CA ਦੁਬਾਰਾ ਬਣਾਏ ਬਿਨਾਂ VPN ਕਲਾਇੰਟ ਜੋੜਨਾ

ਇੱਕ ਹੋਰ ਲੈਪਟਾਪ ਲਈ ਇੱਕ ਹੋਰ ਸਰਟੀਫਿਕੇਟ ਚਾਹੀਦਾ ਹੈ, ਪਰ ਖੋਜ ਨਤੀਜਿਆਂ ਦਾ ਪਹਿਲਾ ਟਿਊਟੋਰਿਅਲ ਉਸ ਹੁਕਮ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਜੋ PKI ਫੋਲਡਰ ਮਿਟਾ ਦਿੰਦਾ ਹੈ। ਉਹ ਹੁਕਮ ਪਹਿਲੀ ਸੈਟਅਪ ਦਾ ਹੈ, ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਦਾ ਨਹੀਂ, ਅਤੇ ਇਸਨੂੰ ਚਲਾਉਣ ਨਾਲ CA, ਜਾਰੀ ਕਰਨ ਦਾ ਇਤਿਹਾਸ ਅਤੇ ਪੁਰਾਣੇ ਜਾਰੀਕਰਤਾ ਤੇ ਭਰੋਸਾ ਕਰਨ ਵਾਲੀ ਹਰ ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ ਚਲੀ ਜਾਂਦੀ ਹੈ। ਫੈਸਲਾ ਛੋਟਾ ਹੈ: ਕੀ ਜਾਰੀਕਰਤਾ ਕੋਲ ਅਜੇ ਵੀ ਵਰਤੋਂਯੋਗ ਸਥਿਤੀ ਹੈ, ਅਤੇ ਕੀ ਨਵੀਂ ਡਿਵਾਈਸ ਤੁਹਾਡੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਨੀਤੀ ਵਿੱਚ ਫਿੱਟ ਬੈਠਦੀ ਹੈ? ਤਿੰਨ ਸ਼ਰਤਾਂ ਇਹ ਤੈਅ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਇੱਕ ਹੀ ਦੁਬਾਰਾ ਨਿਰਮਾਣ ਨੂੰ ਜਾਇਜ਼ ਠਹਿਰਾਉਂਦੀ ਹੈ।

ਦੁਬਾਰਾ ਨਿਰਮਾਣ ਅਸਲ ਵਿੱਚ ਕੀ ਤਬਾਹ ਕਰਦਾ ਹੈ

PKI ਨੂੰ ਦੁਬਾਰਾ ਸ਼ੁਰੂ ਕਰਨ ਨਾਲ ਫੋਲਡਰ ਖਾਲੀ ਢਾਂਚੇ ਨਾਲ ਬਦਲ ਜਾਂਦਾ ਹੈ: ਨਵੀਂ CA ਕੁੰਜੀ ਅਤੇ ਸਰਟੀਫਿਕੇਟ, ਖਾਲੀ ਜਾਰੀ ਡੇਟਾਬੇਸ ਅਤੇ ਨਵਾਂ ਕ੍ਰਮਿਕ ਨੰਬਰ ਗਿਣਨ ਵਾਲਾ। ਕਲਾਇੰਟ ਆਪਣੇ ਆਪ ਪਿੱਛੇ ਨਹੀਂ ਚੱਲਦੇ; ਉਨ੍ਹਾਂ ਦੀ ਪ੍ਰੋਫਾਈਲ ਪੁਰਾਣੀ CA ਨੂੰ ਪਿੰਨ ਕਰਦੀ ਹੈ, ਇਸ ਲਈ ਹਰ ਡਿਵਾਈਸ ਨੂੰ ਦੁਬਾਰਾ ਰਜਿਸਟਰ ਕਰਨਾ ਪੈਂਦਾ ਹੈ, ਅਤੇ ਜਿਨ੍ਹਾਂ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਹੁੰਦੀ ਉਹ ਹੱਥੀਂ।

ਵਧੇਰੇ ਚੁੱਪ ਨੁਕਸਾਨ ਹਿਸਾਬ-ਕਿਤਾਬ ਹੈ। ਰੱਦ ਕਰਨਾ ਇਸ ਗੱਲ ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿਹੜੇ ਕ੍ਰਮਿਕ ਨੰਬਰ ਕਿਸ ਨੂੰ ਦਿੱਤੇ। ਸੂਚੀ ਮਿਟਾ ਦਿਓ ਤਾਂ ਵੀ ਦਸਤਖਤ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਬਾਕੀ ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚੋਂ ਕਿਹੜੇ ਰੱਦ ਕਰਨੇ ਸਨ ਇਹ ਪੱਕੇ ਤੌਰ ਤੇ ਨਹੀਂ ਕਹਿ ਸਕਦੇ। ਜਾਰੀਕਰਤਾ ਦੀ ਸਥਿਤੀ ਤੋਂ ਬਿਨਾਂ ਸਰਟੀਫਿਕੇਟ ਵਾਲਾ CA ਫੋਲਡਰ ਉਹ ਬੈਕਅਪ ਹੈ ਜੋ ਸਿਸਟਮ ਦਾ ਗਲਤ ਅੱਧ ਬਹਾਲ ਕਰਦਾ ਹੈ।

CA ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਚੱਲ ਰਹੇ ਸਰਵਰ ਦੇ ਕੋਲ ਕਾਪੀ ਕਰਨਾ ਇੱਕ ਹੋਰ ਟਾਲਣ ਯੋਗ ਸ਼ਾਰਟਕਟ ਹੈ: ਇਹ ਆਫਲਾਈਨ ਰਹਿਣ ਵਾਲੀ ਦਸਤਖਤ ਅਥਾਰਟੀ ਨੂੰ ਭਰੋਸੇਯੋਗ ਨਾ ਹੋਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਵਾਲੇ ਹੋਸਟ ਤੇ ਇੱਕ ਹੋਰ ਫਾਈਲ ਬਣਾ ਦਿੰਦਾ ਹੈ।

ਪਹਿਲੀ ਸ਼ਰਤ: ਜਾਰੀਕਰਤਾ ਦੀ ਸਥਿਤੀ ਅਜੇ ਪਹੁੰਚਯੋਗ ਹੈ

ਫੈਸਲੇ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਫੋਲਡਰ ਲੱਭੋ ਜਿਸ ਤੇ ਸਰਵਰ ਸੱਚਮੁੱਚ ਭਰੋਸਾ ਕਰਦਾ ਹੈ। ਸਰਵਰ ਜੋ ਸਰਟੀਫਿਕੇਟ CA ਵਜੋਂ ਦਿਖਾਉਂਦਾ ਹੈ ਉਸਨੂੰ PKI ਫੋਲਡਰ ਵਾਲੇ ਨਾਲ ਉਂਗਲ ਦੇ ਨਿਸ਼ਾਨ ਨਾਲ ਤੁਲਨਾ ਕਰੋ, ਫਾਈਲ ਨਾਮ ਨਾਲ ਨਹੀਂ:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

ਨਿਸ਼ਾਨ ਮਿਲ ਜਾਣ ਤਾਂ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਵਾਧੂ ਹੈ ਅਤੇ ਕੁਝ ਵੀ ਦੁਬਾਰਾ ਨਾ ਬਣਾਓ। ਵੱਖਰੇ ਹੋਣ ਤਾਂ ਸਰਵਰ ਜਿਸ CA ਤੇ ਭਰੋਸਾ ਨਹੀਂ ਕਰਦਾ ਉਸ ਨਾਲ ਦਸਤਖਤ ਹੋਵੇਗਾ: ਸਰਟੀਫਿਕੇਟ ਸਾਫ਼ ਇੰਸਟਾਲ ਹੁੰਦਾ ਹੈ ਪਰ ਹੈਂਡਸ਼ੇਕ ਤੇ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਉਹ ਗਲਤੀ ਘੰਟਿਆਂ ਤੱਕ ਕਲਾਇੰਟ ਬੱਗ ਸਮਝੀ ਜਾਂਦੀ ਹੈ।

ਫਿਰ ਜਾਰੀ ਕਰਨ ਦੀ ਸਥਿਤੀ ਲੱਭੋ: ਸੂਚੀ ਫਾਈਲ, ਕ੍ਰਮਿਕ ਗਿਣਨ ਵਾਲਾ ਅਤੇ CRL ਨੰਬਰ ਫਾਈਲ। ਸੂਚੀ ਨਾ ਹੋਵੇ ਪਰ ਕੁੰਜੀ ਹੋਵੇ ਤਾਂ ਜਾਰੀ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਰੱਦ ਦਰਜ ਕਰਨ ਦੀ ਸਮੱਸਿਆ ਵਿਰਾਸਤ ਵਿੱਚ ਮਿਲਦੀ ਹੈ। ਇਹ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖੋ, ਕਿਉਂਕਿ ਅਗਲੀ ਰੱਦ ਦੀ ਬੇਨਤੀ ਇਹ ਖੋਲ੍ਹ ਦੇਵੇਗੀ।

ਦੂਜੀ ਸ਼ਰਤ: ਨਵੀਂ ਨਿੱਜੀ ਕੁੰਜੀ ਕਿਸ ਕੋਲ ਹੈ

ਇਹ ਉਹ ਫੈਸਲਾ ਹੈ ਜੋ ਵਰਤੋਂਕਾਰ ਮਹਿਸੂਸ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਸਪਸ਼ਟ ਤੌਰ ਤੇ ਲਓ। ਕਲਾਇੰਟ ਵੱਲੋਂ ਬਣਾਈ ਅਤੇ ਬੇਨਤੀ ਵਜੋਂ ਭੇਜੀ ਕੁੰਜੀ ਨਿੱਜੀ ਅੱਧ ਪਹਿਲੇ ਹੁਕਮ ਤੋਂ ਹੀ ਡਿਵਾਈਸ ਤੇ ਰੱਖਦੀ ਹੈ, ਅਤੇ ਪ੍ਰਬੰਧਕ ਇਸਨੂੰ ਕਦੇ ਨਹੀਂ ਛੂੰਹਦਾ। ਸਰਵਰ ਵੱਲੋਂ ਬਣਾਈ ਕੁੰਜੀ ਔਜ਼ਾਰਾਂ ਤੋਂ ਬਿਨਾਂ ਡਿਵਾਈਸਾਂ ਲਈ ਸੌਖੀ ਹੈ, ਪਰ ਪ੍ਰਬੰਧਕ ਨੂੰ ਹਰ ਕੁੰਜੀ ਦਾ ਰਾਖਾ ਬਣਾ ਦਿੰਦੀ ਹੈ ਅਤੇ ਸਰਵਰ ਭੰਗ ਦਾ ਅਸਰ ਵਧਾ ਦਿੰਦੀ ਹੈ।

ਮੌਜੂਦਾ CA ਦੇ ਖਿਲਾਫ਼ Easy-RSA 3 ਨਾਲ ਬੇਨਤੀ ਆਯਾਤ ਕਰਨਾ ਅਤੇ ਦਸਤਖਤ ਕਰਨਾ ਦੋ ਹੁਕਮ ਹਨ:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

ਸਰਟੀਫਿਕੇਟ ਦੀ ਕਿਸਮ ਜਾਣ-ਬੁੱਝ ਕੇ ਚੁਣੋ। ਕਲਾਇੰਟ ਦੀ ਥਾਂ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਵਜੋਂ ਦਸਤਖਤ ਕੀਤੀ ਬੇਨਤੀ ਚੰਗੀ ਦਿਸਣ ਵਾਲੀ ਪਰ ਸਾਥੀ ਵੱਲੋਂ ਨਾਮਨਜ਼ੂਰ ਫਾਈਲ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਗਲਤੀ ਸੁਨੇਹਾ ਕਾਰਨ ਵਿਰਲੇ ਹੀ ਦੱਸਦਾ ਹੈ। openssl ca ਨਾਲ ਦਸਤਖਤ ਕਰਨ ਤੇ ਉਹੀ ਚੋਣ ਤੁਹਾਡੇ ਦਿੱਤੇ ਐਕਸਟੈਂਸ਼ਨਾਂ ਵਿੱਚ ਹੁੰਦੀ ਹੈ, ਡਿਫਾਲਟ ਭਾਗ ਵਿੱਚ ਨਹੀਂ।

ਤੀਜੀ ਸ਼ਰਤ: ਸਰਵਰ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਵੱਧ ਚਾਹੀਦਾ ਹੈ

ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਕਤਾ ਵਾਲੇ ਆਮ OpenVPN ਸਰਵਰ ਲਈ ਸਰਟੀਫਿਕੇਟ ਹੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਹੈ: ਆਮ ਨਾਮ ਕਲਾਇੰਟ ਦੀ ਪਛਾਣ ਬਣਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ ਫੋਲਡਰ, ਧੱਕਿਆ ਰਸਤਾ ਜਾਂ ਸਥਿਰ ਪਤਾ ਉਸ ਨਾਮ ਤੇ ਟਿਕਿਆ ਹੁੰਦਾ ਹੈ। ਸਰਟੀਫਿਕੇਟ ਜੋੜ ਕੇ ਕਨਫਿਗ ਭੁੱਲ ਜਾਓ ਤਾਂ ਸੁਰੰਗ ਜੁੜਦੀ ਹੈ ਪਰ ਲੋੜੀਂਦੇ ਰਸਤੇ ਕਦੇ ਨਹੀਂ ਦਿਸਦੇ।

ਪਲੇਟਫਾਰਮ ਇਹ ਬਦਲਦੇ ਹਨ। OpenVPN Access Server ਆਪਣਾ ਵਰਤੋਂਕਾਰ ਡੇਟਾਬੇਸ ਰੱਖਦਾ ਹੈ, ਇਸ ਲਈ ਦਸਤਖਤ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਖਾਤਾ ਨਹੀਂ; ਖਾਤਾ ਹੋਣਾ ਅਤੇ ਮਨਜ਼ੂਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਹੋਰ ਗੇਟਵੇ ਪਛਾਣ ਲੜੀ ਨੂੰ ਸਮੂਹ ਨਾਲ ਜੋੜਦੇ ਹਨ। ਇੱਕ ਡਿਵਾਈਸ ਦੀ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਆਮ ਤੌਰ ਤੇ ਦੋ ਸਿਸਟਮਾਂ ਨੂੰ ਛੂੰਹਦੀ ਹੈ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਸਿਰਫ਼ ਪਹਿਲਾ ਹੈ।

ਵਾਧੂ ਪ੍ਰਕਿਰਿਆ ਅਤੇ ਕਦੋਂ ਦੁਬਾਰਾ ਨਿਰਮਾਣ ਸਹੀ ਹੈ

ਨੁਕਸਾਨ ਤੋਂ ਬਿਨਾਂ ਇੱਕ ਡਿਵਾਈਸ ਜੋੜਨ ਦਾ ਕ੍ਰਮ: ਉਂਗਲ ਦੇ ਨਿਸ਼ਾਨ ਨਾਲ ਜਾਰੀਕਰਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ, PKI ਫੋਲਡਰ ਦਾ ਨਵਾਂ ਬੈਕਅਪ ਲਓ, ਕਲਾਇੰਟ ਭੂਮਿਕਾ ਲਈ ਬੇਨਤੀ ਆਯਾਤ ਕਰਕੇ ਦਸਤਖਤ ਕਰੋ, ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਰਸਤੇ ਰਾਹੀਂ ਸਰਟੀਫਿਕੇਟ ਲੜੀ ਸਮੇਤ ਦਿਓ, ਅਤੇ ਵਰਤੋਂਕਾਰ ਦੇ ਜੁੜਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੋ:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

ਮਕਸਦ ਲਾਈਨ ਵਿੱਚ SSL client ਦਿਸਣਾ ਚਾਹੀਦਾ ਹੈ। ਜਾਰੀ ਕਰਨ ਤੋਂ ਬਾਅਦ CA ਬੈਕਅਪ ਅੱਪਡੇਟ ਕਰਕੇ ਖ਼ਤਮ ਕਰੋ, ਕਿਉਂਕਿ ਨਵਾਂ ਕ੍ਰਮਿਕ ਨੰਬਰ ਦਰਜ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਲਿਆ ਬੈਕਅਪ ਹੁਣੇ ਜੋੜੀ ਡਿਵਾਈਸ ਤੋਂ ਬਿਨਾਂ ਸਥਿਤੀ ਬਹਾਲ ਕਰਦਾ ਹੈ।

ਦੁਬਾਰਾ ਨਿਰਮਾਣ ਤਿੰਨ ਹਾਲਤਾਂ ਵਿੱਚ ਸਹੀ ਹੈ: CA ਕੁੰਜੀ ਭੰਗ ਹੋ ਗਈ, ਜਾਰੀ ਕਰਨ ਦੀ ਸਥਿਤੀ ਨਾ ਬਹਾਲ ਹੋਣ ਵਾਲੀ ਗਈ, ਜਾਂ ਤੁਸੀਂ ਜਾਣ-ਬੁੱਝ ਕੇ ਕੁੰਜੀ ਐਲਗੋਰਿਦਮ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਨੀਤੀ ਬਦਲ ਰਹੇ ਹੋ। ਤਿੰਨੇ ਪ੍ਰੋਜੈਕਟ ਹਨ ਜਿਨ੍ਹਾਂ ਨੂੰ ਹਰ ਕਲਾਇੰਟ ਦੀ ਦੁਬਾਰਾ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਯੋਜਨਾ ਚਾਹੀਦੀ ਹੈ, ਇੱਕ ਡਿਵਾਈਸ ਦੀ ਬੇਨਤੀ ਦੇ ਕਦਮ ਨਹੀਂ। ਕੋਈ ਵੀ ਲਾਗੂ ਨਾ ਹੋਵੇ ਤਾਂ ਵਾਧੂ ਰੂਪ ਵਿੱਚ ਰਜਿਸਟਰ ਕਰੋ।