AWS Client VPN: സെർവർ സർട്ടിഫിക്കറ്റും ക്ലയന്റ് സർട്ടിഫിക്കറ്റിന്റെ പങ്കും
എൻഡ്‌പോയിന്റിന്റെ സെർവർ സർട്ടിഫിക്കറ്റ് സേവനം തെളിയിക്കുന്നു. പരസ്പര പ്രാമാണീകരണം സെർവറിന്റെ കീ പങ്കിടാതെ ഓരോ ക്ലയന്റിന്റെയും ഐഡന്റിറ്റിയും CA വിശ്വാസവും ചേർക്കുന്നു.
Client VPN എൻഡ്‌പോയിന്റിന് എപ്പോഴും TLS സെർവർ സർട്ടിഫിക്കറ്റ് ആവശ്യമാണ്. ക്ലയന്റ് കണക്ട് ചെയ്യുമ്പോൾ മാനേജ്ഡ് എൻഡ്‌പോയിന്റ് കാണിക്കുന്ന ഐഡന്റിറ്റി അതാണ്. പരസ്പര പ്രാമാണീകരണം ഉപയോഗിക്കുമ്പോൾ വ്യക്തിഗത ക്ലയന്റുകൾ കാണിക്കുന്ന സർട്ടിഫിക്കറ്റുകളിൽ നിന്ന് ഇത് വ്യത്യസ്ത വസ്തുവാണ്. ഇവ രണ്ടും കൂട്ടിക്കുഴയ്ക്കുന്നതാണ്, മറ്റെല്ലാം ശരിയായ ACM ക്രമീകരണം ആദ്യ കണക്ഷനിൽത്തന്നെ പരാജയപ്പെടാൻ ഏറ്റവും സാധാരണ കാരണം.
താഴെ കൺസോളിൽ നിന്ന് പുറത്തേക്ക്, ഒരു കണക്ഷൻ യഥാർത്ഥത്തിൽ പോകുന്ന ക്രമത്തിൽത്തന്നെ ഒരു ചുറ്റ് ഉണ്ട്.
രണ്ട് പങ്കുകൾ, ഒരു എൻഡ്‌പോയിന്റ്
എൻഡ്‌പോയിന്റിന് സെർവർ ഐഡന്റിറ്റി ഉണ്ട്, വേണമെങ്കിൽ ക്ലയന്റ് ഐഡന്റിറ്റികൾ പരിശോധിക്കാനുള്ള വഴിയും ഉണ്ട്. ഇവ വെവ്വേറെ ക്രമീകരിക്കുന്നു. ഒന്ന് ക്ലയന്റിന് സേവനത്തിൽ വിശ്വസിക്കാമോ എന്ന് തീരുമാനിക്കുന്നു; മറ്റൊന്ന് സേവനം ക്ലയന്റിനെ സ്വീകരിക്കുന്നുണ്ടോ എന്ന് തീരുമാനിക്കുന്നു.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
പട്ടികയെ ഒരു സർട്ടിഫിക്കറ്റായല്ല, മൂന്ന് സ്വതന്ത്ര ആവശ്യകതകളായി വായിക്കുക. സെർവർ സർട്ടിഫിക്കറ്റും അതിന്റെ സ്വകാര്യ കീയും സേവനത്തിന്റെ പക്കലാണ്. ക്ലയന്റ് സർട്ടിഫിക്കറ്റും അതിന് ചേരുന്ന സ്വകാര്യ കീയും ഉപകരണത്തിലാണ്. CA വസ്തു എന്നത് പരിശോധകൻ ശൃംഖല പരിശോധിക്കാൻ ഉപയോഗിക്കുന്നതാണ്. ലാപ്‌ടോപ്പിൽ എപ്പോഴും നടുവരി മാത്രമേ വരൂ.
ACM സെർവർ സർട്ടിഫിക്കറ്റ് എന്ത് ചെയ്യുന്നു
എൻഡ്‌പോയിന്റ് സൃഷ്ടിക്കുമ്പോൾ സെർവർ സർട്ടിഫിക്കറ്റ് ACM ൽ എൻഡ്‌പോയിന്റ് ഉള്ള അതേ പ്രദേശത്ത് ലഭ്യമായിരിക്കണം. കൺസോൾ ARN ചോദിക്കുന്നു, ആ ARN അവിടെത്തന്നെ പരിഹരിക്കപ്പെടണം. ACM ഡൊമെയിൻ പരിശോധനയോടെ ലഭിച്ച സർട്ടിഫിക്കറ്റോ കീയും ശൃംഖലയും സഹിതം ഇറക്കുമതി ചെയ്തതോ സൂക്ഷിക്കാം. രണ്ടും ഈ പങ്കിൽ പ്രവർത്തിക്കുന്നു; വ്യത്യാസം പുതുക്കലിലും സ്വകാര്യ കീ ആരുടെ കൈവശമുണ്ട് എന്നതിലുമാണ്.
സർട്ടിഫിക്കറ്റ് ആർക്ക് പുതുക്കാനാകുമോ അവർക്ക് യോജിക്കുന്ന സമ്പാദന വഴി തിരഞ്ഞെടുക്കുക, യാദൃച്ഛികമായി സാധുവായി തോന്നുന്ന ഫയൽ ഉണ്ടാക്കിയ വഴിയല്ല.
പരസ്പര പ്രാമാണീകരണം എന്ത് ചേർക്കുന്നു
സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ ക്ലയന്റ് പ്രാമാണീകരണം തിരഞ്ഞെടുക്കുന്നത് രണ്ടാം ചോദ്യം ചേർക്കുന്നു: ഏത് ക്ലയന്റുകൾക്ക് കണക്ട് ചെയ്യാം. ഓരോ ക്ലയന്റും സ്വന്തം സർട്ടിഫിക്കറ്റ് കാണിച്ച് ചേരുന്ന സ്വകാര്യ കീ തന്റെ പക്കലുണ്ടെന്ന് തെളിയിക്കുന്നു. വേറിട്ട ഐഡന്റിറ്റികളാണ് പിന്നീട് തിരഞ്ഞെടുത്ത് റദ്ദാക്കാൻ സാധ്യമാക്കുന്നത്. ഒരു ക്ലയന്റ് കീ ഓരോ ഉപകരണത്തിലേക്കും പകർത്തുന്നത് ആ ഗുണം നിശബ്ദമായി ഉപേക്ഷിക്കുന്നു, സെർവർ സർട്ടിഫിക്കറ്റ് തികച്ചും ശരിയായി ലഭിച്ചിരുന്നാലും.
എൻഡ്‌പോയിന്റിന്റെ പ്രാമാണീകരണ രീതി ഒരു തിരഞ്ഞെടുപ്പാണ്, സാർവത്രിക ആവശ്യകതയല്ല.
Active Directory, ഫെഡറേറ്റഡ് പ്രാമാണീകരണം എന്നിവ അതേ ചോദ്യത്തിന് മറ്റ് മാർഗങ്ങളിലൂടെ ഉത്തരം നൽകുന്നു. പരസ്പര സർട്ടിഫിക്കറ്റ് രീതി ആ വിന്യാസങ്ങൾക്ക് സ്വയമേവ ലോഗിൻ രൂപകൽപ്പനയാകുന്നില്ല, ഉപയോക്താവിനെ എങ്ങനെ അകത്തേക്ക് കൊണ്ടുവന്നാലും സെർവറിന്റെ TLS പരിശോധന നിലനിൽക്കുന്നു.
ഒരേ CA ARN കീ പങ്കിടലല്ലാത്തതെന്തുകൊണ്ട്
AWS രേഖപ്പെടുത്തുന്നത്, സെർവർ, ക്ലയന്റ് സർട്ടിഫിക്കറ്റുകൾ ഒരേ CA നൽകുമ്പോൾ സെർവർ സർട്ടിഫിക്കറ്റിന്റെ ARN ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുക്കാനും ഉപയോഗിക്കാമെന്നാണ്. ആ വാക്യം എൻഡ്‌പോയിന്റ് പരിശോധനയിൽ വിശ്വസിക്കുന്ന ശൃംഖലയെക്കുറിച്ചാണ്. അത് ക്ലയന്റുകളോട് സെർവറിന്റെ സ്വകാര്യ കീ ഉപയോഗിക്കാൻ പറയുന്നില്ല. ലാപ്‌ടോപ്പിന് ഇപ്പോഴും സ്വന്തം ക്ലയന്റ് സർട്ടിഫിക്കറ്റും സ്വന്തം ചേരുന്ന കീയും ആവശ്യമാണ്.
ക്ലയന്റിന്റെ CA മറ്റൊരു നൽകുന്നയാളാകുമ്പോൾ, രേഖപ്പെടുത്തിയ വഴി ആ CA ACM ലേക്ക് ഇറക്കുമതി ചെയ്ത് ക്ലയന്റ് പങ്കിന് അത് തിരഞ്ഞെടുക്കുന്നതാണ്.
പരാജയത്തെ ഒരു ഘട്ടത്തിലേക്ക് തിരികെ കൊണ്ടുപോകുക
എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് ഏത് ഘട്ടമാണ് പരാജയപ്പെടുന്നതെന്ന് തീരുമാനിക്കുക. ക്ലയന്റ് എൻഡ്‌പോയിന്റിനെ നിരസിച്ചാൽ സംശയാസ്പദമായത് സെർവറിന്റെ ARN അല്ലെങ്കിൽ അതിന്റെ ശൃംഖലയാണ്. എൻഡ്‌പോയിന്റ് ക്ലയന്റിനെ നിരസിച്ചാൽ ക്ലയന്റ് സർട്ടിഫിക്കറ്റ്, അതിന്റെ നൽകുന്നയാൾ, തിരഞ്ഞെടുത്ത പ്രാമാണീകരണ രീതി എന്നിവ നോക്കുക. ടണൽ ഉയർന്നു ട്രാഫിക് ഇപ്പോഴും പരാജയപ്പെടുന്നുവെങ്കിൽ നിങ്ങൾ സർട്ടിഫിക്കറ്റുകൾ കടന്നുകഴിഞ്ഞു.
ഒരു സമയത്ത് ഒരു വസ്തു മാത്രം മാറ്റുക, കാരണം രണ്ട് അറ്റങ്ങളും ഒരുമിച്ച് മാറ്റുന്നത് നിങ്ങൾ തുടങ്ങിയ അതേ അവ്യക്തത വീണ്ടും സൃഷ്ടിക്കുന്നു.
ആ പ്രത്യേക പങ്കിന് സേവനം പിന്തുണയ്ക്കുന്ന കീ അൽഗോരിതങ്ങളും ആവശ്യമായ വിപുലീകരണങ്ങളും പരിശോധിക്കുക. പൊതു വെബ്‌സൈറ്റിനെ തൃപ്തിപ്പെടുത്തുന്ന സർട്ടിഫിക്കറ്റ് Client VPN ന്റെ എല്ലാ ഐഡന്റിറ്റി ആവശ്യകതകളും പൂർത്തിയായതിന്റെ തെളിവല്ല.
ഏത് ഫീൽഡ് ഏത് ARN കൈവശം വയ്ക്കുന്നു, ഏത് CA ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് നൽകി, എൻഡ്‌പോയിന്റ് യഥാർത്ഥത്തിൽ ഏത് പ്രാമാണീകരണ രീതി ഉപയോഗിക്കുന്നു എന്ന് എഴുതുക. മൂന്ന് വരി രേഖ അടുത്ത പുതുക്കലിനെ അന്വേഷണത്തിന് പകരം ഒരു ജോലിയാക്കി മാറ്റുന്നു.