಸೃಷ್ಟಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಅವರಿಗೆ ನೀಡುತ್ತಿತ್ತು.
ಪ್ರಾಧಿಕಾರವನ್ನು ನಂಬುವುದು ಅದು ಸಹಿ ಮಾಡಿದ ಪ್ರತಿಯೊಂದು ಪ್ರಮಾಣಪತ್ರವನ್ನೂ ಅಭ್ಯರ್ಥಿಯನ್ನಾಗಿಸುತ್ತದೆ, ಸರಿಯಾದ ಪೀರ್ ಅನ್ನಲ್ಲ. ಅದೇ ಆಂತರಿಕ CA ಯ ವೆಬ್ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವೂ ಅಭ್ಯರ್ಥಿ. ಆದ್ದರಿಂದ ಹೆಸರು ಮತ್ತು ಉದ್ದೇಶದ ದ್ವಾರಗಳಿವೆ, ಮತ್ತು ಆದ್ದರಿಂದ ರಾಜಿಯಾದ CA ಕೀ ಯಾವುದೇ ಒಂಟಿ ಸರ್ವರ್ಗಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ: ಅದು ಪ್ರಾಧಿಕಾರ ಎಂದಾದರೂ ನೀಡಿದ ಪ್ರತಿಯೊಂದು ಗುರುತನ್ನು ತಲುಪುತ್ತದೆ. ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಪ್ರತ್ಯೇಕ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ನೀಡಿ, ಇದರಿಂದ ಕಳೆದುಹೋದ ಲ್ಯಾಪ್ಟಾಪ್ ಇಡೀ ನಿಯೋಜನೆಯ ಕೀ ಮರುಹೊಂದಿಕೆಯಲ್ಲ, ಒಂದು ರದ್ದತಿ ಆಗುತ್ತದೆ.
ಕ್ಲೈಂಟ್ ನಿರ್ಮಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತಿರುವ ಮಾರ್ಗವನ್ನು ಮತ್ತೆ ನಿರ್ಮಿಸಿ
ಮಾರ್ಗವು ಪೀರ್ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಪ್ರಾರಂಭವಾಗಿ, ಶೂನ್ಯ ಅಥವಾ ಹೆಚ್ಚು ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರಗಳ ಮೂಲಕ ನಿಮ್ಮ ನಂಬಿಕೆ ಭಂಡಾರದ ಮೂಲಕ್ಕೆ ತಲುಪುತ್ತದೆ. ಕಾಣೆಯಾದ ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರ ಸಾಮಾನ್ಯ ಸರಪಳಿ ವೈಫಲ್ಯ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಕಡೆಯಿಂದ ಅದನ್ನು ನಂಬಲಾಗದ ಮೂಲ ಎಂಬುದರಿಂದ ಪ್ರತ್ಯೇಕಿಸಲಾಗದು. ಮೊದಲು ಎಲೆಯನ್ನು ಓದಿ, ನಂತರ ನೀವು ಕಳುಹಿಸಲಿರುವ ಸಾಮಗ್ರಿಯಿಂದ OpenSSL ಮಾರ್ಗವನ್ನು ನಿರ್ಮಿಸಲಿ.
openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crtಶೂನ್ಯ ನಿರ್ಗಮನ ಸ್ಥಿತಿ ಎಂದರೆ ಮಾರ್ಗ ಆ ಫೈಲ್ಗಳಿಂದ ನಿರ್ಮಾಣವಾಗಿದೆ; ವೈಫಲ್ಯವು ತಲುಪಲಾಗದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೆಸರಿಸುತ್ತದೆ. openssl verify ಯಶಸ್ವಿಯಾದರೂ ಕ್ಲೈಂಟ್ ಇನ್ನೂ ನಿರಾಕರಿಸಿದರೆ, ವ್ಯತ್ಯಾಸ ಸರ್ವರ್ ನಿಜವಾಗಿ ಕಳುಹಿಸುವುದರಲ್ಲಿ ಅಥವಾ ಪ್ರೊಫೈಲ್ ಯಾವ ನಂಬಿಕೆ ಫೈಲ್ ಲೋಡ್ ಮಾಡುತ್ತದೆ ಎಂಬುದರಲ್ಲಿ. OpenVPN ನಲ್ಲಿ ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರಗಳು ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರ ಫೈಲ್ ಜೊತೆ ಹೋಗಬಹುದು ಅಥವಾ --extra-certs ನೊಂದಿಗೆ ಪ್ರತ್ಯೇಕವಾಗಿ ನೀಡಬಹುದು, ಮತ್ತು ಒಂದೇ ವಿಷಯ ಹೆಸರಿನ ಅಡಿಯಲ್ಲಿ ಬರೆದ ಎರಡು ಮೂಲಗಳನ್ನು ಹೊಂದಿರುವ ಬಂಡಲ್ ನಿಮ್ಮ ಒಂದು ಕ್ಲೈಂಟ್ ಅನ್ನು ತಪ್ಪು ಶಾಖೆಗೆ ಕಳುಹಿಸುತ್ತದೆ.
ಹೆಸರು ಮತ್ತು ಉದ್ದೇಶ ಪ್ರತ್ಯೇಕ ದ್ವಾರಗಳು
ಸರಪಳಿ ನಿರ್ಮಾಣ ಎಂದಿಗೂ ಹೆಸರು ನಿಮ್ಮದೇ ಎಂದು ಕೇಳುವುದಿಲ್ಲ. ಪ್ರೊಫೈಲ್ --verify-x509-name ಹೊಂದಿಸಿದಾಗ ಮಾತ್ರ OpenVPN ಅದನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, ಮತ್ತು ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ಮಾತ್ರ ಹೊಂದಿಸುವ ಹಳೆಯ ಅಭ್ಯಾಸವು ಗುರುತುಗಳು subjectAltName ನಲ್ಲಿ ವಾಸಿಸುವ ಪ್ರಮಾಣಪತ್ರಗಳಲ್ಲಿ ಮುರಿಯುತ್ತದೆ. IKEv2 ನಿಯೋಜನೆಗಳು ಕಾನ್ಫಿಗರ್ ಮಾಡಿದ ಗುರುತನ್ನು SAN ನಮೂದುಗಳೊಂದಿಗೆ ಅಥವಾ ವಿಶಿಷ್ಟ ಹೆಸರಿನೊಂದಿಗೆ ಹೊಂದಿಸುತ್ತವೆ, ಕ್ಲೈಂಟ್ ಅನ್ನು ಅವಲಂಬಿಸಿ, ಮತ್ತು wildcard ಅಥವಾ %any ಮೌಲ್ಯ ನೀವು ಹೊಂದಿದ್ದೀರಿ ಎಂದು ಭಾವಿಸಿದ ಹೋಲಿಕೆಯನ್ನು ಸದ್ದಿಲ್ಲದೆ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುತ್ತದೆ.
ನಂತರ ಸಮಯ ಮತ್ತು ಉದ್ದೇಶ ಬರುತ್ತವೆ. ಗಡಿಯಾರ ಕೆಲವು ಗಂಟೆಗಳಷ್ಟು ಮುಂದಿರುವ ಲ್ಯಾಪ್ಟಾಪ್ ಇನ್ನೂ ಮಾನ್ಯವಲ್ಲದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ, ಮತ್ತು ಅವಧಿ ಮುಗಿದ ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರ ಎಲೆ ಚಾಲ್ತಿಯಲ್ಲಿದ್ದರೂ ಮಾರ್ಗವನ್ನು ವಿಫಲಗೊಳಿಸುತ್ತದೆ. ಉದ್ದೇಶದ ವೈಫಲ್ಯಗಳು ವಿಸ್ತೃತ ಕೀ ಬಳಕೆಯಲ್ಲಿ serverAuth ಇಲ್ಲದ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಅಥವಾ ಕೈಕುಲುಕುವಿಕೆ ಸಹಿಗೆ ಅನುಮತಿ ನೀಡದ keyUsage ನಿಂದ ಬರುತ್ತವೆ, ಅದನ್ನು OpenSSL ಬೆಂಬಲಿಸದ ಪ್ರಮಾಣಪತ್ರ ಉದ್ದೇಶ ಎಂದು ವರದಿ ಮಾಡುತ್ತದೆ. ಸರಿಯಾದ ಟೆಂಪ್ಲೇಟ್ನಿಂದ ಮತ್ತೆ ನೀಡಿ; ಆ ಸಂದೇಶದಲ್ಲಿ ಪರಿಶೀಲನೆಯನ್ನು ಆಫ್ ಮಾಡಲು ಯಾವುದೇ ಕಾರಣವಿಲ್ಲ.
ರದ್ದತಿ ಯಾರಾದರೂ ಅದನ್ನು ಕಾನ್ಫಿಗರ್ ಮಾಡಿದರೆ ಮಾತ್ರ ಚಲಿಸುತ್ತದೆ
CRL ಅಥವಾ OCSP ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸಂಪರ್ಕಿಸಲಾಗುವುದಿಲ್ಲ. OpenVPN ಸರ್ವರ್ನಲ್ಲಿ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಪಟ್ಟಿಯೊಂದಿಗೆ --crl-verify ಒಂದನ್ನು ಸೂಚಿಸಿದಾಗ ಮಾತ್ರ ಹೋಲಿಸಲಾಗುತ್ತದೆ. ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರದ ಕ್ಲೈಂಟ್-ಬದಿ ಪರಿಶೀಲನೆ ಅನುಷ್ಠಾನವನ್ನು ಅವಲಂಬಿಸಿದೆ ಮತ್ತು ಹೆಚ್ಚಾಗಿ ಇರುವುದಿಲ್ಲ. strongSwan ಪೀರ್ನಿಗಾಗಿ CRL ಅನ್ನು ನೋಡುವ ಮೊದಲು ತನ್ನ ರದ್ದತಿ ಪ್ಲಗಿನ್ ಮತ್ತು ನೀತಿಯನ್ನು ಬೇಕಾಗುತ್ತದೆ.
ಇದು ನೀವು ಕೊನೆಗೆ ಪಡೆಯುವ ಟಿಕೆಟ್ ಅನ್ನು ವಿವರಿಸುತ್ತದೆ: ರದ್ದಾದ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಇನ್ನೂ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಎಲ್ಲರೂ ರದ್ದತಿ ಮುರಿದಿದೆ ಎಂದು ತೀರ್ಮಾನಿಸುತ್ತಾರೆ. ಯಾವುದೂ ಪರಿಶೀಲಿಸುತ್ತಿರಲಿಲ್ಲ. CRL ಅನ್ನು ಪ್ರಕಟಿಸಿ ಮತ್ತು ರಿಫ್ರೆಶ್ ಮಾಡಿ, ಅಥವಾ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹಳೆಯ ರದ್ದತಿ ಸ್ವಲ್ಪ ಕಾಲ ಮಾತ್ರ ಮುಖ್ಯವಾಗುವಷ್ಟು ಅಲ್ಪಾಯುಷ್ಯವಾಗಿ ಇರಿಸಿ, ಮತ್ತು ಘಟನೆಯ ಸಮಯದಲ್ಲಿ ಅಗತ್ಯವಾಗುವ ಮೊದಲು ಪ್ರಯೋಗಾಲಯದ ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ ರದ್ದತಿ ಮಾರ್ಗವನ್ನು ಅಭ್ಯಾಸ ಮಾಡಿ.
ಪರಿಶೀಲನೆಯನ್ನು ಆನ್ ಇಟ್ಟುಕೊಳ್ಳುವ ಸರಿಪಡಿಸುವ ಕ್ರಮ
ಫೈಲ್ಗಳನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಲಕ್ಷಣದ ಪ್ರಕಾರ ವಿಂಗಡಿಸಿ, ಏಕೆಂದರೆ ಕೋಷ್ಟಕದ ಪ್ರತಿ ಸಾಲು ನಿಮ್ಮನ್ನು ಬೇರೆ ವಸ್ತುವಿಗೆ ಕಳುಹಿಸುತ್ತದೆ.
| Client says | Most likely gate | First check |
|---|---|---|
| unable to get local issuer certificate | trust anchor or missing intermediate | your own openssl verify against the files the profile loads |
| expired or not yet valid | validity window | leaf and intermediate dates against the device clock |
| unsupported certificate purpose | extended key usage | serverAuth present, keyUsage allows the handshake |
| name mismatch | peer identity | subjectAltName entries versus the profile name |
ಪಟ್ಟಿಯನ್ನು ಒಂದೇ ಹಾದಿಯಲ್ಲಿ ಮುಗಿಸಿ: ಪ್ರೊಫೈಲ್ ಲೋಡ್ ಮಾಡುವ ಫೈಲ್ ಅನ್ನು ಖಚಿತಪಡಿಸಿ, ಮಾರ್ಗವನ್ನು ನೀವೇ ನಿರ್ಮಿಸಿ, ಸರ್ವರ್ ಮಧ್ಯಂತರ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಕಳುಹಿಸುತ್ತದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ, ಗಡಿಯಾರವನ್ನು ಹೋಲಿಸಿ, SAN ಓದಿ, EKU ಓದಿ, ನಂತರ ಮತ್ತೆ ಸಂಪರ್ಕಗೊಂಡು ಅದೇ ಲಾಗ್ ಸಾಲು ಮಾಯವಾಗುವುದನ್ನು ನೋಡಿ. ಸಾಧನಕ್ಕೆ CA ಯನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನೀಡಲು ಸಾಧ್ಯವಿಲ್ಲದಿದ್ದರೆ, ಪಿನ್ನಿಂಗ್ ಪ್ರಾಮಾಣಿಕ ಪರ್ಯಾಯ, ಏಕೆಂದರೆ OpenVPN 2.6 --peer-fingerprint ಅನ್ನು ಸ್ವೀಕರಿಸಿ ಪರಿಶೀಲನೆಯನ್ನು ತೆಗೆಯುವ ಬದಲು ನಂಬಿಕೆಯನ್ನು ಒಂದು ಕೀಗೆ ಸೀಮಿತಗೊಳಿಸುತ್ತದೆ. ಈ ಕ್ಷೇತ್ರಗಳ ಪ್ರತಿಯೊಂದರ ಅರ್ಥಕ್ಕೆ RFC 5280 ಉಲ್ಲೇಖವಾಗಿದೆ.