VPN സർട്ടിഫിക്കറ്റ് അതിന്റെ ഐഡന്റിറ്റി മാറ്റാതെ പുതുക്കുന്നു

ഐഡന്റിറ്റി മാറ്റുന്ന സർട്ടിഫിക്കറ്റ് പുതുക്കൽ പുതുക്കലല്ല, അത് അറ്റകുറ്റപ്പണി ടിക്കറ്റ് ധരിച്ച ഒരു കുടിയേറ്റമാണ്. ക്ലയന്റ് ഒരു പേര്, ഒരു ശൃംഖല, ചിലപ്പോൾ ഒരു നിർദ്ദിഷ്ട കീ എന്നിവ പരിശോധിക്കുന്നു, മൂന്നും കാലഹരണ തീയതി മാറാതെ മാറാം. പകരം അഭ്യർത്ഥിക്കുന്നതിന് മുമ്പ് ക്ലയന്റ് യഥാർത്ഥത്തിൽ എന്താണ് പരിശോധിക്കുന്നതെന്ന് എഴുതുക: ഹോസ്റ്റ്നാമോ പിയർ ഐഡന്റിറ്റിയോ, സർട്ടിഫിക്കറ്റിന്റെ ഉദ്ദേശ്യം, കീ നയം, ഇഷ്യൂ ചെയ്യുന്ന ശൃംഖല. പകരം ഏതാണ് മാറ്റുന്നത് എന്നതിനെ ആശ്രയിച്ച് പുതുക്കൽ സാധാരണമോ ഏകോപിതമോ ആകും.

മൂന്ന് വ്യവസ്ഥകൾ പുതുക്കലിന്റെ രൂപം തീരുമാനിക്കുന്നു

മൂന്ന് വ്യവസ്ഥകൾ ഇവയാണ്: എന്തെങ്കിലും ഇലയെ പിൻ ചെയ്യുന്നുണ്ടോ, ശൃംഖല മാറുന്നുണ്ടോ, പേര് മറ്റാർ പരിശോധിക്കുന്നു. CAയുടെ സൗകര്യത്തിൽ നിന്നല്ല, ക്ലയന്റിന്റെ വശത്തുനിന്ന് ഉത്തരം നൽകുക, കാരണം രാത്രി മൂന്ന് മണിക്ക് പരാജയപ്പെടുന്നത് ക്ലയന്റാണ്.

നിങ്ങളുടെ കൈവശമുള്ള സർട്ടിഫിക്കറ്റ് പരിശോധിച്ച് തുടങ്ങുക. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName വിഷയം, ഇഷ്യൂവർ, സാധുതാ വിൻഡോ, സർട്ടിഫിക്കറ്റ് യഥാർത്ഥത്തിൽ സാധുവായ പേരുകൾ എന്നിവ പ്രിന്റ് ചെയ്യുന്നു. ആ അവസാന ഫീൽഡാണ് ഏറ്റവും പ്രധാനവും ഏറ്റവും കൂടുതൽ അനുമാനിക്കപ്പെടുന്നതും: ക്ലയന്റ് ആശ്രയിക്കുന്ന ഒരു SAN ഒഴിവാക്കുന്ന പുതുക്കൽ അഭ്യർത്ഥന സാങ്കേതികമായി സാധുവായതും എന്നാൽ പ്രവർത്തനപരമായി തെറ്റായതുമായ സർട്ടിഫിക്കറ്റ് നൽകുന്നു. പഴയ സർട്ടിഫിക്കറ്റിൽ നിന്നുള്ള SAN പട്ടിക ഓർമ്മയിൽ നിന്ന് വീണ്ടും ടൈപ്പ് ചെയ്യുന്നതിന് പകരം അഭ്യർത്ഥനയിലേക്ക് പകർത്തുക.

ഒന്നാം വ്യവസ്ഥ: എന്തെങ്കിലും ഇലയെ പിൻ ചെയ്യുന്നുണ്ടോ

ക്ലയന്റുകൾ പരിപാലിക്കുന്ന CAയെ വിശ്വസിക്കുകയും പേര് പരിശോധിക്കുകയും ചെയ്താൽ, പുതിയ കീ ഉപയോഗിച്ചുള്ള ഇല പുതുക്കൽ അവർക്ക് അദൃശ്യമാണ്. ഏതെങ്കിലും ക്ലയന്റ് ഇല സർട്ടിഫിക്കറ്റ്, അതിന്റെ ഫിംഗർപ്രിന്റ്, അല്ലെങ്കിൽ അതിന്റെ പൊതു കീ എന്നിവ പിൻ ചെയ്താൽ, പകരം കഠിനമായ മാറ്റത്തോടുകൂടിയ ഏകോപിത മാറ്റമാണ്, കാരണം പഴയ പിൻ പുതിയ സർട്ടിഫിക്കറ്റ് സാധൂകരിക്കാനാവില്ല.

എന്തെങ്കിലും ഓർഡർ ചെയ്യുന്നതിന് മുമ്പ് നിങ്ങൾ ഏത് സാഹചര്യത്തിലാണെന്ന് കണ്ടെത്തുക. ആരും രേഖപ്പെടുത്താത്ത ഒരു പിൻ തകരുമ്പോഴും പിൻ തന്നെയാണ്.

രണ്ടാം വ്യവസ്ഥ: പിന്നുകളും ശൃംഖലയും താരതമ്യം ചെയ്യുക

ഫിംഗർപ്രിന്റുകൾ പിൻ പരിശോധിക്കാവുന്നതാക്കുന്നു: പഴയതും പുതിയതുമായ സർട്ടിഫിക്കറ്റിൽ openssl x509 -noout -fingerprint -sha256 -in server.crt, പൊതു കീകൾ താരതമ്യം ചെയ്യാൻ openssl x509 -noout -pubkey. ക്ലയന്റ് കോൺഫിഗറേഷൻ, മൊബൈൽ പ്രൊഫൈൽ, അല്ലെങ്കിൽ ഒരു ഉപകരണത്തിന്റെ വിശ്വാസ സ്റ്റോർ എന്നിവയിൽ ഏതെങ്കിലും മൂല്യം ഉണ്ടെങ്കിൽ നിങ്ങൾക്ക് ഒരു പിൻ ഉണ്ട്. മൊബൈൽ VPN പ്രൊഫൈലുകൾ സാധാരണ ഒളിസ്ഥലമാണ്, കാരണം പ്രൊഫൈൽ ഒരിക്കൽ വിതരണം ചെയ്യപ്പെടുന്നു, പിന്നീട് ഒരിക്കലും പരിശോധിക്കപ്പെടുന്നില്ല.

പകരം അതേ ഇന്റർമീഡിയറ്റിൽ നിന്നാണ് വരുന്നതെങ്കിൽ, ക്ലയന്റിന് ആ ഇന്റർമീഡിയറ്റ് ഇതിനകം ഉണ്ടെങ്കിൽ അല്ലെങ്കിൽ അത് നേടാനാകുമെങ്കിൽ, വിശ്വാസത്തിന്റെ വശത്ത് ഒന്നും മാറുന്നില്ല. പുതിയ ഇന്റർമീഡിയറ്റ്, വേറെ ഇഷ്യൂവർ, അല്ലെങ്കിൽ തെറ്റായ ക്രമത്തിൽ എത്തിച്ച ശൃംഖല എന്നിവ പുതുക്കലിനെ വിശ്വാസ മാറ്റമാക്കി മാറ്റുന്നു, പരാജയം കാലഹരണപ്പെട്ട സർട്ടിഫിക്കറ്റിനെക്കാൾ അജ്ഞാത ഇഷ്യൂവറെപ്പോലെ തോന്നുന്നു.

സെർവർ യഥാർത്ഥത്തിൽ അയയ്ക്കുന്ന ശൃംഖല openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts ഉപയോഗിച്ച് പരിശോധിക്കുക, openssl verify -CAfile ca.pem -untrusted chain.pem server.crt ഉപയോഗിച്ച് പ്രാദേശികമായി സാധൂകരിക്കുക. മാറ്റത്തിന് മുമ്പ് അത് ചെയ്യുന്നത് പിന്നീട് താരതമ്യം ചെയ്യാൻ ഒരു അടിസ്ഥാന രേഖ നൽകുന്നു.

മൂന്നാം വ്യവസ്ഥ: പേര് മറ്റാർ പരിശോധിക്കുന്നു

VPN കോൺസെൻട്രേറ്റർ, ലോഡ് ബാലൻസർ, മോണിറ്ററിംഗ് പ്രോബ്, RADIUS അല്ലെങ്കിൽ SAML സംയോജനം, മൊബൈൽ പ്രൊഫൈൽ എന്നിവയിൽ ഓരോന്നിനും പ്രതീക്ഷിക്കുന്ന പേരിന്റെയോ വിശ്വാസ അങ്കറിന്റെയോ സ്വന്തം പകർപ്പ് സൂക്ഷിക്കാം. ആ പകർപ്പുകൾ വേർതിരിയുന്ന നിമിഷമാണ് പുതുക്കൽ, കാരണം സർട്ടിഫിക്കറ്റ് മാറുന്നു, പകർപ്പുകൾ മാറുന്നില്ല.

മാറ്റത്തിന് മുമ്പ് ഓരോ ഉപഭോക്താവിനെയും പട്ടികപ്പെടുത്തി ഓരോന്നിനും അപ്ഡേറ്റ് ആവശ്യമാണോ എന്ന് തീരുമാനിക്കുക. നിങ്ങൾ മറക്കുന്നതാണ് നിങ്ങളെ വിളിക്കുന്നത്.

ഒരു സമയ കെണിയുമുണ്ട്. കാലഹരണത്തോടൊപ്പം സാധുതയുടെ തുടക്കവും പരിശോധിക്കുക, കാരണം പിന്നീടുള്ള സജീവമാക്കലിനായി തയ്യാറാക്കിയ സർട്ടിഫിക്കറ്റ് വളരെ നേരത്തെ ഇൻസ്റ്റാൾ ചെയ്താൽ നിരസിക്കപ്പെടും, പിശക് തയ്യാറെടുപ്പ് പ്രശ്നത്തെക്കാൾ ക്ലോക്ക് പ്രശ്നമായി തോന്നും. വിന്യസിക്കുന്നതിന് മുമ്പ് പുതിയ ഫയലിൽ openssl x509 -noout -dates രണ്ട് സെക്കൻഡ് പരിശോധനയാണ്. പിന്തുണയുള്ള വീണ്ടെടുക്കൽ പാതയും അറിയപ്പെടുന്ന നല്ല കോൺഫിഗറേഷനും സൂക്ഷിക്കുക, അതുവഴി തെറ്റിപ്പോകുന്ന പുതുക്കൽ മുൻ സർട്ടിഫിക്കറ്റും കീയും പുനഃസ്ഥാപിച്ച് തിരിച്ചുമാറ്റാനാകും.

വിന്യസിക്കുക, പുതിയ പ്രാമാണീകരണത്തോടെ സാധൂകരിക്കുക, പിന്നീട് പിൻവലിക്കുക

സ്ഥാപിതമായ ഒരു ടണൽ നിർമ്മിക്കപ്പെട്ടപ്പോൾ നടന്ന സാധൂകരണം പ്രതിഫലിപ്പിക്കുന്നു, അതിനാൽ ഓരോ പുതിയ കണക്ഷനും പരാജയപ്പെടുമ്പോഴും അത് ആരോഗ്യകരമായി തോന്നാം. ക്ലയന്റുകൾ ഉപയോഗിക്കുന്ന യഥാർത്ഥ സേവന നാമം ഉപയോഗിച്ച് പുതിയ പ്രാമാണീകരണത്തോടെ പരീക്ഷിക്കുക.

ഉപയോക്താവിന് പ്രധാനമായ ആപ്ലിക്കേഷൻ തലത്തിലുള്ള പരിശോധന പൂർത്തിയാക്കുക, ശൃംഖലയുടെ ഡെലിവറി സെർവറിന്റെ വീക്ഷണകോണിൽ നിന്നല്ല, ക്ലയന്റിന്റെ വീക്ഷണകോണിൽ നിന്ന് സ്ഥിരീകരിക്കുക. പരിവർത്തനം ശാന്തമായി നിലനിർത്താൻ പേരിന്റെയോ സർട്ടിഫിക്കറ്റിന്റെയോ പരിശോധനകൾ അടിച്ചമർത്തരുത്; അത് താൽക്കാലിക അനുയോജ്യത പ്രശ്നത്തെ സ്ഥിരമായതാക്കുന്നു.

വിന്യാസം സ്ഥിരീകരിച്ചതിന് ശേഷം മാത്രം കാലഹരണപ്പെട്ട വസ്തുക്കൾ പിൻവലിക്കുക, ഒപ്പം വിട്ടുപോയ കീയെ തികച്ചും വ്യത്യസ്തമായ ഒരു കേസായി കാണുക: പുതുക്കൽ മാത്രം ഒന്നും റദ്ദാക്കുന്നില്ല, അതിനാൽ ബാധിത ഐഡന്റിറ്റിക്ക് വിന്യാസത്തിന്റെ റദ്ദാക്കലും സെഷൻ കൈകാര്യം ചെയ്യലും ആവശ്യമാണ്. RFC 5280 ഇവയെല്ലാം അടിവരയിടുന്ന സർട്ടിഫിക്കറ്റ്, പാത്ത് സാധൂകരണ നിയമങ്ങൾ നിർവചിക്കുന്നു. സാധാരണ ഇല പുതുക്കൽ CA മാറ്റത്തിൽ നിന്ന് വേർതിരിച്ച് സൂക്ഷിക്കുക, അതുവഴി ക്ലയന്റുകളോട് കാരണമില്ലാതെ പുതിയ ഇഷ്യൂവറെ വിശ്വസിക്കാൻ ആവശ്യപ്പെടില്ല.