പ്രമാണപത്രങ്ങൾ സാധുവായിരിക്കെ പുതിയ VPN ലോഗിനുകൾ പരാജയപ്പെടുന്നു: CRL പരിശോധിക്കുക

മാസങ്ങൾ ബാക്കിയുള്ള പ്രമാണപത്രങ്ങളും ഉടൻ പരാജയപ്പെടുന്ന ലോഗിനുകളും വ്യത്യസ്ത ഘടികാരങ്ങളുള്ള രണ്ട് വ്യത്യസ്ത വസ്തുക്കളിലേക്ക് വിരൽ ചൂണ്ടുന്നു. സർവർ കണക്ഷനുകൾ നിരസിക്കുന്നത് അത് ആശ്രയിക്കുന്ന റദ്ദാക്കിയ പ്രമാണപത്രങ്ങളുടെ പട്ടിക അതിന്റെ സ്വന്തം കാലഹരണ തീയതി കടന്നതിനാലാണ്, ഉപയോക്താക്കളുടെ പ്രമാണപത്രങ്ങൾ പഴകിയതിനാലല്ല. ഉപയോക്തൃ പ്രമാണപത്രം പുതുക്കുന്നത് ആ പട്ടികയ്ക്ക് ഒന്നും ചെയ്യുന്നില്ല.

രണ്ട് സമയക്രമങ്ങൾ വേർതിരിക്കുന്നതാണ് മുഴുവൻ രോഗനിർണ്ണയം, അത് പരിഹാരം എങ്ങനെയായിരിക്കണം എന്ന് മാറ്റുന്നു.

രണ്ട് ഘടികാരങ്ങൾ, അവയിൽ ഒന്ന് മാത്രമാണ് പ്രമാണപത്രം

ഒരു പ്രമാണപത്രത്തിന് സാധുതാ ജാലകമുണ്ട്. പ്രമാണപത്ര റദ്ദാക്കൽ പട്ടികയ്ക്ക് അതിന്റേതായ ജാലകവും ഒപ്പം ഒരു ഇഷ്യൂവറും ഒപ്പും ഉണ്ട്, അടുത്ത അപ്ഡേറ്റ് സമയം കഴിഞ്ഞ പട്ടികയിൽ വിശ്വസിക്കാൻ പരിശോധകർ വിസമ്മതിക്കുന്നു. അത് സംഭവിക്കുമ്പോൾ ക്ലൈന്റ് തികച്ചും സാധുവായ ഒരു പ്രമാണപത്രം അവതരിപ്പിക്കുന്നു, എന്നിട്ടും സർവർ പട്ടികയെക്കുറിച്ചുള്ള ഒരു സന്ദേശത്തോടെ കണക്ഷൻ വിച്ഛേദിക്കുന്നു. ഉപയോക്താക്കൾ ആ സന്ദേശം 'പ്രമാണപത്രം കാലഹരണപ്പെട്ടു' എന്ന് വായിക്കുന്നു, അത് പുതുക്കൽ അഭ്യർത്ഥന തെറ്റായ സ്ഥലത്തേക്ക് അയയ്ക്കുന്നു.

രണ്ട് വസ്തുക്കൾക്ക് വ്യത്യസ്ത ഉടമകളുമുണ്ട്: പ്രമാണപത്രം അത് പുറപ്പെടുവിച്ച CA-യിൽ നിന്ന് വരുന്നു, അതേസമയം പട്ടിക ആ CA പ്രവർത്തിപ്പിക്കുന്നയാൾ ഒരു സമയക്രമപ്രകാരം സൃഷ്ടിക്കുന്നു. ഉപയോക്താവിന് അത് പുതുക്കാനാവില്ല, പ്രമാണപത്രങ്ങൾ വീണ്ടും പുറപ്പെടുവിക്കുന്നതിന് അത് നീട്ടാനാവില്ല.

സേവനം യഥാർത്ഥത്തിൽ ലോഡ് ചെയ്യുന്ന പട്ടിക വായിക്കുക

നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന ഫയലിൽ നിന്നല്ല, പ്രവർത്തിക്കുന്ന കോൺഫിഗറേഷനിൽ നിന്ന് തുടങ്ങുക. crl-verify ന്റെ പാത കേവലമോ പ്രൊഫൈലുമായി ബന്ധപ്പെട്ടതോ ഒരു ഇമേജിൽ ഉൾച്ചേർത്ത പകർപ്പോ ആകാം, പരിശോധകൻ ആ പകർപ്പാണ് വായിക്കുന്നത്. അത് അതിന്റെ സ്ഥാനത്തുതന്നെ openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate ഉപയോഗിച്ച് പരിശോധിച്ച് തീയതികൾ സർവറിന്റെ ഘടികാരവുമായി താരതമ്യം ചെയ്യുക.

തുടർന്ന് ഫയൽ യഥാർത്ഥത്തിൽ ഉപയോഗത്തിലുള്ളതാണെന്ന് സ്ഥിരീകരിക്കുക: openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout ഉപയോഗിച്ച് അതിന്റെ ഒപ്പ് പരിശോധിക്കുക, അത് ഫീൽഡുകൾ നിശ്ശബ്ദമായി അച്ചടിക്കുന്നതിനുപകരം പരിശോധനാ ഫലം റിപ്പോർട്ട് ചെയ്യുന്നു. മറ്റൊരു CA ഒപ്പിട്ട പട്ടികയോ രണ്ടാം ഡയറക്ടറിയിൽ അവശേഷിച്ച പഴയ പകർപ്പോ കാലഹരണപ്പെട്ട പട്ടികയെപ്പോലെതന്നെ പരാജയപ്പെടുന്നു.

പൂജ്യത്തിൽ നിന്നല്ല, റദ്ദാക്കൽ ഡാറ്റാബേസിൽ നിന്ന് വീണ്ടും സൃഷ്ടിക്കുക

പുതിയ പട്ടിക CA-യുടെ നിലവിലെ റദ്ദാക്കൽ ഡാറ്റാബേസിൽ നിന്ന്, അംഗീകൃത ഒപ്പിടൽ പ്രക്രിയയിലൂടെ വരണം. ശൂന്യമായ പട്ടിക സൃഷ്ടിക്കുന്നതോ ഇൻഡക്സിന്റെ പഴയ ബാക്കപ്പിൽ നിന്ന് വീണ്ടും സൃഷ്ടിക്കുന്നതോ ആ ബാക്കപ്പിന് ശേഷം ചേർത്ത ഓരോ ഐഡന്റിറ്റിയുടെയും റദ്ദാക്കൽ നിശ്ശബ്ദമായി റദ്ദ് ചെയ്യുന്നു. അത് ലോഗിൻ തടസ്സത്തെ സുരക്ഷാ പിന്നോക്കാവസ്ഥയാക്കി മാറ്റുന്നു, ലക്ഷണം അപ്രത്യക്ഷമാകുന്നതിനാൽ ആരും ശ്രദ്ധിക്കുന്നുമില്ല.

സൃഷ്ടാന ഘട്ടം CA-യുടെ ബാക്കിയുള്ള ടൂളിംഗിനൊപ്പം പതിപ്പ് നിയന്ത്രണത്തിൽ സൂക്ഷിക്കുക, ഇടവേളയും ഒപ്പിടൽ കീയും ഓർമ്മയിൽ സൂക്ഷിക്കുന്നതിനുപകരം രേഖപ്പെടുത്തപ്പെടുന്നതിന്. കമാൻഡ്, ഒപ്പിടുന്നയാൾ, പ്രസിദ്ധീകരണ ലക്ഷ്യം എന്നിവ പേരെടുക്കുന്ന ഒരു റൺബുക്ക് എൻട്രി മതി. അപ്പോൾ ഡ്യൂട്ടിയിലുള്ള ആർക്കും ഏത് ഇൻഡക്സ് ഫയലാണ് അധികാരമുള്ളതെന്ന് ഊഹിക്കാതെ വീണ്ടും സൃഷ്ടിക്കാം. പട്ടികയുടെ സീരിയൽ നമ്പറും അടുത്ത അപ്ഡേറ്റ് സമയവും വിന്യാസ രേഖയ്ക്കൊപ്പം സൂക്ഷിക്കുക.

പരിശോധകൻ നോക്കുന്നിടത്ത് വിന്യസിക്കുക

പുതിയ പട്ടിക സേവനം വായിക്കുന്ന പാതയിലേക്ക് പകർത്തുക, സേവന അക്കൗണ്ടിന് അത് വായിക്കാനാകുകയും മറ്റുള്ളവർക്ക് കഴിയാതിരിക്കുകയും ചെയ്യുന്ന വിധത്തിൽ ഉടമസ്ഥതയും മോഡും സജ്ജമാക്കുക, തുടർന്ന് രേഖപ്പെടുത്തിയ സ്വഭാവമനുസരിച്ച് വീണ്ടും ലോഡ് ചെയ്യുകയോ പുനരാരംഭിക്കുകയോ ചെയ്യുക. ഡീമൺ പ്രാരംഭത്തിൽ പട്ടിക കാഷെ ചെയ്യുന്നുവെങ്കിൽ, വീണ്ടും ലോഡ് ചെയ്യാതെ ഫയൽ മാറ്റിസ്ഥാപിക്കുന്നത് പ്രവർത്തിക്കുന്ന പ്രക്രിയ ശ്രദ്ധിക്കുന്ന ഒന്നും മാറ്റുന്നില്ല. വീണ്ടും ലോഡ് ചെയ്ത ശേഷം പ്രക്രിയ റിപ്പോർട്ട് ചെയ്യുന്ന ടൈംസ്റ്റാമ്പ് സ്ഥിരീകരിക്കുക.

നിരവധി സേവനങ്ങൾ ക്ലൈന്റുകളെ പരിശോധിക്കുന്നുവെങ്കിൽ, ഓരോന്നിലും വിന്യസിക്കുക. ഒരു എൻഡ്പോയിന്റ് അപ്ഡേറ്റ് ചെയ്ത് മറ്റൊന്ന് പഴയ പകർപ്പോടെ വിട്ടാൽ രണ്ടാമത്തേതിൽ എത്തുന്ന ഉപയോക്താക്കൾക്ക് മാത്രം കാണുന്ന ഒരു പരാജയം ഉണ്ടാകുന്നു. ആ എൻഡ്പോയിന്റുകളുടെ ചെറിയ പട്ടിക അതേ റൺബുക്കിൽ സൂക്ഷിക്കുക. വിന്യാസത്തിനുശേഷം പകർപ്പ് എത്തിയെന്ന് അനുമാനിക്കുന്നതിനുപകരം ഓരോന്നിന്റെയും റിപ്പോർട്ട് ചെയ്ത പട്ടിക തീയതി പരിശോധിക്കുക.

അടുത്ത സമയപരിധി കഴിയുന്നതിന് മുമ്പ് ദൃശ്യമാക്കുക

നീണ്ട പ്രസിദ്ധീകരണ ഇടവേള ഒരു പ്രക്രിയ സൃഷ്ടിക്കാതെ ഈ സംഭവത്തിന്റെ ആവൃത്തി കുറയ്ക്കുന്നു. ഓപ്പറേറ്ററുടെ നയത്തിൽ നിന്ന് ഇടവേള തിരഞ്ഞെടുത്ത്, വീണ്ടും സൃഷ്ടിക്കാനും വിന്യസിക്കാനും മതിയായ സമയത്തോടെ വിന്യസിച്ച പട്ടികയുടെ അടുത്ത-അപ്ഡേറ്റ് ഫീൽഡിൽ അലേർട്ട് ഇടുക. വിന്യസിച്ച പകർപ്പിലാണ് അലേർട്ട് ഇടേണ്ടത്, CA ഹോസ്റ്റിലല്ല, കാരണം വിന്യസിച്ച പകർപ്പാണ് പരാജയപ്പെടുന്നത്.

വിന്യാസത്തിനുശേഷം രണ്ട് ദിശകളും പരിശോധിക്കുക: അനുവദിക്കപ്പെട്ട ഉപയോക്താവ് കണക്റ്റ് ചെയ്യുന്നു, അറിയപ്പെടുന്ന റദ്ദാക്കിയ ഐഡന്റിറ്റി ഇപ്പോഴും പരാജയപ്പെടുന്നു. രണ്ടാമത്തെ പരിശോധനയാണ് അപൂർണ്ണമായ പുനഃസൃഷ്ടി പിടികൂടുന്നത്, അതിന് ഈ ഉദ്ദേശത്തിനായി മാത്രം സൂക്ഷിക്കുന്ന ഒരു പരീക്ഷണ പ്രൊഫൈലിനെതിരെ ഒരു കമാൻഡ് മതി.