VPN ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರವನ್ನು ಬದಲಾಯಿಸಿದಾಗ ಏನಾಗುತ್ತದೆ

VPN ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರವನ್ನು ಬದಲಾಯಿಸುವುದು ಕಡತ ಬದಲಾಯಿಸುವುದಲ್ಲ. ಹೊಸ CA ತನ್ನ ಮೊದಲ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಸಹಿ ಹಾಕಿದ ಕ್ಷಣ, ಇನ್ನೂ ಹಳೆಯದನ್ನೇ ನಂಬಿರುವ ಪ್ರತಿ ಪರಿಶೀಲಕನೂ ನಿರ್ಣಯ ತೆಗೆದುಕೊಳ್ಳಬೇಕು, ಮತ್ತು ಹೊಸ ಆಂಕರ್ ಎಂದೂ ಸಿಗದ ಹೋಸ್ಟ್‌ಗಳು ಒಳ್ಳೆಯ ಸಹವರ್ತಿಗಳನ್ನು ನಿರಾಕರಿಸುತ್ತಲೇ ಇರುತ್ತವೆ. ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಇದು ಕೆಡುವುದನ್ನು ನಾನು ಕಂಡಿದ್ದೇನೆ: ಗೇಟ್‌ವೇ ಹೊಸ CA ಕಲಿತು ಕ್ಲೈಂಟ್‌ಗಳು ಕಲಿಯಲಿಲ್ಲ, ಹೀಗಾಗಿ ಹೊಸ ಸಂಪರ್ಕಗಳು ವಿಫಲವಾದವು, ಆದರೆ ಈಗಾಗಲೇ ಎದ್ದಿದ್ದ ಸುರಂಗಗಳು ಹಾಗೆಯೇ ಉಳಿದು ಅಡಚಣೆಯನ್ನು ರೂಟಿಂಗ್ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣಿಸಿದವು. ಏನು ಬದಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು, ವಿಫಲತೆಗಳು ಕಾಣಿಸಿಕೊಳ್ಳುವ ಕ್ರಮದಲ್ಲೇ ಇಲ್ಲಿ ನೀಡಿದೆ.

ಒಂದು ಬದಲಾವಣೆ, ಎರಡು ಪ್ರತ್ಯೇಕ ಬದಲಾವಣೆಗಳು

ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರ ಎಂದರೆ ಒಂದು ಹೆಸರು, ಒಂದು ಸಾರ್ವಜನಿಕ ಕೀಲಿ ಮತ್ತು ಸಹಿ ಹಾಕುವ ಖಾಸಗಿ ಕೀಲಿ. ಪರಿಶೀಲಕರು ‘CA’ ಎಂಬ ಅಮೂರ್ತವನ್ನು ಎಂದೂ ನಂಬುವುದಿಲ್ಲ. ಅವರು ನಂಬಿಕೆ ಭಂಡಾರದಲ್ಲಿ ಈಗಾಗಲೇ ಇರುವ ಒಂದು ನಿರ್ದಿಷ್ಟ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನಂಬುತ್ತಾರೆ, ಮತ್ತು ಸಹಿಗಳ ಸರಪಳಿ ಆ ಸಂಗ್ರಹಿತ ಪ್ರತಿಯನ್ನು ತಲುಪಿದಾಗ ಮಾತ್ರ ನೀಡುಗನನ್ನು ಸ್ವೀಕರಿಸುತ್ತಾರೆ. ಹೀಗಾಗಿ CA ಬದಲಾವಣೆ ಸ್ವತಂತ್ರವಾಗಿ ವಿಫಲವಾಗುವ ಎರಡು ವಿಷಯಗಳನ್ನು ಬದಲಿಸುತ್ತದೆ: ಯಾವ ಆಂಕರ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಅವುಗಳ ಅಡಿಯಲ್ಲಿ ಯಾವ ಸಹವರ್ತಿ ಗುರುತುಗಳನ್ನು ನೀಡಲಾಗಿದೆ.

ಬಹುಪಾಲು VPN ನಿಯೋಜನೆಗಳು ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಪರಿಶೀಲಿಸುತ್ತವೆ. ಕ್ಲೈಂಟ್ ಗೇಟ್‌ವೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ದೃಢೀಕರಿಸುತ್ತದೆ, ಗೇಟ್‌ವೇ ಕ್ಲೈಂಟ್‌ನದನ್ನು. ಕೇವಲ ಕ್ಲೈಂಟ್ ಬಂಡಲ್ ಮಾತ್ರ ನವೀಕರಿಸುವ ಬದಲಾವಣೆ, ಹಳೆಯ CA ಗುರುತನ್ನು ಇನ್ನೂ ತೋರಿಸುವ ಪ್ರತಿ ಕ್ಲೈಂಟ್‌ನ್ನು ಸರ್ವರ್ ನಿರಾಕರಿಸುವಂತೆ ಬಿಡುತ್ತದೆ, ಮತ್ತು ವಿರುದ್ಧ ದಿಕ್ಕೂ ಅಷ್ಟೇ ಸಾಮಾನ್ಯ. ಮೊದಲು ಜಾರಿ ಬಿಂದುಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡಿ: ಕ್ಲೈಂಟ್ ನಂಬಿಕೆ ಭಂಡಾರಗಳು, ಗೇಟ್‌ವೇಯ ca ಕಡತ, ಅದರ ಮುಂದೆ TLS ಮುಗಿಸುವ ಯಾವುದೇ ಪ್ರಾಕ್ಸಿ, ಮತ್ತು ಹೊರಗಿನಿಂದ ಅಂತ್ಯ ಬಿಂದುವನ್ನು ಪರೀಕ್ಷಿಸುವ ಶೋಧಕ.

ಪರಿಶೀಲಕ ಏನನ್ನು ಪರಿಶೀಲಿಸುತ್ತಾನೆ, ಕ್ರಮದಲ್ಲಿ

ಮಾರ್ಗ ಪರಿಶೀಲನೆ ಸಹವರ್ತಿ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಮಧ್ಯವರ್ತಿಗಳ ಮೂಲಕ ವಿಶ್ವಾಸಾರ್ಹ ಆಂಕರ್ ತಲುಪುವವರೆಗೆ ಏರುತ್ತದೆ. ಪ್ರತಿ ಹಂತದಲ್ಲೂ ಸಹಿಯನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರವೂ ತನ್ನ ಸಿಂಧುತ್ವ ಅವಧಿಯೊಳಗಿದೆಯೇ ಎಂದು ನೋಡುತ್ತದೆ, ಮತ್ತು ಮೂಲ ನಿರ್ಬಂಧಗಳು ಹಾಗೂ ಕೀಲಿ ಬಳಕೆ ನೀಡುಗನಿಗೆ ಸಹಿ ಹಾಕಲು ಅವಕಾಶ ನೀಡುತ್ತವೆಯೇ ಎಂದು ದೃಢೀಕರಿಸುತ್ತದೆ. ಆ ಬಳಿಕವೇ ಅಪ್ಲಿಕೇಶನ್ ಎಲೆ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೋಡುತ್ತದೆ: ವಿಷಯದ ಪರ್ಯಾಯ ಹೆಸರುಗಳು ಡಯಲ್ ಮಾಡಿದ ಹೆಸರನ್ನು ಆವರಿಸಬೇಕು, ಮತ್ತು ವಿಸ್ತರಿತ ಕೀಲಿ ಬಳಕೆ ಸರ್ವರ್ ಅಥವಾ ಕ್ಲೈಂಟ್ ದೃಢೀಕರಣಕ್ಕೆ ಅವಕಾಶ ನೀಡಬೇಕು.

ಆ ಪ್ರಯಾಣವನ್ನು ಆಫ್‌ಲೈನ್‌ನಲ್ಲಿ ಪುನರಾವರ್ತಿಸಲು, -CAfile ಅನ್ನು ನೀವು ನಿಯೋಜಿಸುವ ನಿಖರ ಬಂಡಲ್‌ಗೆ ತೋರಿಸಿ, ಸಿಸ್ಟಂ ಭಂಡಾರಕ್ಕಲ್ಲ. ಇಲ್ಲದಿದ್ದರೆ ನೀವು ಬದಲಾವಣೆಯನ್ನಲ್ಲ, ಹೋಸ್ಟ್ ಪರೀಕ್ಷಿಸುತ್ತಿದ್ದೀರಿ:

openssl verify -CAfile new-ca.crt gateway.crt
openssl verify -CAfile new-ca.crt -untrusted intermediate.crt client.crt
openssl x509 -in gateway.crt -noout -subject -issuer -dates
openssl s_client -connect gw.example.net:443 -CAfile new-ca.crt

ಆ ಆದೇಶ ಗೇಟ್‌ವೇಯ HTTPS ನಿರ್ವಹಣಾ ಪುಟದಂತಹ ಸರಳ TLS ಶ್ರೋತೃವಿನ ವಿರುದ್ಧ ಮಾತ್ರ ಕೆಲಸ ಮಾಡುತ್ತದೆ; OpenVPN ನಿಯಂತ್ರಣ ಚಾನೆಲ್ TLS ಗಿಂತ ಮೊದಲು ಬರುತ್ತದೆ, ಹೀಗಾಗಿ s_client ಸುರಂಗದ ಹಸ್ತಲಾಘವವನ್ನು ಪರೀಕ್ಷಿಸಲಾರದು.

ಆ ದೋಷಗಳ ಹಿಂದಿನ ಮಾರ್ಗ ನಿರ್ಮಾಣ ನಿಯಮಗಳು RFC 5280 ವಿಭಾಗ 6 ನಲ್ಲಿವೆ. ಅವು ಇಲ್ಲದಿದ್ದರೆ ಕೇವಲ ಮನಬಂದಂತೆ ಕಾಣುವ ವಿಫಲತೆಗಳನ್ನು ವಿವರಿಸುತ್ತವೆ: ಯಾರಿಗೂ ನೆನಪಿಲ್ಲದ ಅವಧಿ ಮುಗಿದ ಮಧ್ಯವರ್ತಿ, ಅದರ ಕೀಲಿ ಬಳಕೆ ಸಹಿಯನ್ನು ನಿಷೇಧಿಸುವ ಪ್ರಮಾಣಪತ್ರ, ಅಥವಾ ನೀವು ಪರೀಕ್ಷಿಸುತ್ತಿರುವ ಹೋಸ್ಟ್ ಅನ್ನು ಹೊರಗಿಡುವ ಹೆಸರು ನಿರ್ಬಂಧ.

ಹಳೆಯ ಸುರಂಗ ಏಕೆ ಕೆಲಸ ಮಾಡುತ್ತಲೇ ಇರುತ್ತದೆ

TLS ಮತ್ತು OpenVPN ಎರಡೂ ಹಸ್ತಲಾಘವ ಮುಗಿದ ಬಳಿಕ ಸ್ಥಾಪಿತ ಅಧಿವೇಶನವನ್ನು ಜೀವಂತವಾಗಿ ಇಟ್ಟುಕೊಳ್ಳುತ್ತವೆ. ಪ್ರತಿ ಪ್ಯಾಕೆಟ್‌ಗೂ ಸಹವರ್ತಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಯಾವುದೂ ಮತ್ತೆ ಪರಿಶೀಲಿಸುವುದಿಲ್ಲ, ಹೀಗಾಗಿ ಬದಲಾವಣೆಗೆ ಮೊದಲು ಸಂಪರ್ಕಗೊಂಡ ಕ್ಲೈಂಟ್ ಮತ್ತೆ ಮಾತುಕತೆ, ಮತ್ತೆ ಸಂಪರ್ಕ ಅಥವಾ ಸುರಂಗ ಬೀಳುವವರೆಗೆ ಸಂಚಾರವನ್ನು ಸಾಗಿಸುತ್ತಲೇ ಇರುತ್ತದೆ. ಈ ಕಂದರವೇ CA ಬದಲಾವಣೆ ಒಂದು ಗಂಟೆ ಚೆನ್ನಾಗಿ ಕಾಣಿಸಿ ನಂತರ ಅತ್ಯಂತ ಕೆಟ್ಟ ಕ್ಷಣದಲ್ಲಿ ವಿಫಲವಾಗಲು ಕಾರಣ: ಲ್ಯಾಪ್‌ಟಾಪ್ ನಿದ್ರೆಯಿಂದ ಎದ್ದೇಳುತ್ತದೆ, NAT ಮ್ಯಾಪಿಂಗ್ ಅವಧಿ ಮುಗಿಯುತ್ತದೆ, ಗೇಟ್‌ವೇ ಮರುಪ್ರಾರಂಭವಾಗುತ್ತದೆ.

ಅಧಿವೇಶನ ಮರುಸ್ಥಾಪನೆ ಈ ಭ್ರಮೆಯನ್ನು ಇನ್ನಷ್ಟು ಎಳೆಯುತ್ತದೆ. TLS ಅಧಿವೇಶನ ಟಿಕೆಟ್ ಕ್ಲೈಂಟ್‌ಗೆ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಮತ್ತೆ ಕಳುಹಿಸದೆ ಮರಳಲು ಅವಕಾಶ ನೀಡುತ್ತದೆ, ಮತ್ತು ಮರುಸ್ಥಾಪನೆ ಮಾರ್ಗ ಪರಿಶೀಲನೆಯನ್ನು ಬಿಟ್ಟುಬಿಡುತ್ತದೆ ಏಕೆಂದರೆ ಮೊದಲ ಹಸ್ತಲಾಘವ ಅದನ್ನು ಈಗಾಗಲೇ ಮಾಡಿದೆ. ಹೀಗಾಗಿ ಪ್ರಾಮಾಣಿಕ ಪರೀಕ್ಷೆ ಹೊಸ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ ಪೂರ್ಣ ಹಸ್ತಲಾಘವ. ಸುರಂಗವನ್ನು ಮತ್ತೆ ಜೋಡಿಸುವ ಬದಲು ಕ್ಲೈಂಟ್ ಮರುಪ್ರಾರಂಭಿಸಿ, ಮತ್ತು ಪರೀಕ್ಷಾ ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿ ಟಿಕೆಟ್‌ಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಬಗ್ಗೆ ಯೋಚಿಸಿ, ಆಗ ಮರುಸ್ಥಾಪನೆ ಮಾರ್ಗ ಮುರಿದ ಸರಪಳಿಯನ್ನು ಮರೆಮಾಡಲಾಗದು.

ಸ್ಥಿರ ಕೀಲಿ ಪದರವನ್ನು ಇದರಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಇಡಿ. tls-auth ನಿಯಂತ್ರಣ ಚಾನೆಲ್‌ಗೆ HMAC ಸೇರಿಸುತ್ತದೆ, tls-crypt ಅದನ್ನು ಗೂಢಲಿಪೀಕರಿಸಿ ದೃಢೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ಎರಡೂ ಪ್ರಮಾಣಪತ್ರ ಸಾಮಗ್ರಿಯನ್ನು ಹೊತ್ತೊಯ್ಯುವುದಿಲ್ಲ, ಹೀಗಾಗಿ ಯಾವುದನ್ನಾದರೂ ತಿರುಗಿಸುವುದು ತನ್ನದೇ ವೈಫಲ್ಯ ವಿಧಾನವಿರುವ ಪ್ರತ್ಯೇಕ ಬದಲಾವಣೆ. ಎರಡನ್ನೂ ಬೆರೆಸುವ ನಿಯೋಜನೆಗಳು, ಸ್ಥಿರ ಕೀಲಿ ಸರಿ ಇರುವ, ಪ್ರಮಾಣಪತ್ರ ಹಳೆಯದಾದ, ಮತ್ತು ದೋಷ ಸಂದೇಶ ಎರಡನ್ನೂ ಉಲ್ಲೇಖಿಸದ ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತವೆ.

ವಿಷಯ ಹೆಸರನ್ನು ಮರುಬಳಕೆ ಮಾಡುವ ಬಲೆ

ಕೆಳಗೆ ಯಾವುದೂ ಬದಲಾಗಬಾರದು ಎಂದು ಹಿಂದಿನವನ ವಿಶಿಷ್ಟ ಹೆಸರನ್ನು ಮರುಬಳಕೆ ಮಾಡಲು ಪ್ರಲೋಭನೆ ಉಂಟು. ಅದು ಇಂಟರ್ಫೇಸ್‌ನಲ್ಲಿ ನೀಡುಗ ಸಾಲನ್ನು ಸ್ಥಿರವಾಗಿ ಇಡುತ್ತದೆ ಮತ್ತು ನಿಮಗೆ ಬೇಕಾದ ಏಕೈಕ ಸಂಕೇತವನ್ನು ನಾಶ ಮಾಡುತ್ತದೆ. ಒಂದೇ ವಿಷಯಗಳು ಮತ್ತು ಬೇರೆ ಬೇರೆ ಕೀಲಿಗಳ ಎರಡು ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಹೆಸರಿನಿಂದ ಬೇರ್ಪಡಿಸಲಾಗದು, ಹೀಗಾಗಿ ಎರಡೂ ಆಂಕರ್‌ಗಳಿರುವ ಬಂಡಲ್ ಪರಿಶೀಲಕನಿಗೆ ಎರಡು ಅಭ್ಯರ್ಥಿಗಳನ್ನು ಕೊಡುತ್ತದೆ, ಆರಿಸಲು ನಿಯಮವಿಲ್ಲದೆ.

ಆಗ ಮಾರ್ಗ ನಿರ್ಮಾಣ ತಪ್ಪು ಅಭ್ಯರ್ಥಿಯನ್ನು ಆರಿಸಬಹುದು, ಸರಿಯಾದ ಆಂಕರ್ ಇದ್ದರೂ ‘ಸ್ಥಳೀಯ ನೀಡುಗ ಪ್ರಮಾಣಪತ್ರ ಸಿಗಲಿಲ್ಲ’ ಎಂದು ವರದಿ ಮಾಡಬಹುದು, ಅಥವಾ ಅಭ್ಯರ್ಥಿಗಳ ಕ್ರಮ ಭಿನ್ನವಾಗಿದ್ದುದರಿಂದ ಒಂದೇ ಬಂಡಲ್ ಇರುವ ಇನ್ನೊಂದು ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಸಫಲವಾಗಿ ಇಲ್ಲಿ ವಿಫಲವಾಗಬಹುದು. ಹೆಸರನ್ನು ಮರುಬಳಕೆ ಮಾಡಲೇಬೇಕಿದ್ದರೆ, ಪರಿವರ್ತನೆಯ ಅವಧಿಯಲ್ಲಿ ಎರಡೂ ಆಂಕರ್‌ಗಳನ್ನು ಪ್ರತ್ಯೇಕ ಕಡತಗಳಲ್ಲಿ ಇಟ್ಟು ಸ್ಪಷ್ಟವಾಗಿ ಲೋಡ್ ಮಾಡಿ, ಮತ್ತು ಪ್ರತಿ ಸಹವರ್ತಿಯೂ ಹೊಸ ನೀಡುಗನನ್ನು ತೋರಿಸಿದಾಗ ಮಾತ್ರ ಅವನ್ನು ವಿಲೀನ ಮಾಡಿ. ಇಲ್ಲದಿದ್ದರೆ ಬದಲಿಗೆ ಬೇರೆ ಸಾಮಾನ್ಯ ಹೆಸರು ಕೊಡಿ — ಪೀಳಿಗೆ ಅಥವಾ ದಿನಾಂಕದ ಪ್ರತ್ಯಯ ಸಾಕು — ಆಗ ಲಾಗ್‌ಗಳು ಮತ್ತು ದೋಷ ಪಠ್ಯಗಳು ವಿಫಲ ಸಹವರ್ತಿ ಯಾವ ಪ್ರಾಧಿಕಾರದ ಅಡಿಯಲ್ಲಿ ನೀಡಲ್ಪಟ್ಟಿತು ಎಂದು ಹೇಳುತ್ತವೆ.

ಜಾಲವನ್ನು ಉರುಳಿಸದ ತಿರುಗುವಿಕೆ

ಯೋಜಿತ ಬದಲಾವಣೆಗೆ ಒಂದೇ ಹಂತದಲ್ಲಿ ಬದಲಾಯಿಸುವ ಬದಲು ಸೀಮಿತ ಅವಧಿಗೆ ಎರಡೂ ಆಂಕರ್‌ಗಳನ್ನು ಸ್ವೀಕರಿಸಿ. ಹೊಸ CA ಮತ್ತು ಅದರ ಮಧ್ಯವರ್ತಿಗಳನ್ನು ನೀಡಿ, ಹೊಸ ಆಂಕರ್ ಅನ್ನು ಪುರಾತನದ ಪಕ್ಕದಲ್ಲಿ ಪ್ರತಿ ಪರಿಶೀಲಕನ ಬಂಡಲ್‌ನಲ್ಲಿ ಇರಿಸಿ, ಮತ್ತು ಆ ಬಳಿಕವೇ ಅದರಿಂದ ಸಹವರ್ತಿ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡಲು ಆರಂಭಿಸಿ. ಹಳೆಯ ಗುರುತಿನ ಸಹವರ್ತಿಗಳು ಹಳೆಯ ಆಂಕರ್ ವಿರುದ್ಧ ಪರಿಶೀಲನೆಗೊಳ್ಳುತ್ತವೆ; ಹೊಸವು ಹೊಸದರ ವಿರುದ್ಧ ಕೆಲಸ ಮಾಡುತ್ತವೆ.

ಆ ಕ್ರಮದಲ್ಲಿ ಮಾಡಿದರೆ ಪ್ರತಿ ಹಂತವೂ ಹಿಂತಿರುಗಿಸಬಹುದಾದದ್ದು. ನೀವು ತಪ್ಪಿಸುವ ವಿಫಲತೆ ಏಕಕಾಲಿಕ ಬದಲಾವಣೆ: ಬಂಡಲ್ ನವೀಕರಣ ತಪ್ಪಿಸಿಕೊಂಡ ಕ್ಲೈಂಟ್, ಹಳೆಯ ಆಂಕರ್ ಅನ್ನು ಈಗಾಗಲೇ ನಿವೃತ್ತಗೊಳಿಸಿದ ಗೇಟ್‌ವೇಯನ್ನು ಎದುರಿಸುತ್ತದೆ, ಹಸ್ತಲಾಘವ ಸಾಯುತ್ತದೆ, ಮತ್ತು ಯಾವ ಲಾಗ್ ಕೂಡ ಯಾವ ಬದಿ ಹಳೆಯದು ಎಂದು ಹೇಳುವುದಿಲ್ಲ.

ವಿರುದ್ಧ ದಿಕ್ಕಿನಲ್ಲಿ ನಿವೃತ್ತಗೊಳಿಸಿ. ಉಳಿಯಬೇಕಾದ ಪ್ರತಿ ಗುರುತನ್ನೂ ಮತ್ತೆ ನೀಡಿ, ಪ್ರತಿಯೊಂದೂ ಹೊಸ ಸರಪಳಿಯನ್ನು ತೋರಿಸುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ, ನಂತರ ಬಂಡಲ್‌ಗಳಿಂದ ಹಳೆಯ ಆಂಕರ್ ತೆಗೆಯಿರಿ. ಹಳೆಯ CA ಯ ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಸೇವೆಯಿಂದ ಹೊರತೆಗೆಯಿರಿ, ಏಕೆಂದರೆ ಇನ್ನೂ ಸಹಿ ಹಾಕಬಲ್ಲ ನೀಡುಗನಿದ್ದರೆ ತಿರುಗುವಿಕೆ ಮುಗಿದಿಲ್ಲ ಎಂದರ್ಥ. ಲೆಕ್ಕಪರಿಶೋಧನೆಗಾಗಿ ಪ್ರಮಾಣಪತ್ರಗಳು ಮತ್ತು ನೀಡುವಿಕೆ ದಾಖಲೆಗಳನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ. ಕಳೆದುಹೋದ ನೀಡುಗ ಅದೇ ನಂಬಿಕೆಗೆ ಮರುಸ್ಥಾಪನೆಯಾಗುತ್ತದೆ; ಬಹಿರಂಗವಾದರೆ ಹೊಸ ಗುರುತುಗಳು ಬೇಕು ಮತ್ತು ಹಳೆಯ ಆಂಕರ್‌ಗೆ ಮರಳುವಂತಿಲ್ಲ.

ಫಲಿತಾಂಶವನ್ನು ಪರಿಶೀಲಿಸಿ, ಕಡತಗಳ ಪಟ್ಟಿಯನ್ನಲ್ಲ

ನಿರೀಕ್ಷಿತ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿನ ನಂಬಿಕೆ ಕಡತ ಬಹಳ ಕಡಿಮೆ ಸಾಬೀತು ಮಾಡುತ್ತದೆ. ಅಪ್ಲಿಕೇಶನ್ ಬೇರೆ ಮಾರ್ಗ, ಬೇರೆ ಸ್ವರೂಪ ಅಥವಾ ನವೀಕರಣ ಬದಲಾಯಿಸುವ ಪ್ಯಾಕೇಜಿನೊಳಗಿನ ಪ್ರತಿಯನ್ನು ಓದಬಹುದು. ಕಡತ ಇದೆಯೇ ಎಂಬುದನ್ನಲ್ಲ, ಎರಡೂ ತುದಿಗಳ ವರ್ತನೆಯನ್ನು ಪರಿಶೀಲಿಸಿ.

ಹೊಸ ಗುರುತಿನೊಂದಿಗೆ ಹೊಸ ಸಂಪರ್ಕ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ, ನಂತರ ನಿವೃತ್ತ CA ನೀಡಿದ ಗುರುತು ನಿರಾಕರಿಸಲ್ಪಡುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ. ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಎರಡನೇ ಪರೀಕ್ಷೆ ಅದೇ, ಮತ್ತು ಹಳೆಯ ಪ್ರಾಧಿಕಾರ ಇನ್ನು ಪ್ರವೇಶ ನೀಡುವುದಿಲ್ಲ ಎಂದು ತೋರಿಸುವ ಏಕೈಕ ಪರೀಕ್ಷೆ. ನಿಯೋಜನೆ CRL ಅಥವಾ OCSP ಮೇಲೆ ಅವಲಂಬಿತವಾದಲ್ಲಿ, ಹೊಸ ಪ್ರಮಾಣಪತ್ರಗಳಲ್ಲಿನ ವಿತರಣಾ ಬಿಂದುಗಳು ಪರಿಹರಿಸಲ್ಪಡುತ್ತವೆಯೇ ಮತ್ತು ಕೇಳುವ ಸಹವರ್ತಿಗಳು ಪ್ರತಿಸ್ಪಂದಕರನ್ನು ತಲುಪುತ್ತಾರೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ.

ಎಂದೂ ಸಂಪರ್ಕಗೊಳ್ಳದ ಕ್ಲೈಂಟ್‌ನೊಂದಿಗೆ ಮುಗಿಸಿ: ಅದರ ಪ್ರೊಫೈಲ್ ಸ್ಥಿತಿಯನ್ನು ಅಳಿಸಿ, ಸಂಪರ್ಕಗೊಳಿಸಿ, ಮತ್ತು ಮಾತುಕತೆಯಾದ ಸರಪಳಿಯನ್ನು ಓದಿ. ಸಂಗ್ರಹಿತ ಅಧಿವೇಶನವನ್ನು ಮರುಸ್ಥಾಪಿಸುವ ಸಹವರ್ತಿ, ಏನನ್ನೂ ಪರಿಶೀಲಿಸದಿದ್ದರೂ ವಲಸೆ ಯಶಸ್ವಿಯಾಯಿತು ಎಂದು ಹರ್ಷದಿಂದ ವರದಿ ಮಾಡುತ್ತದೆ.