റദ്ദാക്കിയ ക്ലയന്റ് ഇപ്പോഴും ബന്ധിപ്പിക്കുന്നു: പട്ടിക ഒരിക്കലും എത്തിയില്ല
റദ്ദാക്കൽ സർട്ടിഫിക്കറ്റ് പരിശോധനയുടെ ഇൻപുട്ടാണ്, സെഷൻ അവസാനിപ്പിക്കുന്ന കമാൻഡ് അല്ല. പുതിയ കണക്ഷനും പ്രവർത്തിക്കുന്ന ടണലും പട്ടികയെ എങ്ങനെ കാണുന്നു എന്ന് താരതമ്യം ചെയ്യുക.
റദ്ദാക്കൽ ഒരിക്കലും പ്രവർത്തിക്കുന്ന ടണലിൽ കടന്ന് സെഷൻ മായ്ക്കുന്നില്ല. പട്ടിക സർട്ടിഫിക്കറ്റ് പരിശോധനയുടെ ഇൻപുട്ടാണ്, TLS സെഷൻ തുടങ്ങുന്ന കൺട്രോൾ ചാനൽ കൈമാറ്റത്തിൽ ഇത് പരിശോധിക്കുന്നു. ഈ ഒരു വസ്തുത രണ്ട് അത്ഭുതങ്ങളെ വിശദീകരിക്കുന്നു: റദ്ദാക്കിയ ക്ലയന്റ് വീണ്ടും ബന്ധിപ്പിക്കുന്നു, കാരണം പട്ടിക ഒരിക്കലും പരിശോധകനിലേക്ക് എത്തിയില്ല, കൂടാതെ നിലവിലുള്ള സെഷൻ അതിജീവിക്കുന്നു, കാരണം ആരും ഒന്നും വീണ്ടും പരിശോധിച്ചില്ല.
പട്ടിക ഒരു ഇൻപുട്ടാണ്, പ്രവർത്തനമല്ല
സെഷൻ സ്ഥാപിക്കുമ്പോൾ സെർവർ ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് സ്വന്തം വിശ്വാസ ആങ്കറുകൾക്കെതിരെ സാധൂകരിക്കുന്നു, റദ്ദാക്കൽ നിർദ്ദേശം ആ തീരുമാനത്തിൽ ഒരു പട്ടിക അന്വേഷണം ചേർക്കുന്നു. പരിശോധന സെർവറിൽ നടക്കുന്നു, അതിനാൽ തന്റെ സർട്ടിഫിക്കറ്റ് റദ്ദാക്കിയത് ക്ലയന്റിന് കാണാനാകില്ല, അതേ സർട്ടിഫിക്കറ്റ് തന്നെ നൽകുന്നു. അതിനാൽ ഇപ്പോഴും ബന്ധിപ്പിക്കുന്ന പ്രൊഫൈൽ ഏതോ പരിശോധകൻ ചങ്ങല സ്വീകരിച്ചു എന്ന് മാത്രം തെളിയിക്കുന്നു, റദ്ദാക്കൽ പരാജയപ്പെട്ടു എന്നല്ല.
പട്ടിക തന്നെ ഒരു ഒപ്പിട്ട വസ്തുവാണ്, അതിന് ഇഷ്യൂ തീയതിയും അടുത്ത അപ്ഡേറ്റ് തീയതിയും ഉണ്ട്. ബന്ധമില്ലാത്ത പട്ടിക, മറ്റൊരു അധികാരി ഒപ്പിട്ട പട്ടിക, അല്ലെങ്കിൽ അടുത്ത അപ്ഡേറ്റ് തീയതി കഴിഞ്ഞ പട്ടിക ഇപ്പോഴത്തേതിന് പകരമല്ല, കാലഹരണപ്പെട്ട പട്ടിക നിരസിക്കപ്പെടുന്നുവോ നിശബ്ദമായി സ്വീകരിക്കപ്പെടുന്നുവോ എന്നത് വിന്യാസത്തെ ആശ്രയിച്ചിരിക്കുന്നു.
പുതിയ കണക്ഷനും പ്രവർത്തിക്കുന്ന സെഷനും
സെഷൻ സ്ഥാപിക്കുമ്പോഴോ വീണ്ടും ചർച്ച ചെയ്യുമ്പോഴോ റദ്ദാക്കൽ വിലയിരുത്തുന്നു, ഓരോ പാക്കറ്റിലും ഡാറ്റ ചാനലിനെതിരെയല്ല. ഇതിനകം ബന്ധിപ്പിച്ച ക്ലയന്റിന് ട്രാഫിക് കീകൾ ഉണ്ട്, അതിനാൽ അതിന്റെ സർട്ടിഫിക്കറ്റ് പട്ടികയിൽ പ്രത്യക്ഷപ്പെട്ടതിനു ശേഷവും പാക്കറ്റുകൾ കടത്തിവിടുന്നു. സ്ഥിരസ്ഥിതി പുനർചർച്ച ഇടവേള മണിക്കൂറുകളിൽ അളക്കുന്നു, അതിനാൽ പുതുക്കിയ പട്ടിക പുതിയവർക്ക് പ്രാബല്യത്തിൽ വരാം, പ്രവർത്തിക്കുന്ന ടണൽ നിലനിൽക്കുമ്പോൾ.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
തൽക്ഷണ നിർവ്വഹണത്തിന് പട്ടിക മാത്രമല്ല, മനഃപൂർവമുള്ള നടപടി വേണം. സേവനം പുനരാരംഭിക്കുന്നത് ഓരോ ക്ലയന്റിനെയും വീണ്ടും ബന്ധിപ്പിക്കാൻ നിർബന്ധിക്കുന്നു, അതേസമയം മാനേജ്മെന്റ് ഇന്റർഫേസ് വഴി ഒരു സെഷൻ അവസാനിപ്പിക്കുന്നത് മറ്റുള്ളവയെ സ്പർശിക്കുന്നില്ല. ഓരോ സംഭവത്തിനും ഒന്ന് തിരഞ്ഞെടുത്ത് ഏതാണ് ഉപയോഗിച്ചതെന്ന് കുറിക്കുക. രണ്ട് ഓപ്ഷനുകൾക്കും വ്യത്യസ്ത സ്വാധീന പരിധിയുണ്ട്, അതാണ് യഥാർത്ഥ തീരുമാനം.
പരിശോധകൻ യഥാർത്ഥത്തിൽ വായിക്കുന്ന ഫയൽ എത്തിക്കുക
പട്ടിക അധികാരിയുടെ രേഖയിൽ നിന്ന് സൃഷ്ടിച്ച് പിന്നീട് സർട്ടിഫിക്കറ്റുകൾ പരിശോധിക്കുന്ന ഓരോ യന്ത്രത്തിലേക്കും പകർത്തണം. ഇത് CA ഹോസ്റ്റിൽ സൃഷ്ടിച്ച് സെർവറിൽ ഒരിക്കലും ഇൻസ്റ്റാൾ ചെയ്യാതിരിക്കുന്നതാണ് ഏറ്റവും സാധാരണ പരാജയം, അത് കേടായ റദ്ദാക്കൽ സവിശേഷത പോലെയാണ് കാണുന്നത്.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemഫയൽ യഥാർത്ഥത്തിൽ വായിക്കപ്പെടുന്നുണ്ടോ എന്ന് രണ്ട് വിശദാംശങ്ങൾ തീരുമാനിക്കുന്നു. ആപേക്ഷിക പാത കോൺഫിഗറേഷൻ ഡയറക്ടറിക്കെതിരെ പരിഹരിക്കുന്നു, അതിനാൽ ഓപ്പറേറ്ററുടെ ഹോമിൽ വിട്ട പകർപ്പ് ഒരിക്കലും കണ്ടെത്താനായേക്കില്ല. ഡീമൺ സാധാരണയായി തുടങ്ങിയ ശേഷം പ്രത്യേകാവകാശങ്ങൾ ഉപേക്ഷിക്കുന്നു, അതിനാൽ റൺടൈം അക്കൗണ്ടിന് ഓരോ മാതൃ ഡയറക്ടറിയിലും തിരയൽ അനുമതിയും ഫയലിൽ വായനാ അനുമതിയും വേണം. രണ്ടും റൺടൈം അക്കൗണ്ട് ഉപയോഗിച്ച് പരിശോധിക്കുക, root ഉപയോഗിച്ചല്ല, അല്ലെങ്കിൽ പരീക്ഷണം തെറ്റായ കാര്യം തെളിയിക്കും.
systemd ഹോസ്റ്റുകളിൽ കടുപ്പമുള്ള യൂണിറ്റിന് പാത മറയ്ക്കാനും കഴിയും, വായന-മാത്ര കാഴ്ച അല്ലെങ്കിൽ സംരക്ഷിത സിസ്റ്റം ഡയറക്ടറി ഉപയോഗിച്ച്. സേവനത്തിനുള്ളിൽ നിന്ന് ഇത് കാണാത്ത ഫയലിൽ നിന്ന് വേർതിരിച്ചറിയാനാകില്ല, അതിനാൽ അനുമതി പിശക് തിരയാൻ പോകുന്നതിന് മുൻപ് യൂണിറ്റിന്റെ നിയന്ത്രണങ്ങൾ പരിശോധിക്കുക. ഫയലിന്റെ മോഡിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുൻപ് യൂണിറ്റ് ഫയൽ വായിക്കുക.
ക്ലയന്റിലല്ല, സെർവറിൽ സ്ഥിരീകരിക്കുക
സെർവർ ലോഗ് എന്ത് സംഭവിച്ചു എന്ന് പറയുന്നു: പട്ടിക തുറക്കൽ, അത് ലോഡ് ചെയ്യൽ, അല്ലെങ്കിൽ റദ്ദാക്കിയ സീരിയൽ നമ്പർ ഉപയോഗിച്ച് പരിശോധന പരാജയപ്പെടൽ. ക്ലയന്റ് പൊതുവായ ഹാൻഡ്ഷേക്ക് പരാജയം മാത്രം റിപ്പോർട്ട് ചെയ്യുന്നു, അതിനാൽ റദ്ദാക്കൽ തീരുമാനം തിരയാൻ ക്ലയന്റ് ലോഗുകൾ മോശം സ്ഥലമാണ്.
റദ്ദാക്കിയ പ്രൊഫൈലിൽ നിന്ന് പുതിയ ശ്രമത്തോടെ പരിശോധിച്ച് പിന്നീട് നിർത്തുക. ആ പ്രൊഫൈലിൽ നിന്നുള്ള വിജയകരമായ കണക്ഷനാണ് ഫയൽ പാതയും റൺടൈം അക്കൗണ്ടും പരിശോധിക്കാനുള്ള സൂചന, പട്ടിക തെറ്റായിരുന്നു എന്ന് അനുമാനിക്കാനല്ല. ആ വിജയകരമായ ശ്രമം സ്വീകാര്യതാ പരീക്ഷണമായി സൂക്ഷിക്കുക, നിങ്ങൾ കാണാത്ത പുനർബന്ധനം എണ്ണരുത്.
ഒന്നും റദ്ദാക്കാത്തത്
ലാപ്ടോപ്പിൽ നിന്ന് പ്രൊഫൈൽ മായ്ക്കുക, ക്ലയന്റിൽ നിന്ന് സർട്ടിഫിക്കറ്റ് ഫയൽ നീക്കുക അല്ലെങ്കിൽ ഉപയോക്താവിനോട് ബന്ധിപ്പിക്കുന്നത് നിർത്താൻ പറയുക എന്നിവ സെർവറിൽ ഒന്നും മാറ്റുന്നില്ല. അധികാരി റദ്ദാക്കൽ രേഖപ്പെടുത്തി പരിശോധകൻ ഫലമായ പട്ടിക വായിക്കുന്നതുവരെ സർട്ടിഫിക്കറ്റ് സാധുവായി തുടരുന്നു.
അതുകൊണ്ടാണ് ചങ്ങല എഴുതിവയ്ക്കാൻ തക്കതാകുന്നത്: റദ്ദാക്കൽ രേഖപ്പെടുത്തുക, പട്ടിക സൃഷ്ടിച്ച് ഒപ്പിടുക, അതേ ഫയൽ വിതരണം ചെയ്യുക, സേവന അക്കൗണ്ടിന് അത് വായിക്കാനാകുമെന്ന് സ്ഥിരീകരിക്കുക. ഓരോ കണ്ണിയും ചെറുതാണ്, ഏതെങ്കിലും ഒന്ന് വിട്ടുപോയാൽ റദ്ദാക്കിയ ക്ലയന്റ് സന്തോഷത്തോടെ ബന്ധിപ്പിച്ചുകൊണ്ടിരിക്കും. നാല് വരിയുള്ള ഒരു പരിശോധനാ പട്ടിക ഒരു വരിയുമില്ലാത്ത അനുമാനത്തെ തോൽപ്പിക്കുന്നു.