VPN प्रमाणपत्रको पहिचान नबदली नवीकरण गर्ने

पहिचान बदल्ने प्रमाणपत्र नवीकरण नवीकरण होइन, त्यो मर्मत टिकट लगाएको स्थानान्तरण हो। ग्राहकले नाम, श्रृंखला र कहिलेकाहीँ विशिष्ट कुञ्जी जाँच्छ, र तीनवटै समाप्ति मिति नबदली बदलिन सक्छन्। प्रतिस्थापन अनुरोध गर्नुअघि ग्राहकले वास्तवमा के जाँच्छ लेख्नुहोस्: होस्टनाम वा पियर पहिचान, प्रमाणपत्रको उद्देश्य, कुञ्जी नीति र जारी गर्ने श्रृंखला। नवीकरण प्रतिस्थापनले यीमध्ये के बदल्छ भन्ने आधारमा नियमित वा समन्वित हुन्छ।

तीन सर्तहरूले नवीकरणको स्वरूप निर्धारण गर्छन्

तीन सर्तहरू हुन्: केही कुराले पातलाई पिन गर्छ कि, श्रृंखला बदलिन्छ कि, र नाम अरू कसले मान्य गर्छ। CA को सुविधाबाट होइन, ग्राहकको पक्षबाट जवाफ दिनुहोस्, किनकि राति तीन बजे असफल हुने ग्राहक नै हो।

तपाईंसँग भएको प्रमाणपत्र जाँचेर सुरु गर्नुहोस्। openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName विषय, जारीकर्ता, वैधता विन्डो र प्रमाणपत्र वास्तवमा जुन नामहरूका लागि वैध छ त्यी नामहरू छाप्छ। त्यो अन्तिम फिल्ड सबैभन्दा महत्त्वपूर्ण छ र सबैभन्दा धेरै अनुमान गरिन्छ: ग्राहकले भरोसा गर्ने SAN छोड्ने नवीकरण अनुरोधले प्राविधिक रूपमा वैध तर कार्यात्मक रूपमा गलत प्रमाणपत्र बनाउँछ। पुरानो प्रमाणपत्रको SAN सूची स्मृतिबाट फेरि टाइप गर्नुको सट्टा अनुरोधमा प्रतिलिपि गर्नुहोस्।

पहिलो सर्त: केही कुराले पातलाई पिन गर्छ कि

ग्राहकहरूले मर्मत गरिएको CA मा भरोसा गरे र नाम मान्य गरे भने, नयाँ कुञ्जीसहितको पात नवीकरण उनीहरूलाई अदृश्य हुन्छ। कुनै पनि ग्राहकले पात प्रमाणपत्र, यसको औंठाछाप वा यसको सार्वजनिक कुञ्जी पिन गरे भने, प्रतिस्थापन कठोर संक्रमणसहितको समन्वित परिवर्तन हो, किनकि पुरानो पिनले नयाँ प्रमाणपत्र मान्य गर्न सक्दैन।

केही अर्डर गर्नुअघि तपाईं कुन अवस्थामा हुनुहुन्छ पत्ता लगाउनुहोस्। कसैले अभिलेख नगरेको पिन पनि टुट्दा पिन नै रहन्छ।

दोस्रो सर्त: पिन र श्रृंखलाको तुलना गर्नुहोस्

औंठाछापले पिन जाँच्नयोग्य बनाउँछ: पुरानो र नयाँ प्रमाणपत्रमा openssl x509 -noout -fingerprint -sha256 -in server.crt, र सार्वजनिक कुञ्जी तुलना गर्न openssl x509 -noout -pubkey। ग्राहक कन्फिगरेसन, मोबाइल प्रोफाइल वा उपकरणको विश्वास भण्डारमा यीमध्ये कुनै मान भए, तपाईंसँग पिन छ। मोबाइल VPN प्रोफाइल सामान्य लुक्ने ठाउँ हो, किनकि प्रोफाइल एक पटक वितरण हुन्छ र फेरि कहिल्यै जाँचिँदैन।

प्रतिस्थापन उही इन्टरमिडिएटबाट आए र ग्राहकसँग त्यो इन्टरमिडिएट पहिले नै छ वा प्राप्त गर्न सक्छ भने, विश्वासको पक्षमा केही बदलिँदैन। नयाँ इन्टरमिडिएट, फरक जारीकर्ता वा गलत क्रममा पुर्याइएको श्रृंखलाले नवीकरणलाई विश्वास परिवर्तनमा बदल्छ, र असफलता म्याद सकिएको प्रमाणपत्रजस्तो नभई अज्ञात जारीकर्ताजस्तो देखिन्छ।

सर्भरले वास्तवमा पठाउने श्रृंखला openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts ले जाँच्नुहोस्, र openssl verify -CAfile ca.pem -untrusted chain.pem server.crt ले स्थानीय रूपमा प्रमाणित गर्नुहोस्। परिवर्तनअघि यो गर्दा पछि तुलना गर्न तपाईंलाई आधाररेखा मिल्छ।

तेस्रो सर्त: नाम अरू कसले मान्य गर्छ

VPN कन्सन्ट्रेटर, लोड ब्यालेन्सर, मनिटरिङ प्रोब, RADIUS वा SAML एकीकरण र मोबाइल प्रोफाइल प्रत्येकले अपेक्षित नाम वा विश्वास एङ्करको आफ्नै प्रतिलिपि राख्न सक्छ। नवीकरण त्यो क्षण हो जब ती प्रतिलिपिहरू फरक हुन्छन्, किनकि प्रमाणपत्र बदलिन्छ र प्रतिलिपिहरू बदलिँदैनन्।

परिवर्तनअघि हरेक उपभोक्ताको सूची बनाउनुहोस् र हरेकका लागि अद्यावधिक चाहिन्छ कि भन्ने निर्णय गर्नुहोस्। तपाईंले बिर्सने कुराले नै तपाईंलाई बोलाउँछ।

समयको जाल पनि छ। समाप्तिसँगै वैधताको सुरुवात पनि जाँच्नुहोस्, किनकि पछिको सक्रियताका लागि तयार पारिएको प्रमाणपत्र धेरै चाँडो स्थापना गरियो भने अस्वीकार गरिन्छ, र त्रुटि तयारीको समस्याजस्तो नभई घडीको समस्याजस्तो देखिन्छ। तैनात गर्नुअघि नयाँ फाइलमा openssl x509 -noout -dates दुई सेकेन्डको जाँच हो। समर्थित पुनर्प्राप्ति मार्ग र ज्ञात-राम्रो कन्फिगरेसन पनि राख्नुहोस्, ताकि गलत हुने नवीकरण अघिल्लो प्रमाणपत्र र कुञ्जी पुनर्स्थापित गरेर उल्टाउन सकियोस्।

तैनात गर्नुहोस्, नयाँ प्रमाणीकरणले प्रमाणित गर्नुहोस्, त्यसपछि हटाउनुहोस्

स्थापित सुरुङले निर्माणका बेला भएको प्रमाणीकरण झल्काउँछ, त्यसैले हरेक नयाँ जडान असफल हुँदा पनि त्यो स्वस्थ देखिन सक्छ। ग्राहकहरूले प्रयोग गर्ने वास्तविक सेवा नाम प्रयोग गरेर नयाँ प्रमाणीकरणसँग परीक्षण गर्नुहोस्।

प्रयोगकर्तालाई महत्त्वपूर्ण अनुप्रयोग-स्तरको जाँच पूरा गर्नुहोस्, र श्रृंखला डेलिभरी सर्भरको दृष्टिकोणबाट नभई ग्राहकको दृष्टिकोणबाट पुष्टि गर्नुहोस्। संक्रमण शान्त राख्न नाम वा प्रमाणपत्र जाँच दबाउनु हुँदैन; यसले अस्थायी अनुकूलता समस्यालाई स्थायी बनाउँछ।

अप्रचलित सामग्री तैनाती प्रमाणित भएपछि मात्र हटाउनुहोस्, र सम्झौता भएको कुञ्जीलाई पूर्ण रूपमा फरक मामला मान्नुहोस्: नवीकरण मात्रले केही रद्द गर्दैन, त्यसैले प्रभावित पहिचानलाई तैनातीको रद्दीकरण र सत्र-व्यवस्थापन प्रक्रिया चाहिन्छ। RFC 5280 ले यी सबैको तल रहेका प्रमाणपत्र र पथ-प्रमाणीकरण नियमहरू परिभाषित गर्छ। नियमित पात नवीकरणलाई CA प्रतिस्थापनबाट अलग राख्नुहोस्, ताकि ग्राहकहरूलाई कारणविना नयाँ जारीकर्तामा भरोसा गर्न भनिएला।