VPN гэрчилгээний бүртгэл: CA бүртгэл юуг нотолж чадах вэ
Сервер дээрх хавтас, CA бүртгэл, хүчингүй болгох жагсаалт, сессийн хүснэгт өөр өөр асуултад хариулдаг. VPN таних тэмдгүүдийг бүртгэхдээ тэдгээрийг тусдаа байлгаарай.
Таны гарц хэзээ ч хараагүй клиентийн гэрчилгээг хүлээн авдаг, учир нь түүнийг тохируулсан зүйл бол итгэмжлэгдсэн олгогч бөгөөд гэрчилгээ нь гар барилтын үеэр ирдэг. Протокол ингэж ажиллах ёстой бөгөөд яг ийм учраас сервер дээрх хавтасны жагсаалт муу бүртгэл болдог. Олгогч юу үүсгэснээ мэддэг, сервер юу холбогдсоныг мэддэг, хүчингүй болгосон байдал юу буцаагдсаныг мэддэг. Эдгээр гурван бичлэгийг хольсон бүртгэл эцэст нь тэдний аль нь ч хэлээгүй зүйлийг баталдаг.
Гарц файлын жагсаалт биш, олгогчид итгэдэг
Баталгаажуулалт нь ирүүлсэн гэрчилгээг итгэлийн зангуутай харьцуулдаг тул өчигдөр ижил олгогчийн үүсгэсэн таних тэмдэг серверийн диск дээр хэзээ ч байгаагүй ч холбогддог. Үүний тулд юу ч хуулах шаардлагагүй бөгөөд хэн ч үүнийг гараар зөвшөөрөх шаардлагагүй. Тиймээс серверийн өөрийн бичлэгүүд ирцийг дүрсэлдэг, ирж болох таних тэмдгүүдийн нийт дүнг биш.
Эсрэг зүйл мөн адил тохиромжгүй. Хавтас дотор хугацаа дууссан гэрчилгээ, хүчингүй болгосон гэрчилгээ, хэзээ ч байршуулаагүй төхөөрөмжид олгосон таних тэмдэг байж болно. Файл тоолох нь хэдэн файл байгааг хариулдаг бөгөөд энэ нь хэн ч асуугаагүй асуулт юм. Үүний оронд утга агуулсан бичлэгээс эхэл.
Дөрвөн асуулт, дөрвөн өөр бүртгэл
Бичлэгийн төрөл бүр нэг асуултад сайн, бусад асуултад муу хариулдаг тул тэдгээрийг нэгтгэсэн тайлан бүрэн мэт харагдана, гэхдээ тодорхой байдлаар буруу байдаг. Доорх хүснэгт тэдгээрийг үйлдвэрлэдэг системээр биш, шийддэг асуултаар нь эрэмбэлдэг.
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
Олон нийтийн гэрчилгээний архив нууц биш, учир нь түүнд хувийн түлхүүр байхгүй, гэхдээ хуваалцах боломжгүй юм. Субъект ба төхөөрөмжийн нэрс үйл ажиллагааны дэлгэрэнгүй мэдээллийг илчилдэг тул тайлан нь түүнд хэрэгтэй үзэгчдийн дэргэд үлдэх ёстой. Хувийн түлхүүрүүд бүртгэлээс бүрэн гадуур үлддэг, учир нь бүртгэлд итгэмжлэл биш, мета өгөгдөл хэрэгтэй.
Олгогч ба серийн дугаар л цорын ганц тогтвортой түлхүүр
Субъектуудыг дахин ашигладаг, файлын нэрийг дахин ашигладаг тул өнгөрсөн жил нэг төхөөрөмжийг заасан нэр одоо өөр төхөөрөмжийг зааж болно. Аль нь ч түлхүүр биш бөгөөд тэдгээрийн аль нэг дээр баригдсан тайлан эцэст нь хоёр таних тэмдгийг нэг мөрөнд нэгтгэнэ.
Олгогч ба серийн дугаарын хос гэрчилгээг өвөрмөцөөр тодорхойлдог бөгөөд хоёр талбар нь гэрчилгээнээс өөрөөс нь гардаг. Тэдгээрийг субъект, хүчинтэй хугацааны огноо, хуулбар ирсэн эх сурвалж, хариуцлагатай хүн эсвэл төхөөрөмжийн хамт бич. Хүчингүй болголт ба байршуулалтын төлөвийг өөрийн ажиглалтын цагтай тусдаа талбар болгон нэм, учир нь хүчинтэй хугацааны цонх доторх гэрчилгээ автоматаар зөвшөөрөгддөггүй. Эдгээр хоёр баримт өөр өөр системд амьдардаг бөгөөд тэдгээрийг нэгтгэх нь файл нь одоо ч шинэ мэт харагдаж байхад таних тэмдэг буцаагдсан тохиолдлыг нуудаг.
Нэг гэрчилгээг нэг удаа уншина
Хавтас даяар тархсан орлуулагч тэмдэгт нь багц интерфэйс биш бөгөөд аль файл ямар гаралт өгснийг нуудаг. Мета өгөгдлийг гэрчилгээ тус бүрээр унш, хүчингүй болголтын талыг өөрийнх нь артефактаас унш. OpenSSL x509-ийн лавлагаа эдгээр сонголтын хэвлэдэг талбаруудыг жагсаадаг.
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40Удирдлагатай Easy-RSA PKI-ийн хувьд олголтын мэдээллийн санг хэрэгсэл дэмждэг ажлын урсгалаар асуу хавтасны зохион байгуулалтыг таамаглахын оронд, бүртгэл бүрдэх хооронд эх хувийг зөвхөн унших болгож байлга. Бүртгэлийн формат хангалттай тогтмол тул мэдээллийн санг гараар нээхгүйгээр хүчинтэй бичлэгүүдийг тоолж, буцаагдсан бичлэгүүдийг жагсааж болно.
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5Дараагийн олголтыг давж гарах бүртгэл
Хавтасны нэг удаагийн экспорт дараагийн гэрчилгээ олгогдсон мөчид хуучирдаг тул тайланг олголтын ажлын урсгалаас бүрдүүлж, энгийн үйл ажиллагааны хэсэг болгон шинэчлэгдэх боломж олго. Энэ нь тайланг дахин үүсгэх боломжтой болгодог бөгөөд юу олгогдсон талаар хоёр хүн санал зөрөх үед чухал юм.
Үр дүнг хүснэгтийн дасгал биш, шинэчлэл ба ашиглалтаас гаргах шийдвэрт ашигла. Локал хуулбарыг устгах нь аль хэдийн байгаа алсын хуулбарыг хүчингүй болгохгүй. Таних тэмдгийг тохируулсан хүчингүй болголт ба зөвшөөрлийн ажлын урсгалаар буцааж, дараа нь буцаалтыг огноотой нь бүртгэ. Серверээс алга болсон ч олгогч одоо ч итгэдэг таних тэмдэг ашиглалтаас гараагүй бөгөөд яг энэ ялгаа нь нарийн бүртгэлийг зөвхөн тайвшруулах бүртгэлээс тусгаарладаг.