ਇੱਕ ਸਾਂਝਾ ਨਾਮ, ਦੋ ਸਰਟੀਫਿਕੇਟ: ਮਨਜ਼ੂਰੀ ਸੂਚੀ ਜਾਂ ਰੱਦ ਕਰਨਾ?

ਇੱਕੋ ਸਾਂਝੇ ਨਾਮ ਹੇਠ ਲੈਪਟਾਪ ਸਰਟੀਫਿਕੇਟ ਮੁੜ ਜਾਰੀ ਕਰਨਾ ਬਦਲੀ ਵਾਂਗ ਲੱਗਦਾ ਹੈ, ਅਤੇ ਹਰ ਕੋਈ ਮੰਨਦਾ ਹੈ ਕਿ ਪੁਰਾਣਾ ਮਰ ਚੁੱਕਾ ਹੈ। ਅਜਿਹਾ ਨਹੀਂ ਹੈ। ਪਿਛਲਾ ਸਰਟੀਫਿਕੇਟ ਉਸੇ ਅਥਾਰਟੀ ਵੱਲੋਂ ਦਸਤਖ਼ਤ ਕੀਤਾ ਵੈਧ ਸਰਟੀਫਿਕੇਟ ਹੀ ਰਹਿੰਦਾ ਹੈ, ਅਤੇ ਨਾਮ ਨਾਲ ਗਾਹਕਾਂ ਨੂੰ ਦਾਖਲਾ ਦੇਣ ਵਾਲਾ ਕੋਈ ਵੀ ਨਿਯੰਤਰਣ ਉਸ ਨੂੰ ਦਾਖਲਾ ਦਿੰਦਾ ਰਹੇਗਾ। ਪਛਾਣ ਜਾਂਚ ਨੂੰ ਪ੍ਰਮਾਣ ਜਾਂਚ ਤੋਂ ਵੱਖ ਕਰਨ ਵਾਲੀ ਚੀਜ਼ ਸੀਰੀਅਲ ਨੰਬਰ ਹੈ, ਅਤੇ ਸੁਧਾਰ ਉੱਥੇ ਹੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

ਸਰਵਰ ਵੱਲੋਂ ਵਰਤੀ ਜਾਂਦੀ ਨਾਮਕਰਨ ਨੀਤੀ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ

ਦੋ ਨਿਯੰਤਰਣ ਮਿਲ ਜਾਂਦੇ ਹਨ: ਗਾਹਕ ਨੂੰ ਇਸ ਲਈ ਦਾਖਲਾ ਦੇਣਾ ਕਿ ਉਹ ਆਪਣੇ ਆਪ ਨੂੰ ਕੀ ਦੱਸਦਾ ਹੈ, ਅਤੇ ਇੱਕ ਖ਼ਾਸ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਸੇਵਾ ਤੋਂ ਹਟਾਉਣਾ। ਪਹਿਲਾ ਨਾਮ ਜਾਂਚ ਹੈ, ਦੂਜਾ ਰੱਦ ਕਰਨ ਦੀ ਜਾਂਚ ਹੈ। ਦੋਵੇਂ ਵੱਖਰੇ ਸਵਾਲਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਇੱਕ ਤੈਨਾਤੀ ਵਿੱਚ ਇੱਕ ਦੂਜੇ ਤੋਂ ਬਿਨਾਂ ਹੋ ਸਕਦਾ ਹੈ।

ਸਰਵਰ ਸੰਰਚਨਾ ਪੜ੍ਹੋ ਅਤੇ ਨੋਟ ਕਰੋ ਕਿ ਕਿਹੜਾ ਪਛਾਣ ਸਰੋਤ ਵਰਤੋਂ ਵਿੱਚ ਹੈ। username-as-common-name ਪ੍ਰਮਾਣਿਤ ਵਰਤੋਂਕਾਰ ਨਾਮ ਨੂੰ ਗਾਹਕ-ਖ਼ਾਸ ਖੋਜਾਂ ਲਈ ਪ੍ਰਭਾਵੀ ਨਾਮ ਬਣਾਉਂਦਾ ਹੈ। ਇਸ ਤੋਂ ਬਿਨਾਂ ਸਰਟੀਫਿਕੇਟ ਦਾ ਵਿਸ਼ਾ ਸਾਂਝਾ ਨਾਮ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਜਵਾਬ ਜੋ ਵੀ ਹੋਵੇ, ਕਿਸੇ ਵੀ ਮਨਜ਼ੂਰੀ ਸੂਚੀ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਲਿਖ ਲਓ।

ਦੋਵੇਂ ਰਾਹ ਇੱਕੋ ਸਰਟੀਫਿਕੇਟ ਲਈ ਵੱਖਰਾ ਮਨਜ਼ੂਰ ਨਾਮਾਂ ਦਾ ਸਮੂਹ ਦਿੰਦੇ ਹਨ। ਇੱਥੇ ਅੰਦਾਜ਼ਾ ਲਾਉਣਾ ਭਾਵ ਗ਼ਲਤ ਫ਼ਾਈਲ ਸੋਧਣਾ ਅਤੇ ਇਹ ਸਿੱਟਾ ਕੱਢਣਾ ਕਿ ਨਿਯੰਤਰਣ ਕੰਮ ਨਹੀਂ ਕਰਦਾ।

ਜਾਂਚੋ ਕਿ ਗਾਹਕ ਨੂੰ ਅਸਲ ਵਿੱਚ ਕੀ ਦਾਖਲਾ ਦਿੰਦਾ ਹੈ

ਮੇਲ ਖਾਂਦੀ ਫ਼ਾਈਲ ਵਾਲਾ client-config-dir ਗਾਹਕ-ਖ਼ਾਸ ਵਿਕਲਪ ਦਿੰਦਾ ਹੈ; ਇਕੱਲਾ ਇਹ ਦਾਖਲਾ ਨਿਯਮ ਨਹੀਂ ਹੈ। ਨਾਮ ਨਾਲ ਦਾਖਲੇ ਲਈ ccd-exclusive ਲੋੜੀਂਦਾ ਹੈ, ਜੋ ਮੇਲ ਖਾਂਦੀ ਫ਼ਾਈਲ ਤੋਂ ਬਿਨਾਂ ਗਾਹਕਾਂ ਨੂੰ ਨਾਮਨਜ਼ੂਰ ਕਰਦਾ ਹੈ। ਚੱਲ ਰਹੀ ਤੈਨਾਤੀ ਵਿੱਚ ਇਹ ਚਾਲੂ ਕਰਨ ਨਾਲ ਉਹ ਸਾਰੇ ਡਿਸਕਨੈਕਟ ਹੋ ਜਾਂਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਦੇ ਨਾਮ ਦੀ ਫ਼ਾਈਲ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਫ਼ਾਈਲਾਂ ਗਿਣੋ।

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

ਗਿਣਤੀ ਹੀ ਜਾਂਚ ਹੈ: ਡਾਇਰੈਕਟਰੀ ਸੂਚੀ ਦੀ ਤੁਲਨਾ ਉਹਨਾਂ ਪਛਾਣਾਂ ਨਾਲ ਕਰੋ ਜਿਨ੍ਹਾਂ ਦੇ ਜੁੜਨ ਦੀ ਤੁਸੀਂ ਆਸ ਕਰਦੇ ਹੋ।

ਫਿਰ ਪੱਕਾ ਕਰੋ ਕਿ ਹਰ ਫ਼ਾਈਲ ਨਾਮ ਪ੍ਰਭਾਵੀ ਪਛਾਣ ਨਾਲ ਬਿਲਕੁਲ ਮੇਲ ਖਾਂਦਾ ਹੈ, ਅੱਖਰਾਂ ਦੇ ਆਕਾਰ ਅਤੇ ਖਾਲੀ ਥਾਂਵਾਂ ਸਮੇਤ। office-laptop ਲਈ ਫ਼ਾਈਲ ਉਸ ਸਰਟੀਫਿਕੇਟ ਲਈ ਕੁਝ ਨਹੀਂ ਕਰਦੀ ਜਿਸ ਦਾ ਵਿਸ਼ਾ Office-Laptop ਪੜ੍ਹਿਆ ਜਾਂਦਾ ਹੈ। ਅੰਤ ਦੀਆਂ ਖਾਲੀ ਥਾਂਵਾਂ ਵੀ ਸਾਧਾਰਨ ਸੂਚੀ ਤੋਂ ਲੁਕ ਜਾਂਦੀਆਂ ਹਨ, ਅਤੇ ਇਸੇ ਤਰ੍ਹਾਂ ਮੌਜੂਦ ਦਿਖਦੀ ਫ਼ਾਈਲ ਨਾ ਪੜ੍ਹੀ ਹੋਈ ਰਹਿ ਜਾਂਦੀ ਹੈ।

ਗੇਟਵੇ ਵੱਲੋਂ ਲੋਡ ਕੀਤੀ CRL ਦੀ ਜਾਂਚ ਕਰੋ

CRL ਰੱਦ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਜਾਰੀਕਰਤਾ ਅਤੇ ਸੀਰੀਅਲ ਨੰਬਰ ਨਾਲ ਨਾਮ ਦਿੰਦੀ ਹੈ, ਅਤੇ ਇਹੀ ਉਹ ਬਾਰੀਕੀ ਹੈ ਜੋ ਨਾਮ ਜਾਂਚ ਵਿੱਚ ਨਹੀਂ ਹੈ। ਦੋ ਸਰਟੀਫਿਕੇਟ ਸਾਂਝਾ ਨਾਮ ਸਾਂਝਾ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਸੀਰੀਅਲ ਨੰਬਰ ਵਿੱਚ ਵੱਖਰੇ ਹੋ ਸਕਦੇ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਸੀਰੀਅਲ ਪੱਧਰ ਦੀ ਸੂਚੀ ਹੀ ਉਹਨਾਂ ਨੂੰ ਵੱਖ ਕਰਦੀ ਹੈ।

ਫ਼ਾਈਲ 'ਤੇ ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸੰਰਚਿਤ ਰਾਹ, ਜਾਰੀ ਕਰਨ ਦੀ ਮਿਤੀ ਅਤੇ ਅਗਲੀ ਅਪਡੇਟ ਫ਼ੀਲਡ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL ਵਿਚਲੇ ਸੀਰੀਅਲ ਨੰਬਰ ਦੀ ਤੁਲਨਾ ਉਸ ਸਰਟੀਫਿਕੇਟ ਦੇ ਸੀਰੀਅਲ ਨੰਬਰ ਨਾਲ ਕਰੋ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਰੱਖਣਾ ਚਾਹੁੰਦੇ ਹੋ। ਉਹੀ ਤੁਲਨਾ ਪੂਰਾ ਟੈਸਟ ਹੈ, ਅਤੇ ਇੱਕ ਵਾਰੀ ਅੱਖਾਂ ਨਾਲ ਕਰਨਾ ਕਿਸੇ ਅਜਿਹੀ ਸਕ੍ਰਿਪਟ 'ਤੇ ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਵਧੀਆ ਹੈ ਜਿਸ ਨੂੰ ਕਿਸੇ ਨੇ ਨਹੀਂ ਪੜ੍ਹਿਆ। ਅਪਡੇਟ ਕੀਤੀ CRL ਉਸੇ ਰਾਹ ਰਾਹੀਂ ਵੰਡੋ ਜੋ ਗੇਟਵੇ ਪਹਿਲਾਂ ਹੀ ਪੜ੍ਹਦਾ ਹੈ। ਗ਼ਲਤ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਰੱਖੀ CRL ਕੁਝ ਵੀ ਲਾਗੂ ਨਹੀਂ ਕਰਦੀ, ਅਤੇ ਕੋਈ ਗਾਹਕ ਲੌਗ ਇਸ ਦਾ ਜ਼ਿਕਰ ਨਹੀਂ ਕਰੇਗਾ।

ਬਦਲੋ, ਫਿਰ ਦੋਵੇਂ ਨਤੀਜਿਆਂ ਨੂੰ ਸਾਬਤ ਕਰੋ

ਉਸੇ ਸਾਂਝੇ ਨਾਮ ਹੇਠ ਬਦਲੀ ਜਾਰੀ ਕਰੋ, ਦੋਵੇਂ ਸੀਰੀਅਲ ਨੰਬਰ ਦਰਜ ਕਰੋ, ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਹੀ ਪੁਰਾਣਾ ਰੱਦ ਕਰੋ। ਇਹ ਕ੍ਰਮ ਬਦਲਾਅ ਦੀ ਤਿਆਰੀ ਦੌਰਾਨ ਕੰਮ ਕਰਦੀ ਪਛਾਣ ਉਪਲਬਧ ਰੱਖਦਾ ਹੈ।

ਪਹਿਲਾਂ ਬਦਲੀ ਦੀ ਜਾਂਚ ਕਰੋ: ਇਹ ਪ੍ਰਮਾਣਿਤ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਉਸ ਸਭ ਤੱਕ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿਸ ਦਾ ਇਸ ਦੇ ਨਾਮ ਨੂੰ ਹੱਕ ਹੈ। ਫਿਰ ਪੁਰਾਣੇ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਪੱਕਾ ਕਰੋ ਕਿ ਇਹ ਨਾਮਨਜ਼ੂਰ ਹੁੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਸਫਲ ਬਦਲੀ ਰੱਦ ਕਰਨ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਦੱਸਦੀ। ਜੇ ਦੋਵੇਂ ਅਜੇ ਵੀ ਜੁੜਦੇ ਹਨ, ਤਾਂ ਰੱਦ ਕਰਨ ਦਾ ਇਨਪੁਟ ਪੜ੍ਹਿਆ ਨਹੀਂ ਜਾ ਰਿਹਾ ਜਾਂ ਪੁਰਾਣਾ ਸੀਰੀਅਲ ਨੰਬਰ ਕਦੇ ਸੂਚੀਬੱਧ ਨਹੀਂ ਹੋਇਆ। ਜੇ ਦੋਵੇਂ ਨਹੀਂ ਜੁੜਦੇ, ਤਾਂ ਤੁਸੀਂ ਪ੍ਰਮਾਣ ਨਹੀਂ, ਦਾਖਲਾ ਨਿਯਮ ਤੋੜਿਆ ਹੈ।

ਪਹਿਲਾਂ ਹੀ ਬਣੀਆਂ ਸੈਸ਼ਨਾਂ ਵੱਖਰੀ ਗੱਲ ਹਨ, ਕਿਉਂਕਿ ਗੇਟਵੇ ਸਰਗਰਮ ਕਨੈਕਸ਼ਨ ਕੱਟਣ ਲਈ ਸੰਰਚਿਤ ਨਾ ਹੋਣ ਤੱਕ ਰੱਦ ਕਰਨਾ ਨਵੇਂ ਪ੍ਰਮਾਣੀਕਰਨਾਂ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ। ਕਿਸੇ ਨੂੰ ਵਾਅਦਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਫ਼ੈਸਲਾ ਕਰੋ ਕਿ ਤੁਰੰਤ ਹਟਾਉਣਾ ਲੋੜੀਂਦਾ ਹੈ ਜਾਂ ਨਹੀਂ।

ਜੋ ਨਾਮ ਜਾਂਚ ਕਦੇ ਨਹੀਂ ਕਰ ਸਕਦੀ

ਮਨਜ਼ੂਰੀ ਸੂਚੀ ਦੱਸਦੀ ਹੈ ਕਿ ਇਹ ਪਛਾਣ ਜੁੜ ਸਕਦੀ ਹੈ ਜਾਂ ਨਹੀਂ। ਇਹ ਨਹੀਂ ਦੱਸ ਸਕਦੀ ਕਿ ਉਸ ਪਛਾਣ ਨੇ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਵਰਤਿਆ, ਅਤੇ ਇਹ ਪੁਰਾਣਾ ਪ੍ਰਮਾਣ ਉਦੋਂ ਤੱਕ ਸਵੀਕਾਰ ਕਰਦੀ ਰਹੇਗੀ ਜਦੋਂ ਤੱਕ ਉਹ ਵੈਧ ਅਤੇ ਬਿਨਾਂ ਰੱਦ ਹੋਇਆ ਰਹਿੰਦਾ ਹੈ। ਉਹ ਖੱਪਾ ਘਟਨਾ ਵੇਲੇ ਉਜਾਗਰ ਹੁੰਦਾ ਹੈ, ਜਦੋਂ ਬਦਲੀ ਕੁਝ ਮਹੀਨੇ ਪਹਿਲਾਂ ਜਾਰੀ ਹੋਈ ਸੀ ਅਤੇ ਪਿਛਲਾ ਅਜੇ ਵੀ ਕੰਮ ਕਰਦਾ ਹੈ।

ਜਿੱਥੇ ਸਰਟੀਫਿਕੇਟ ਪੱਧਰ ਦਾ ਨਿਯੰਤਰਣ ਲੋੜੀਂਦਾ ਹੈ, ਉੱਥੇ ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਾਮ ਲੈਣ ਵਾਲਾ ਤੰਤਰ ਵਰਤੋ: CRL ਐਂਟਰੀਆਂ, ਜਾਂ ਓਪਰੇਟਰ ਵੱਲੋਂ ਰੱਖੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਦੀ ਜਾਂਚ ਕਰਨ ਵਾਲਾ ਵੈਰੀਫਾਈ ਹੁੱਕ। ਦੋਵਾਂ ਲਈ ਸਾਂਭ-ਸੰਭਾਲ ਲੋੜੀਂਦੀ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਉਸ ਚੀਜ਼ ਬਾਰੇ ਇਮਾਨਦਾਰ ਹਨ ਜਿਸ ਦੀ ਉਹ ਜਾਂਚ ਕਰਦੇ ਹਨ। OpenVPN 2.6 ਦਸਤਾਵੇਜ਼ ਅਨੁਸਾਰ crl-verify ਅਤੇ ਗਾਹਕ-ਖ਼ਾਸ ਦਾਖਲਾ ਵੱਖਰੇ ਵਿਕਲਪਾਂ ਵਜੋਂ ਦਰਜ ਹਨ, ਇਸੇ ਕਾਰਨ ਕਰਕੇ।

ਕਿਹੜਾ ਨਿਯੰਤਰਣ ਕਿਹੜਾ ਕੰਮ ਕਰਦਾ ਹੈ ਲਿਖੋ, ਫਿਰ ਨਕਾਰਾਤਮਕ ਸਥਿਤੀ ਦੀ ਜਾਂਚ ਕਰੋ। ਜਿਸ ਨੇ ਕਦੇ ਵੀ ਕਿਸੇ ਕਨੈਕਸ਼ਨ ਨੂੰ ਨਾਮਨਜ਼ੂਰ ਹੁੰਦਾ ਨਹੀਂ ਦੇਖਿਆ, ਉਹ ਰੱਦ ਕਰਨਾ ਇੱਕ ਸੰਰਚਨਾ ਹੈ ਜਿਸ ਦੇ ਕੰਮ ਕਰਨ ਦੀ ਤੁਸੀਂ ਆਸ ਕਰਦੇ ਹੋ।