ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਜਾਂਚ ਫੇਲ: ਕਿਹੜਾ ਹੋਸਟ ਕੀ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦਾ

ਸਰਟੀਫਿਕੇਟ ਆਪਣੀ ਵੈਧਤਾ ਅਵਧੀ ਅੰਦਰ ਹੋ ਸਕਦੇ ਹਨ ਜਦਕਿ VPN ਫਿਰ ਵੀ ਪ੍ਰਮਾਣਿਕਤਾ ਫੇਲ ਹੋਣ ਦੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਕੋਈ ਸਿੱਟਾ ਕੱਢਦਾ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਹੋ ਗਿਆ ਹੈ। ਇਹ ਤਿੰਨ ਵੱਖਰੇ ਤੱਥ ਹਨ। ਰੱਦ ਜਾਣਕਾਰੀ ਤਸਦੀਕ ਕਰਨ ਵਾਲੇ ਡਿਵਾਈਸ ਨੂੰ ਖੁਦ ਸਰਟੀਫਿਕੇਟ ਅੰਦਰ ਦੱਸੇ ਪ੍ਰਕਾਸ਼ਨ ਐਂਡਪੁਆਇੰਟ ਤੋਂ ਲੈਣੀ ਪੈਂਦੀ ਹੈ। ਜਦੋਂ ਉਹ ਡਿਵਾਈਸ ਐਂਡਪੁਆਇੰਟ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ, ਜਾਂਚ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸਥਿਤੀ ਨਾਲ ਸਬੰਧਤ ਨਾ ਹੋਣ ਵਾਲੇ ਕਾਰਨਾਂ ਕਰਕੇ ਫੇਲ ਹੁੰਦੀ ਹੈ।

ਲਿਆਉਣ ਦਾ ਰਸਤਾ ਤਸਦੀਕਕਰਤਾ ਦੇ ਹੱਥ ਹੈ

ਪਹਿਲਾਂ ਤਸਦੀਕ ਕਰਨ ਵਾਲੇ ਧਿਰ ਦੀ ਪਛਾਣ ਕਰੋ। ਜਦੋਂ ਲੈਪਟਾਪ ਗੇਟਵੇ ਦਾ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚਦਾ ਹੈ, ਤਾਂ ਲੈਪਟਾਪ ਹੀ ਜਾਣਕਾਰੀ ਲਿਆਉਂਦਾ ਹੈ; ਜਦੋਂ ਗੇਟਵੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚਦਾ ਹੈ, ਤਾਂ ਗੇਟਵੇ ਲਿਆਉਂਦਾ ਹੈ। ਬੈਕਐਂਡ ਪ੍ਰਮਾਣਿਕਤਾ ਸੇਵਾ ਆਪਣੀ ਨੈੱਟਵਰਕ ਸਥਿਤੀ ਵਾਲਾ ਤੀਜਾ ਤਸਦੀਕਕਰਤਾ ਜੋੜ ਸਕਦੀ ਹੈ। ਹਰੇਕ ਦਾ ਇੰਟਰਨੈੱਟ ਤੱਕ ਵੱਖਰਾ ਰਸਤਾ ਅਤੇ ਵੱਖਰੀ ਪ੍ਰੌਕਸੀ ਸੰਰਚਨਾ ਹੁੰਦੀ ਹੈ। ਪ੍ਰਸ਼ਾਸਕ ਦੇ ਵਰਕਸਟੇਸ਼ਨ ਤੇ ਇਕੱਠੇ ਕੀਤੇ ਸਬੂਤ DMZ ਅੰਦਰਲੇ ਸਰਵਰ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦੇ।

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਸਰਟੀਫਿਕੇਟ, ਤਸਦੀਕਕਰਤਾ, ਕੋਸ਼ਿਸ਼ ਦਾ ਸਮਾਂ ਅਤੇ ਸਹੀ ਸਟੇਟਸ ਕੋਡ ਲਿਖ ਲਓ।

ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਪ੍ਰਕਾਸ਼ਨ ਐਂਡਪੁਆਇੰਟ ਪੜ੍ਹੋ

ਸਰਟੀਫਿਕੇਟ ਦੱਸਦਾ ਹੈ ਕਿ ਇਸਦੀ ਸਥਿਤੀ ਕਿੱਥੇ ਹੈ। CA ਪਤਾ ਅਨੁਮਾਨ ਲਾਉਣ ਦੀ ਥਾਂ ਉਹ ਫੀਲਡ ਪੜ੍ਹੋ।

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

ਪਹਿਲਾ ਐਕਸਟੈਂਸ਼ਨ CRL ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਪੁਆਇੰਟ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੂਜਾ ਜਾਰੀਕਰਤਾ ਜਾਣਕਾਰੀ ਪਹੁੰਚ ਢੰਗ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਜੋ OCSP ਸਥਿਤੀ ਅਤੇ ਜਾਰੀਕਰਤਾ ਸਰਟੀਫਿਕੇਟ ਲਿਆਉਣ ਨੂੰ ਕਵਰ ਕਰ ਸਕਦੇ ਹਨ। ਇਹ ਵੱਖਰੇ ਮਕੈਨਿਜ਼ਮ ਹਨ, ਅਤੇ OCSP ਜਵਾਬਦੇਹ CRL ਫਾਈਲ ਨਹੀਂ ਹੈ। ਪ੍ਰਕਾਸ਼ਨ ਹੋਸਟ ਅਕਸਰ ਸਾਧਾਰਨ ਵੈੱਬ ਸਰਵਰ ਹੁੰਦਾ ਹੈ, CA ਮਸ਼ੀਨ ਨਹੀਂ, ਕਿਉਂਕਿ ਆਫਲਾਈਨ ਜਾਰੀਕਰਤਾ CRL ਤੇ ਦਸਤਖਤ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਕੋਈ ਹੋਰ ਸਰਵਰ ਉਸਨੂੰ ਵੰਡਦਾ ਹੈ। ਇਸ ਲਈ CA ਤੱਕ ਪਹੁੰਚ ਵਜੋਂ ਦੱਸਿਆ ਫਾਇਰਵਾਲ ਨਿਯਮ ਲਾਗੂ ਕਰਨ ਜਾਂ ਸਮੀਖਿਆ ਲਈ ਬਹੁਤ ਅਸਪਸ਼ਟ ਹੈ।

ਤਸਦੀਕ ਕਰਨ ਵਾਲੇ ਡਿਵਾਈਸ ਤੋਂ ਲਿਆਉਣ ਦੀ ਜਾਂਚ ਕਰੋ

ਲਿਆਉਣ ਦੀ ਜਾਂਚ ਉਸ ਵਾਤਾਵਰਨ ਵਿੱਚ ਚਲਾਓ ਜੋ ਅਸਲ ਵਿੱਚ ਤਸਦੀਕ ਕਰਦਾ ਹੈ, ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸਰਟੀਫਿਕੇਟ ਸਮੱਗਰੀ ਨਾਲ ਅਤੇ ਨਿੱਜੀ ਕੁੰਜੀਆਂ ਤੋਂ ਬਿਨਾਂ।

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil ਚਲਾਉਣ ਨਾਲ ਚੇਨ ਤਸਦੀਕ ਹੁੰਦੀ ਹੈ ਅਤੇ ਦੱਸਦਾ ਹੈ ਕਿ ਕਿਹੜੇ URL ਲਿਆਉਣ ਸਫਲ ਜਾਂ ਫੇਲ ਹੋਏ, ਜਦਕਿ curl ਕਾਲ ਉਸੇ ਹੋਸਟ ਤੋਂ ਇੱਕ ਪ੍ਰਕਾਸ਼ਨ ਪਤਾ ਜਾਂਚਦੀ ਹੈ ਅਤੇ ਸਿਰਫ ਸਟੇਟਸ ਕੋਡ ਦਿੰਦੀ ਹੈ। ਪਹੁੰਚਯੋਗ ਪਤੇ ਤੋਂ ਲਿਆਉਣ ਫੇਲ ਹੋਣਾ ਸਮੱਗਰੀ ਜਾਂ ਦਸਤਖਤ ਦੀ ਸਮੱਸਿਆ ਦੱਸਦਾ ਹੈ; ਕਨੈਕਸ਼ਨ ਗਲਤੀ ਰੂਟਿੰਗ, DNS ਜਾਂ ਪ੍ਰੌਕਸੀ ਦੱਸਦੀ ਹੈ। ਦੋਵੇਂ ਨਤੀਜੇ ਰੱਖੋ, ਕਿਉਂਕਿ ਇੱਕ ਸਫਲ ਲਿਆਉਣ ਪੂਰੀ ਚੇਨ ਦੇ ਵਰਤੋਂਯੋਗ ਹੋਣ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੈ। ਨਮੂਨਾ ਹੋਸਟ ਅਤੇ ਪਾਥ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਮਿਲੇ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਪੁਆਇੰਟ ਨਾਲ ਬਦਲੋ।

ਗੁੰਮ ਜਾਣਕਾਰੀ ਅਤੇ ਰੱਦ ਸਥਿਤੀ ਨੂੰ ਵੱਖ ਕਰੋ

ਬਾਹਰੋਂ ਚਾਰ ਨਤੀਜੇ ਇੱਕੋ ਜਿਹੇ ਦਿਸਦੇ ਹਨ: ਐਂਡਪੁਆਇੰਟ ਅਪਹੁੰਚ, ਸੂਚੀ ਪੁਰਾਣੀ, ਸੂਚੀ ਗਲਤ ਜਾਰੀਕਰਤਾ ਵੱਲੋਂ ਦਸਤਖਤਸ਼ੁਦਾ, ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਸੱਚਮੁੱਚ ਰੱਦ। ਸਿਰਫ ਆਖਰੀ ਸਥਿਤੀ ਨਤੀਜਾ ਹੈ, ਅਤੇ ਸਿਰਫ ਉਹੀ ਪਹੁੰਚ ਹਟਾਉਣ ਨੂੰ ਜਾਇਜ਼ ਠਹਿਰਾਉਂਦਾ ਹੈ। ਕੈਸ਼ਿੰਗ ਤਸਵੀਰ ਹੋਰ ਗੁੰਝਲਦਾਰ ਬਣਾਉਂਦੀ ਹੈ, ਕਿਉਂਕਿ ਪਹਿਲਾਂ ਲਿਆਈ ਜਾਣਕਾਰੀ ਅਗਲੀ ਰਿਫ੍ਰੈਸ਼ ਤੱਕ ਟੁੱਟਿਆ ਪ੍ਰਕਾਸ਼ਨ ਰਸਤਾ ਲੁਕਾ ਸਕਦੀ ਹੈ। ਰੱਦ ਜਾਂਚ ਬੰਦ ਕਰਨਾ, ਅਸੰਬੰਧਿਤ ਸਰਟੀਫਿਕੇਟ ਮਿਟਾਉਣਾ ਜਾਂ ਗੇਟਵੇ ਰੀਬੂਟ ਕਰਨਾ ਸਭ ਨਿਦਾਨ ਦੀ ਥਾਂ ਸਿਰਫ ਗਤੀਵਿਧੀ ਹਨ।

ਸੁਧਾਰ ਤੋਂ ਬਾਅਦ ਨਵੀਂ ਪ੍ਰਮਾਣਿਕਤਾ ਜ਼ਬਰਦਸਤੀ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਲੋੜੀਂਦੀ ਸਥਿਤੀ ਲਿਆਉਣ ਸਫਲ ਹੁੰਦੀ ਹੈ। ਜਿੱਥੇ ਨਿਯੰਤਰਿਤ ਟੈਸਟ ਪਛਾਣ ਮੌਜੂਦ ਹੈ, ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਉਹ ਅਜੇ ਵੀ ਰੱਦ ਹੁੰਦੀ ਹੈ, ਕਿਉਂਕਿ ਜਾਂਚ ਹਟਾਉਣ ਵਾਲੀ ਉਪਲਬਧਤਾ ਮੁਰੰਮਤ ਨਹੀਂ ਹੈ।