VPN प्रमाणपत्र सूची: CA खाता के सिद्ध गर्न सक्छ
सर्भरमा रहेको फोल्डर, CA खाता, रद्दीकरण सूची र सत्र तालिकाले फरक प्रश्नहरूको जवाफ दिन्छन्। VPN पहिचानहरूको सूची बनाउँदा तिनलाई अलग राख्नुहोस्।
तपाईंको गेटवेले कहिल्यै नदेखेको ग्राहक प्रमाणपत्र स्वीकार गर्छ, किनकि यो जुन कुराले कन्फिगर गरिएको छ त्यो विश्वसनीय जारीकर्ता हो, र प्रमाणपत्र ह्यान्डशेकका क्रममा आउँछ। प्रोटोकल यसै गरी चल्नुपर्छ, र त्यसैले सर्भरमा रहेको डाइरेक्टरी सूची कमजोर सूची हो। जारीकर्तालाई थाहा छ उसले के बनायो, सर्भरलाई थाहा छ के जोडियो, र रद्दीकरण स्थितिलाई थाहा छ के फिर्ता लिइयो। यी तीन अभिलेख मिसाउने सूचीले अन्ततः तीमध्ये कसैले नभनेको कुरा दाबी गर्छ।
गेटवे फाइल सूचीमा होइन, जारीकर्तामा भर पर्छ
प्रमाणीकरणले प्रस्तुत प्रमाणपत्रलाई विश्वास एंकरसँग तुलना गर्छ, त्यसैले त्यही जारीकर्ताले हिजो बनाएको पहिचान सर्भरको डिस्कमा कहिल्यै नभए पनि जोडिन्छ। त्यसका लागि केही प्रतिलिपि गर्नु पर्दैन, र कसैले हातले स्वीकृत गर्नु पर्दैन। त्यसैले सर्भरका आफ्नै अभिलेखहरूले आगमनको वर्णन गर्छन्, आउन सक्ने पहिचानहरूको जनसंख्याको होइन।
उल्टो खाडल पनि उत्तिकै असहज छ। फोल्डरमा म्याद सकिएका प्रमाणपत्र, रद्द भएका प्रमाणपत्र, र कहिल्यै तैनाथ नगरिएका यन्त्रहरूका लागि जारी गरिएका पहिचानहरू हुन सक्छन्। फाइल गन्नाले कति फाइल छन् भन्ने जवाफ दिन्छ, जो कसैले नसोधेको प्रश्न हो। यसको सट्टा अर्थ बोक्ने अभिलेखबाट सुरु गर्नुहोस्।
चार प्रश्न, चार फरक अभिलेख
हरेक अभिलेख प्रकारले एउटा प्रश्नको राम्रो र बाँकीको नराम्रो जवाफ दिन्छ, त्यसैले तिनलाई मिलाउने प्रतिवेदन पूरा देखिन्छ तर विशेष तरिकाले गलत हुन्छ। तलको तालिकाले तिनलाई बनाउने प्रणालीअनुसार होइन, समाधान गर्ने प्रश्नअनुसार क्रमबद्ध गर्छ।
| Question you are answering | Where the answer lives | How quickly it changes | What it will never show |
|---|---|---|---|
| Was this identity ever created? | The issuer's issuance database | Only when something is issued | Whether the device still exists |
| Is a copy sitting on this host? | The paths you actually inspected | Whenever anyone copies files | Certificates that were never copied here |
| Has the issuer withdrawn it? | Published revocation state | When the issuer next publishes | Withdrawals that are not published yet |
| Is it connected right now? | The live session table | Continuously | Anything about past or future sessions |
सार्वजनिक प्रमाणपत्रको संग्रह गोप्य होइन, किनकि त्यसमा कुनै निजी कुञ्जी हुँदैन, तर साझा गर्न योग्य पनि होइन। विषय र यन्त्रका नामले सञ्चालन विवरण खोल्छन्, र प्रतिवेदन त्यसैको आवश्यकता हुने दर्शकसँगै रहनुपर्छ। निजी कुञ्जीहरू सूचीबाट पूर्ण रूपमा बाहिर रहन्छन्, किनकि सूचीलाई प्रमाणपत्र होइन, मेटाडेटा चाहिन्छ।
जारीकर्ता र क्रम संख्या नै एकमात्र स्थिर कुञ्जी हुन्
विषयहरू पुनःप्रयोग हुन्छन् र फाइलका नाम फेरि प्रयोग हुन्छन्, त्यसैले गत वर्ष एउटा यन्त्र चिनाउने नामले अहिले अर्को चिनाउन सक्छ। दुवैमध्ये कुनै कुञ्जी होइन, र तीमध्ये कुनैमा आधारित प्रतिवेदनले अन्ततः दुई पहिचानलाई एउटै लाइनमा मिलाउनेछ।
जारीकर्ता र क्रम संख्याको जोडीले प्रमाणपत्रलाई अद्वितीय रूपमा चिनाउँछ, र दुवै फिल्ड प्रमाणपत्रबाटै आउँछन्। तिनलाई विषय, वैधता मिति, प्रतिलिपि आएको स्रोत, र जिम्मेवार व्यक्ति वा यन्त्रसँगै अभिलेख गर्नुहोस्। रद्दीकरण र तैनाथी स्थिति आफ्नै अवलोकन समय भएका छुट्टै फिल्डका रूपमा थप्नुहोस्, किनकि वैधता अवधिभित्रको प्रमाणपत्र स्वतः अधिकृत हुँदैन। यी दुई तथ्य फरक प्रणालीमा बस्छन्, र तिनलाई मिलाउँदा फाइल अझै अद्यावधिक देखिँदा पहिचान फिर्ता लिइएको अवस्था लुक्छ।
एक पटकमा एउटा प्रमाणपत्र पढ्नुहोस्
फोल्डरभरि फैलिने वाइल्डकार्ड ब्याच इन्टरफेस होइन, र कुन फाइलले कुन आउटपुट दियो भन्ने लुकाउँछ। प्रत्येक प्रमाणपत्रको मेटाडेटा पढ्नुहोस्, र रद्दीकरण पक्ष त्यसकै आर्टिफ्याक्टबाट पढ्नुहोस्। OpenSSL x509 सन्दर्भ ले ती विकल्पले छाप्ने फिल्डहरू सूचीबद्ध गर्छ।
openssl x509 -in <cert>.pem -noout -issuer -serial -subject -dates -fingerprint -sha256
openssl crl -in <issuer>.crl -noout -text | head -n 40व्यवस्थित Easy-RSA PKI का लागि, उपकरणले समर्थन गर्ने कार्यप्रवाहमार्फत जारीकरण डेटाबेसलाई सोध्नुहोस् डाइरेक्टरी लेआउट मान्नुको सट्टा, र सूची बन्ने क्रममा मूल फाइलहरूलाई पढ्न-मात्र राख्नुहोस्। खाताको ढाँचा पर्याप्त नियमित छ, त्यसैले डेटाबेस हातले नखोली वैध प्रविष्टि गन्न र फिर्ता लिइएकाहरूको सूची बनाउन सकिन्छ।
grep -c '^V' pki/index.txt
grep '^R' pki/index.txt | cut -f4,5अर्को जारीकरणलाई पनि टिक्ने सूची
फोल्डरको एक-पटकको डम्प अर्को प्रमाणपत्र जारी हुने क्षणमै पुरानो हुन्छ, त्यसैले प्रतिवेदन जारीकरण कार्यप्रवाहबाट बनाउनुहोस् र सामान्य सञ्चालनको भागका रूपमा अद्यावधिक हुन दिनुहोस्। यसले प्रतिवेदनलाई पुनरुत्पादनयोग्य पनि बनाउँछ, जो तब महत्त्वपूर्ण हुन्छ जब दुई व्यक्ति के जारी भयो भन्नेमा सहमत हुँदैनन्।
नतिजा स्प्रेडसिट अभ्यासका रूपमा होइन, नवीकरण र अवकाश निर्णयका लागि प्रयोग गर्नुहोस्। स्थानीय प्रतिलिपि मेटाउँदा पहिले नै रहेका टाढाका प्रतिलिपि अमान्य हुँदैनन्। कन्फिगर गरिएको रद्दीकरण र अधिकार कार्यप्रवाहमार्फत पहिचान फिर्ता लिनुहोस्, त्यसपछि फिर्ता लिने कार्य मितिसहित अभिलेख गर्नुहोस्। सर्भरबाट हराएको तर जारीकर्ताले अझै विश्वास गर्ने पहिचान अवकाश भएको छैन, र त्यही भिन्नताले सटीक सूचीलाई केवल ढाडस दिने सूचीबाट अलग गर्छ।