चुहिएको VPN कुञ्जी प्रतिस्थापन: सर्भरले के गर्नुपर्छ

क्लाइन्ट कुञ्जी बोकेको ल्यापटप हरायो, र पहिलो कदम सामान्यतया स्थानीय प्रतिलिपि मेटाउनु हुन्छ। त्यसले सर्भरमा केही परिवर्तन गर्दैन, जससँग अझै त्यस्तो अनुमति छ जसले त्यो कुञ्जी स्वीकार गर्नेछ जबसम्म कोही त्यसलाई हटाउँदैन। प्रतिस्थापन दुई कार्य हुन्, र दोस्रोले मात्र पुरानो प्रमाणसँग सम्बन्ध राख्छ।

स्थानीय प्रतिलिपि अधिकार होइन

VPN प्रमाण स्वीकार गरिन्छ किनभने सर्भर-पक्षको कन्फिगरेसनले त्यसो भन्छ। प्रमाणपत्रका लागि यसको अर्थ प्रमाणपत्र विश्वसनीय जारीकर्तासँग शृंखलाबद्ध हुन्छ र गेटवेले हेर्ने रद्दीकरण सूचीमा देखिँदैन। WireGuard का लागि यसको अर्थ सहकर्मीको सार्वजनिक कुञ्जी इन्टरफेस कन्फिगरेसनमा देखिन्छ। क्लाइन्टमा फाइल मेटाउँदा रहस्यको एउटा प्रतिलिपि हट्छ र स्वीकृति नियम अछुत रहन्छ।

त्यसैले चोरिएको कुञ्जी स्पष्ट सफाइपछि पनि काम गरिरहन्छ, र नयाँ कन्फिगरेसन स्थापना गरेपछि पनि घटना नसुल्झिएको जस्तो लाग्छ।

सर्भरको नियमबाट सुरु गर्नुहोस्, त्यसपछि क्लाइन्टतर्फ बाहिर काम गर्नुहोस्।

प्रमाणपत्र: निर्णय सर्भरसँग

नयाँ पहिचान अभिलेख हुने गरी जारीकर्ताको आफ्नै प्रक्रियाबाट प्रतिस्थापन जारी गर्नुहोस्, त्यसपछि हस्ताक्षरित रद्दीकरणद्वारा पुरानो फिर्ता लिनुहोस्। गेटवे त्यो रद्दीकरण स्रोत जाँच्न कन्फिगर गरिएको हुनुपर्छ, र यसले त्यसलाई पुनः लोड गर्नुपर्छ, नत्र फाइल डिस्कमा बसिरहन्छ र सुरुङले पुरानो क्रम संख्या स्वीकार गरिरहन्छ। सक्रिय सत्रहरू पुनर्वार्ताल सम्म टिक्न सक्छन्, त्यसैले पुनः जडानको योजना बनाउनुहोस्।

प्रतिस्थापन इच्छित अनुप्रयोगका लागि काम गर्छ भनी पुष्टि गर्नुहोस्, त्यसपछि स्वीकृत प्रक्रियाबाट अवकाशप्राप्त प्रमाणपत्रले अब पहुँच स्थापित गर्दैन भनी पुष्टि गर्नुहोस्।

ती दुई फरक परीक्षण हुन् र दुवै आवश्यक छन्। RFC 5280 ले गेटवेले भर पर्ने प्रमाणपत्र र रद्दीकरणको अर्थ निर्धारण गर्छ।

WireGuard: सहकर्मीको कुञ्जी नै पहिचान हो

WireGuard मा प्रमाणपत्र तह छैन: सहकर्मीको सार्वजनिक कुञ्जी नै पहिचान हो, र सर्भरको allowed-ips प्रविष्टि नै अनुमति हो। इन्टरफेस कन्फिगरेसनबाट पुरानो सहकर्मी हटाउनु नै रद्दीकरण हो, र यो नयाँ ह्यान्डशेकमा तुरुन्तै लागू हुन्छ।

विद्यमान सत्रहरू अर्को ह्यान्डशेक असफल हुँदा अन्त्य हुन्छन्, जुन सामान्यतया तुरुन्तै नभई केही मिनेटभित्र हुन्छ।

नयाँ कन्फिगरेसन त्यस्तो माध्यमबाट वितरण गर्नुहोस् जसलाई तपाईं पासवर्ड सुम्पन सक्नुहुन्छ, किनभने निजी कुञ्जी नै प्रमाण हो। प्रत्येक यन्त्रका लागि एउटा कुञ्जी राख्नुहोस्, ताकि एउटा हराएको यन्त्रले सबै यन्त्र बदल्न बाध्य नपारोस्।

त्यो बन्डलमा अरू के थियो

क्लाइन्ट बन्डलले प्रायः निजी कुञ्जीभन्दा बढी बोक्छ: स्थिर TLS कुञ्जी, प्रयोगकर्ता नाम र पासवर्ड, पूर्व-साझा रहस्य वा प्राविधिक टोकन। घटनालाई वास्तवमै खुलासा भएको कुरामा सीमित गर्नुहोस् र ती वस्तुहरू पनि घुमाउनुहोस्। प्रमाणपत्र घुमाउँदा साझा स्थिर कुञ्जी राख्नु एउटा ढोका बन्द गरेर अर्को खुला छोड्नु हो।

यदि बन्डल यन्त्रहरूबीच साझा थियो भने, त्यो बोक्ने प्रत्येक यन्त्रले त्यो खुलासा उत्तराधिकारमा पाउँछ।

के घुमाइयो लेख्नुहोस्, किनभने अर्को लेखापरीक्षणले सोध्नेछ।

अस्वीकृति प्रमाणित गर्नुहोस्, त्यसपछि प्रतिस्थापन अभिलेख गर्नुहोस्

प्रतिस्थापन तब पूरा हुन्छ जब दुई तथ्य टिक्छन्: नयाँ पहिचान इच्छित सेवाका लागि काम गर्छ, र पुरानो अस्वीकार गरिन्छ। दोस्रोलाई अवकाशप्राप्त प्रमाणसहित परीक्षण वातावरणबाट, वा संस्थाले स्वीकृत गर्ने नियन्त्रित प्रयासबाट प्रमाणित गर्नुहोस्, र अस्वीकृति नीतिबाट आएको हो, टाइपिङ त्रुटिबाट होइन भनी पुष्टि गर्न गेटवे लग पढ्नुहोस्। त्यसपछि पुरानो पहिचानकर्ता, नयाँ र परिवर्तनको समय अभिलेख गर्नुहोस्, किनभने लेखापरीक्षकलाई त्यसलाई पुनर्निर्माण गर्न ती तीन मान नै चाहिन्छ। टिकटमा अरू केहीले त्यो खाडल व्याख्या गर्दैन।

निजी कुञ्जीहरू टिकट र च्याटबाट बाहिर राख्नुहोस्, र नीतिअनुसार भण्डारण र ब्याकअपबाट अप्रचलित निर्यात हटाउनुहोस्।

अस्वीकृति परीक्षण बिनाको प्रतिस्थापन अनुमान हो, समाधान होइन।