ਸਰਟੀਫਿਕੇਟ ਦੇ ਨਾਮ ਦੀ ਅਸਹਿਮਤੀ ਜਾਂ ਮਿਆਦ ਖਤਮ: ਦੋਵਾਂ ਨੂੰ ਕਿਵੇਂ ਵੱਖ ਕਰੀਏ

ਦੋ VPN ਫੇਲ੍ਹ ਵਰਤੋਂਕਾਰ ਦੀ ਕੁਰਸੀ ਤੋਂ ਇੱਕੋ ਜਿਹੇ ਦਿਸਦੇ ਹਨ ਪਰ ਉਲਟ ਸੁਧਾਰ ਮੰਗਦੇ ਹਨ। ਨਾਮ ਦੀ ਅਸਹਿਮਤੀ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਵੈਧ ਹੈ ਪਰ ਕਿਸੇ ਹੋਰ ਚੀਜ਼ ਲਈ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੈ। ਮਿਆਦ ਖਤਮ ਹੋਣ ਦੀ ਗਲਤੀ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਇਸ ਪਲ ਵੈਧ ਨਹੀਂ ਹੈ। ਦੋਵੇਂ ਪਾਸਵਰਡ ਦੀ ਸਮੱਸਿਆ ਨਹੀਂ ਹਨ, ਅਤੇ ਦੋਵਾਂ ਸੂਰਤਾਂ ਵਿੱਚ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਰੀਸੈਟ ਕਰਨਾ ਸਭ ਤੋਂ ਆਮ ਬਰਬਾਦ ਘੰਟਾ ਹੈ। ਕੁਝ ਵੀ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਫੇਲ੍ਹ ਹੋਣ ਵਾਲਾ ਪੜਾਅ ਪੜ੍ਹੋ।

ਗਲਤੀ ਦਾ ਟੈਕਸਟ ਹੀ ਨਿਦਾਨ ਹੈ

ਸੁਨੇਹਾ ਸੰਖੇਪ ਹੋਣ ਪਰ ਵੀ ਕਲਾਇੰਟ ਤੁਹਾਨੂੰ ਦੱਸਦਾ ਹੈ ਕਿ ਕਿਹੜੀ ਜਾਂਚ ਫੇਲ੍ਹ ਹੋਈ। ਅਸਹਿਮਤੀ ਉਮੀਦ ਕੀਤੇ ਹੋਸਟਨਾਮ ਅਤੇ ਮਿਲੇ ਨਾਮ ਦਾ ਜ਼ਿਕਰ ਕਰਦੀ ਹੈ। ਮਿਆਦ ਦੀ ਗਲਤੀ ਵੈਧਤਾ ਦੀਆਂ ਤਾਰੀਖਾਂ ਜਾਂ ਸਮੇਂ ਦਾ ਜ਼ਿਕਰ ਕਰਦੀ ਹੈ। ਉਹ ਦੋ ਵਾਕ ਸਰਟੀਫਿਕੇਟ ਦੇ ਵੱਖਰੇ ਹਿੱਸਿਆਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ।

ਉਹਨਾਂ ਨੂੰ ਉਸੇ ਪੜਾਅ ’ਤੇ ਪੜ੍ਹੋ ਜਿੱਥੇ ਉਹ ਦਿਸਦੇ ਹਨ। ਹੈਂਡਸ਼ੇਕ ਦੌਰਾਨ ਫੇਲ੍ਹਤਾ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸਮੱਸਿਆ ਹੈ; ਟਨਲ ਉੱਠਣ ਤੋਂ ਬਾਅਦ ਦੀ ਫੇਲ੍ਹਤਾ ਰੂਟਿੰਗ ਜਾਂ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਦੀ ਸਮੱਸਿਆ ਹੈ। ਪੜਾਅ ਨੂੰ ਕਾਇਮ ਰੱਖਣਾ ਹੀ ਜਾਂਚ ਨੂੰ ਅਸੰਬੰਧਿਤ ਸੈਟਿੰਗਾਂ ਵੱਲ ਭਟਕਣ ਤੋਂ ਰੋਕਦਾ ਹੈ।

ਜੇ ਫੇਲ੍ਹਤਾ ਕੋਸ਼ਿਸ਼ਾਂ ਵਿਚਕਾਰ ਬਦਲਦੀ ਹੈ, ਤਾਂ ਤੁਹਾਡੇ ਕੋਲ ਤੀਜੀ ਸੰਭਾਵਨਾ ਹੈ: ਇੱਕੋ ਨਾਮ ਪਿੱਛੇ ਇੱਕ ਤੋਂ ਵੱਧ ਨੋਡ।

ਨਾਮ ਜਾਂਚਾਂ: ਕਲਾਇੰਟ ਕੀ ਤੁਲਨਾ ਕਰਦਾ ਹੈ

ਕਲਾਇੰਟ ਉਸ ਪਛਾਣ ਦੀ ਤੁਲਨਾ ਕਰਦਾ ਹੈ ਜਿਸਦੀ ਉਮੀਦ ਲਈ ਉਹ ਸੰਰਚਿਤ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਵਿੱਚਲੇ ਨਾਵਾਂ ਨਾਲ, ਜੋ subjectAltName ਐਕਸਟੈਂਸ਼ਨ ਵਿੱਚ ਹਨ। ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਕੱਚਾ IP, ਸਰਟੀਫਿਕੇਟ ਵੱਲੋਂ ਸੂਚੀਬੱਧ ਨਾ ਕੀਤਾ ਉਪਨਾਮ, ਜਾਂ ਉਸੇ ਸਰਵਰ ’ਤੇ ਹੀ ਹੱਲ ਹੋਣ ਵਾਲਾ ਨਾਮ — ਸਭ ਇਸ ਜਾਂਚ ਵਿੱਚ ਫੇਲ੍ਹ ਹੁੰਦੇ ਹਨ। ਸਹੀ ਮਸ਼ੀਨ ਤੱਕ ਪਹੁੰਚਣਾ ਸਹੀ ਪਛਾਣ ਪੇਸ਼ ਕਰਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ।

ਪਿਛਲੀ ਕੋਸ਼ਿਸ਼ ਦੀ ਫਾਈਲ ਦੀ ਬਜਾਏ ਉਹ ਸਰਟੀਫਿਕੇਟ ਵੇਖੋ ਜੋ ਸਰਵਰ ਅਸਲ ਵਿੱਚ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਹੇਠਾਂ ਦਿੱਤਾ ਕਮਾਂਡ ਉਹ ਨਾਮ ਮੰਗਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਸੰਰਚਿਤ ਕੀਤਾ, ਇਸ ਲਈ ਜਵਾਬ ਵਿੱਚ ਉਹ ਸਰਟੀਫਿਕੇਟ ਸ਼ਾਮਲ ਹੈ ਜੋ ਅਸਲ ਕਲਾਇੰਟ ਵੇਖੇਗਾ।

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

ਭਰੋਸੇਯੋਗ ਜਾਰੀਕਰਤਾ ਦਾ ਸਰਟੀਫਿਕੇਟ ਫਿਰ ਵੀ ਕਿਸੇ ਹੋਰ ਸੇਵਾ ਲਈ ਹੋ ਸਕਦਾ ਹੈ। ਕਲਾਇੰਟ ਦੀਆਂ ਨਾਮ ਜਾਂਚਾਂ ਚਾਲੂ ਰੱਖੋ, ਕਿਉਂਕਿ CA ’ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਉਸ CA ਵੱਲੋਂ ਕਦੇ ਵੀ ਦਸਤਖਤ ਕੀਤੇ ਹਰ ਨਾਮ ਨੂੰ ਅਧਿਕਾਰ ਨਹੀਂ ਦਿੰਦਾ। ਜਾਂਚ ਬੰਦ ਕਰਨਾ ਸੰਰਚਨਾ ਗਲਤੀ ਨੂੰ ਖੁਲਾਸੇ ਵਿੱਚ ਬਦਲ ਦਿੰਦਾ ਹੈ।

ਮਿਆਦ ਖਤਮ: ਕਿਸਦੀ ਘੜੀ ਪੜ੍ਹੀ ਜਾ ਰਹੀ ਹੈ

ਵੈਧਤਾ ਦੋ ਟਾਈਮਸਟੈਂਪਾਂ ਦੀ ਜੋੜੀ ਹੈ, ਅਤੇ ਜਾਂਚਕਰਤਾ ਉਹਨਾਂ ਦੀ ਆਪਣੀ ਘੜੀ ਨਾਲ ਤੁਲਨਾ ਕਰਦਾ ਹੈ। ਗਲਤ ਘੜੀ ਵਾਲਾ ਯੰਤਰ ਵੈਧ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਮਿਆਦ ਖਤਮ ਜਾਂ ਅਜੇ ਅਵੈਧ ਦੱਸਦਾ ਹੈ, ਅਤੇ ਸੁਧਾਰ ਘੜੀ ਦਾ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਹੀਂ। ਟਾਈਮ ਜ਼ੋਨ ਦਿਖਾਉਣ ਦਾ ਫਰਕ ਅਧਾਰ ਸਮੇਂ ਦੇ ਗਲਤ ਹੋਣ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ।

ਕੋਈ ਵੀ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਕਲਾਇੰਟ ’ਤੇ ਸਰਟੀਫਿਕੇਟ ਦੀਆਂ ਤਾਰੀਖਾਂ ਦੀ UTC ਨਾਲ ਤੁਲਨਾ ਕਰੋ:

openssl x509 -in cert.pem -noout -dates
date -u

ਜੇ ਤਾਰੀਖਾਂ ਸੱਚਮੁੱਚ ਲੰਘ ਗਈਆਂ ਹਨ, ਤਾਂ ਜਾਰੀਕਰਤਾ ਰਾਹੀਂ ਨਵੀਨੀਕਰਨ ਕਰੋ। ਜੇ ਬਦਲ ਮੌਜੂਦ ਹੈ ਪਰ ਅਜੇ ਵੈਧ ਨਹੀਂ ਹੋਇਆ, ਤਾਂ ਉਸ ਅਨੁਸਾਰ ਘੜੀ ਅੱਗੇ ਵਧਾਉਣ ਦੀ ਬਜਾਏ ਸਮਰਥਿਤ ਬਦਲਾਅ ਦੀ ਪਾਲਣਾ ਕਰੋ। ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਸੰਤੁਸ਼ਟ ਕਰਨ ਲਈ ਯੰਤਰ ਦੀ ਤਾਰੀਖ ਪਿੱਛੇ ਕਰਨਾ ਟਨਲ ਤੋਂ ਬਹੁਤ ਅੱਗੇ ਨਤੀਜਿਆਂ ਵਾਲਾ ਫੈਸਲਾ ਹੈ।

ਇੱਕ ਨੂੰ ਠੀਕ ਕਰਨ ਨਾਲ ਦੂਜਾ ਕਿਉਂ ਖੁੱਲ੍ਹਦਾ ਹੈ

ਪ੍ਰਮਾਣਿਕਤਾ ਜਾਂਚਾਂ ਦਾ ਕ੍ਰਮ ਚਲਾਉਂਦੀ ਹੈ, ਅਤੇ ਪਹਿਲੀ ਫੇਲ੍ਹਤਾ ਰਿਪੋਰਟ ਰੋਕ ਦਿੰਦੀ ਹੈ। ਨਾਮ ਠੀਕ ਕਰੋ ਅਤੇ ਫਿਰ ਕਲਾਇੰਟ ਤੁਹਾਨੂੰ ਦੱਸ ਸਕਦਾ ਹੈ ਕਿ ਚੇਨ ਅਧੂਰੀ ਹੈ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਖਤਮ ਹੋ ਗਈ ਹੈ। ਇਸਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਕਿ ਪਹਿਲੀ ਜਾਂਚ ਜ਼ਰੂਰੀ ਨਹੀਂ ਸੀ। ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਚੇਨ ਵਿੱਚ ਇੱਕ ਤੋਂ ਵੱਧ ਸਮੱਸਿਆ ਸੀ, ਇਸ ਲਈ ਪਹਿਲੇ ਸੁਧਾਰ ਦੇ ਗਲਤ ਹੋਣ ਦੇ ਸਬੂਤ ਵਜੋਂ ਨਾ ਪੜ੍ਹੋ, ਦੂਜੀ ਗਲਤੀ ਦੀ ਉਮੀਦ ਕਰੋ।

ਕਈ ਨੋਡ ਇਸਨੂੰ ਹੋਰ ਖਰਾਬ ਕਰਦੇ ਹਨ। ਲੋਡ-ਬੈਲੰਸਡ ਸੇਵਾ ਵੱਖਰੇ ਮੈਂਬਰਾਂ ਤੋਂ ਵੱਖਰੇ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰ ਸਕਦੀ ਹੈ, ਇਸ ਲਈ ਦੋ ਵਾਰ ਪਾਸ ਹੋਣ ਵਾਲਾ ਅਤੇ ਇੱਕ ਵਾਰ ਫੇਲ੍ਹ ਹੋਣ ਵਾਲਾ ਟੈਸਟ ਤੁਹਾਨੂੰ ਤੁਹਾਡੇ ਕਲਾਇੰਟ ਬਾਰੇ ਨਹੀਂ, ਫਲੀਟ ਬਾਰੇ ਦੱਸਦਾ ਹੈ। ਨਿਦਾਨ ਵਿੱਚ ਪੀਅਰ ਪਤਾ ਅਤੇ ਕੋਸ਼ਿਸ਼ ਦਾ ਸਮਾਂ ਰੱਖੋ।

ਉਹੀ ਵੇਰਵਾ ਅਸਥਿਰ ਟਿਕਟ ਨੂੰ ਦੁਬਾਰਾ ਪੈਦਾ ਕਰਨ ਯੋਗ ਟਿਕਟ ਬਣਾਉਂਦਾ ਹੈ।

ਨਵੇਂ ਕਨੈਕਸ਼ਨ ਨਾਲ ਇਸਨੂੰ ਸਾਬਤ ਕਰੋ

ਮੁਰੰਮਤ ਤੋਂ ਬਾਅਦ ਪੁਰਾਣੇ ਨੂੰ ਮੁੜ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਬਜਾਏ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਖੋਲ੍ਹੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਪਹਿਲਾਂ ਫੇਲ੍ਹ ਹੋਣ ਵਾਲਾ ਪੜਾਅ ਹੁਣ ਪਾਸ ਹੁੰਦਾ ਹੈ। ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਟਨਲ ਅਸਲ ਵਿੱਚ ਟ੍ਰੈਫਿਕ ਢੋਂਦੀ ਹੈ, ਕਿਉਂਕਿ ਸਫਲ ਹੈਂਡਸ਼ੇਕ ਕੰਮ ਕਰਨ ਵਾਲਾ ਰਸਤਾ ਨਹੀਂ ਹੈ।

ਸਹੀ ਗਲਤੀ ਪੜਾਅ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਵੇਰਵੇ ਟਿਕਟ ਨਾਲ ਰੱਖੋ।

ਉਹੀ ਰਿਕਾਰਡ ਅਗਲੇ ਵਿਅਕਤੀ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਸਮੱਸਿਆ ਲਈ ਖਾਤਾ ਪਾਸਵਰਡ ਰੀਸੈਟ ਕਰਨ ਤੋਂ ਰੋਕਦਾ ਹੈ। ਪਛਾਣ ਅਤੇ ਵੈਧਤਾ ਵੱਖਰੇ ਸਵਾਲ ਹਨ, ਅਤੇ ਦੂਜੇ ਦਾ ਮੁਲਾਂਕਣ ਕਿਵੇਂ ਹੁੰਦਾ ਹੈ ਲਈ RFC 5280 ਹਵਾਲਾ ਹੈ।