AWS Client VPN: ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਬਨਾਮ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਦੀ ਭੂਮਿਕਾ
ਐਂਡਪੁਆਇੰਟ ਦਾ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਸੇਵਾ ਨੂੰ ਸਾਬਤ ਕਰਦਾ ਹੈ। ਆਪਸੀ ਪ੍ਰਮਾਣਿਕਤਾ ਸਰਵਰ ਦੀ ਕੁੰਜੀ ਸਾਂਝੀ ਕੀਤੇ ਬਿਨਾਂ ਹਰ ਕਲਾਇੰਟ ਦੀ ਪਛਾਣ ਅਤੇ CA ਉੱਤੇ ਭਰੋਸਾ ਜੋੜਦੀ ਹੈ।
Client VPN ਐਂਡਪੁਆਇੰਟ ਨੂੰ ਹਮੇਸ਼ਾ TLS ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਇਹੀ ਉਹ ਪਛਾਣ ਹੈ ਜੋ ਪ੍ਰਬੰਧਿਤ ਐਂਡਪੁਆਇੰਟ ਕਲਾਇੰਟ ਦੇ ਜੁੜਨ ਵੇਲੇ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਇਹ ਉਨ੍ਹਾਂ ਸਰਟੀਫਿਕੇਟਾਂ ਤੋਂ ਵੱਖਰੀ ਚੀਜ਼ ਹੈ ਜੋ ਵਿਅਕਤੀਗਤ ਕਲਾਇੰਟ ਆਪਸੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵੇਲੇ ਪੇਸ਼ ਕਰਦੇ ਹਨ। ਇਨ੍ਹਾਂ ਦੋਵਾਂ ਨੂੰ ਰਲ਼ਾ ਦੇਣਾ ਹੀ ਸਭ ਤੋਂ ਆਮ ਕਾਰਨ ਹੈ ਜਿਸ ਕਰਕੇ ਬਾਕੀ ਸਭ ਠੀਕ ACM ਸੈਟਅੱਪ ਪਹਿਲੇ ਕਨੈਕਸ਼ਨ ਉੱਤੇ ਹੀ ਫੇਲ੍ਹ ਹੋ ਜਾਂਦਾ ਹੈ।
ਹੇਠਾਂ ਕੰਸੋਲ ਤੋਂ ਬਾਹਰ ਵੱਲ, ਉਸੇ ਕ੍ਰਮ ਵਿੱਚ ਇੱਕ ਫੇਰੀ ਹੈ ਜਿਸ ਵਿੱਚ ਕੋਈ ਕਨੈਕਸ਼ਨ ਅਸਲ ਵਿੱਚ ਲੰਘਦਾ ਹੈ।
ਦੋ ਭੂਮਿਕਾਵਾਂ, ਇੱਕ ਐਂਡਪੁਆਇੰਟ
ਐਂਡਪੁਆਇੰਟ ਕੋਲ ਸਰਵਰ ਦੀ ਪਛਾਣ ਹੈ ਅਤੇ ਲੋੜ ਪੈਣ 'ਤੇ ਕਲਾਇੰਟ ਪਛਾਣਾਂ ਦੀ ਜਾਂਚ ਦਾ ਤਰੀਕਾ ਵੀ। ਇਹ ਵੱਖਰੇ ਤੌਰ 'ਤੇ ਸੰਰਚਿਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਇੱਕ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਸੇਵਾ ਉੱਤੇ ਭਰੋਸਾ ਕਰ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ; ਦੂਜਾ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਸੇਵਾ ਕਲਾਇੰਟ ਨੂੰ ਕਬੂਲ ਕਰਦੀ ਹੈ ਜਾਂ ਨਹੀਂ।
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
ਸਾਰਣੀ ਨੂੰ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਦੀ ਥਾਂ ਤਿੰਨ ਸੁਤੰਤਰ ਲੋੜਾਂ ਵਜੋਂ ਪੜ੍ਹੋ। ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਸ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਸੇਵਾ ਕੋਲ ਰਹਿੰਦੇ ਹਨ। ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਸ ਨਾਲ ਮਿਲਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਡਿਵਾਈਸ ਉੱਤੇ ਰਹਿੰਦੀ ਹੈ। CA ਸਮੱਗਰੀ ਉਹ ਹੈ ਜਿਸ ਨਾਲ ਜਾਂਚਕਰਤਾ ਲੜੀ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ। ਲੈਪਟਾਪ ਉੱਤੇ ਹਮੇਸ਼ਾ ਸਿਰਫ਼ ਵਿਚਕਾਰਲੀ ਕਤਾਰ ਹੀ ਆਉਂਦੀ ਹੈ।
ACM ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਕੀ ਕਰਦਾ ਹੈ
ਐਂਡਪੁਆਇੰਟ ਬਣਾਉਂਦੇ ਸਮੇਂ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ACM ਵਿੱਚ ਉਸੇ ਖੇਤਰ ਵਿੱਚ ਉਪਲਬਧ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿੱਥੇ ਐਂਡਪੁਆਇੰਟ ਹੈ। ਕੰਸੋਲ ARN ਮੰਗਦਾ ਹੈ, ਅਤੇ ਉਹ ARN ਉੱਥੇ ਹੀ ਹੱਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ACM ਡੋਮੇਨ ਪੜਤਾਲ ਨਾਲ ਦਿੱਤਾ ਸਰਟੀਫਿਕੇਟ ਰੱਖ ਸਕਦਾ ਹੈ, ਜਾਂ ਉਹ ਜੋ ਤੁਸੀਂ ਕੁੰਜੀ ਅਤੇ ਲੜੀ ਨਾਲ ਆਯਾਤ ਕਰਦੇ ਹੋ। ਦੋਵੇਂ ਇਸ ਭੂਮਿਕਾ ਵਿੱਚ ਕੰਮ ਕਰਦੇ ਹਨ; ਫ਼ਰਕ ਨਵੀਨੀਕਰਨ ਅਤੇ ਨਿੱਜੀ ਕੁੰਜੀ ਕਿਸ ਕੋਲ ਹੈ, ਵਿੱਚ ਹੈ।
ਉਹੀ ਪ੍ਰਾਪਤੀ ਮਾਰਗ ਚੁਣੋ ਜੋ ਇਸ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਕੌਣ ਨਵੀਨੀਕਰਨ ਕਰ ਸਕਦਾ ਹੈ, ਨਾ ਕਿ ਉਹ ਜਿਸ ਨੇ ਸੰਜੋਗ ਨਾਲ ਵੈਧ ਦਿਸਣ ਵਾਲੀ ਫ਼ਾਈਲ ਬਣਾਈ।
ਆਪਸੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕੀ ਜੋੜਦੀ ਹੈ
ਸਰਟੀਫਿਕੇਟ-ਆਧਾਰਿਤ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਚੁਣਨ ਨਾਲ ਦੂਜਾ ਸਵਾਲ ਜੁੜਦਾ ਹੈ: ਕਿਹੜੇ ਕਲਾਇੰਟ ਜੁੜ ਹੀ ਸਕਦੇ ਹਨ। ਹਰ ਕਲਾਇੰਟ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਦਾ ਹੈ ਅਤੇ ਮਿਲਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਰੱਖਣ ਦਾ ਸਬੂਤ ਦਿੰਦਾ ਹੈ। ਵੱਖਰੀਆਂ ਪਛਾਣਾਂ ਹੀ ਬਾਅਦ ਵਿੱਚ ਚੋਣਵੇਂ ਰੱਦ ਕਰਨਾ ਸੰਭਵ ਬਣਾਉਂਦੀਆਂ ਹਨ। ਇੱਕ ਕਲਾਇੰਟ ਕੁੰਜੀ ਹਰ ਡਿਵਾਈਸ ਉੱਤੇ ਨਕਲ ਕਰਨਾ ਉਹ ਗੁਣ ਚੁੱਪਚਾਪ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਤਦ ਵੀ ਜਦੋਂ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਬਿਲਕੁਲ ਠੀਕ ਤਰੀਕੇ ਨਾਲ ਲਿਆ ਗਿਆ ਹੋਵੇ।
ਐਂਡਪੁਆਇੰਟ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਇੱਕ ਚੋਣ ਹੈ, ਸਰਵਵਿਆਪੀ ਲੋੜ ਨਹੀਂ।
Active Directory ਅਤੇ ਸੰਘੀ ਪ੍ਰਮਾਣਿਕਤਾ ਉਸੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਹੋਰ ਸਾਧਨਾਂ ਨਾਲ ਦਿੰਦੇ ਹਨ। ਆਪਸੀ ਸਰਟੀਫਿਕੇਟ ਵਾਲੀ ਵਿਧੀ ਉਨ੍ਹਾਂ ਤੈਨਾਤੀਆਂ ਲਈ ਆਪਣੇ ਆਪ ਲੌਗਇਨ ਡਿਜ਼ਾਈਨ ਨਹੀਂ ਬਣ ਜਾਂਦੀ, ਅਤੇ ਵਰਤੋਂਕਾਰ ਨੂੰ ਕਿਵੇਂ ਵੀ ਅੰਦਰ ਲਿਆਂਦਾ ਜਾਵੇ, ਸਰਵਰ ਦੀ TLS ਜਾਂਚ ਲਾਗੂ ਰਹਿੰਦੀ ਹੈ।
ਇੱਕੋ CA ARN ਕੁੰਜੀ ਸਾਂਝੀ ਕਰਨਾ ਕਿਉਂ ਨਹੀਂ
AWS ਦਸਤਾਵੇਜ਼ ਕਰਦਾ ਹੈ ਕਿ ਜਦੋਂ ਸਰਵਰ ਅਤੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ CA ਜਾਰੀ ਕਰਦਾ ਹੈ, ਤਾਂ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦਾ ARN ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਚੁਣਨ ਲਈ ਵੀ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਉਹ ਵਾਕ ਉਸ ਲੜੀ ਬਾਰੇ ਹੈ ਜਿਸ ਉੱਤੇ ਐਂਡਪੁਆਇੰਟ ਜਾਂਚ ਵੇਲੇ ਭਰੋਸਾ ਕਰਦਾ ਹੈ। ਇਹ ਕਲਾਇੰਟਾਂ ਨੂੰ ਸਰਵਰ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਵਰਤਣ ਲਈ ਨਹੀਂ ਕਹਿੰਦਾ। ਲੈਪਟਾਪ ਨੂੰ ਅਜੇ ਵੀ ਆਪਣਾ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਆਪਣੀ ਮਿਲਦੀ ਕੁੰਜੀ ਚਾਹੀਦੀ ਹੈ।
ਜਦੋਂ ਕਲਾਇੰਟ ਦਾ CA ਕੋਈ ਹੋਰ ਜਾਰੀਕਰਤਾ ਹੋਵੇ, ਤਾਂ ਦਸਤਾਵੇਜ਼ਿਤ ਮਾਰਗ ਉਸ CA ਨੂੰ ACM ਵਿੱਚ ਆਯਾਤ ਕਰਨਾ ਅਤੇ ਇਸ ਨੂੰ ਕਲਾਇੰਟ ਭੂਮਿਕਾ ਲਈ ਚੁਣਨਾ ਹੈ।
ਨਾਕਾਮੀ ਨੂੰ ਕਿਸੇ ਪੜਾਅ ਤੱਕ ਵਾਪਸ ਲੈ ਜਾਓ
ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਕਿਹੜਾ ਪੜਾਅ ਫੇਲ੍ਹ ਹੋ ਰਿਹਾ ਹੈ। ਜੇ ਕਲਾਇੰਟ ਐਂਡਪੁਆਇੰਟ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ, ਤਾਂ ਸ਼ੱਕੀ ਸਰਵਰ ਦਾ ARN ਜਾਂ ਉਸ ਦੀ ਲੜੀ ਹੈ। ਜੇ ਐਂਡਪੁਆਇੰਟ ਕਲਾਇੰਟ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ, ਤਾਂ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ, ਉਸ ਦਾ ਜਾਰੀਕਰਤਾ ਅਤੇ ਚੁਣੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਦੇਖੋ। ਜੇ ਟਨਲ ਬਣ ਜਾਂਦੀ ਹੈ ਅਤੇ ਟਰੈਫਿਕ ਫਿਰ ਵੀ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਸਰਟੀਫਿਕੇਟਾਂ ਤੋਂ ਅੱਗੇ ਨਿਕਲ ਚੁੱਕੇ ਹੋ।
ਇੱਕ ਵਾਰ ਵਿੱਚ ਇੱਕ ਹੀ ਚੀਜ਼ ਬਦਲੋ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਸਿਰੇ ਇਕੱਠੇ ਬਦਲਣ ਨਾਲ ਉਹੀ ਅਸਪਸ਼ਟਤਾ ਦੁਬਾਰਾ ਪੈਦਾ ਹੁੰਦੀ ਹੈ ਜਿਸ ਨਾਲ ਤੁਸੀਂ ਸ਼ੁਰੂ ਕੀਤਾ ਸੀ।
ਉਸ ਖਾਸ ਭੂਮਿਕਾ ਲਈ ਸੇਵਾ ਦੇ ਸਮਰਥਿਤ ਕੁੰਜੀ ਐਲਗੋਰਿਦਮ ਅਤੇ ਲੋੜੀਂਦੇ ਐਕਸਟੈਂਸ਼ਨ ਵੀ ਜਾਂਚੋ। ਜਨਤਕ ਵੈਬਸਾਈਟ ਨੂੰ ਸੰਤੁਸ਼ਟ ਕਰਨ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਨਹੀਂ ਕਿ Client VPN ਦੀਆਂ ਸਾਰੀਆਂ ਪਛਾਣ ਲੋੜਾਂ ਪੂਰੀਆਂ ਹੋਈਆਂ ਹਨ।
ਲਿਖੋ ਕਿ ਕਿਹੜਾ ਖੇਤਰ ਕਿਹੜਾ ARN ਰੱਖਦਾ ਹੈ, ਕਿਸ CA ਨੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕੀਤਾ ਅਤੇ ਐਂਡਪੁਆਇੰਟ ਅਸਲ ਵਿੱਚ ਕਿਹੜੀ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਵਰਤਦਾ ਹੈ। ਤਿੰਨ ਕਤਾਰਾਂ ਦਾ ਰਿਕਾਰਡ ਅਗਲੇ ਨਵੀਨੀਕਰਨ ਨੂੰ ਜਾਂਚ ਦੀ ਥਾਂ ਇੱਕ ਕੰਮ ਬਣਾ ਦਿੰਦਾ ਹੈ।