VPN ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਇਸਦੀ ਪਛਾਣ ਬਦਲੇ ਬਿਨਾਂ ਨਵੀਨੀਕਰਨ ਕਰਨਾ

ਪਛਾਣ ਬਦਲਣ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਨਵੀਨੀਕਰਨ ਨਵੀਨੀਕਰਨ ਨਹੀਂ ਹੈ, ਇਹ ਰੱਖ-ਰਖਾਅ ਟਿਕਟ ਪਹਿਨੀ ਹੋਈ ਬਦਲੀ ਹੈ। ਕਲਾਇੰਟ ਨਾਮ, ਲੜੀ ਅਤੇ ਕਦੇ-ਕਦੇ ਕੋਈ ਖ਼ਾਸ ਕੁੰਜੀ ਦੀ ਪੜਤਾਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਤਿੰਨੇ ਸਮਾਪਤੀ ਤਾਰੀਖ ਬਦਲੇ ਬਿਨਾਂ ਬਦਲ ਸਕਦੇ ਹਨ। ਬਦਲੀ ਦੀ ਬੇਨਤੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਲਿਖੋ ਕਿ ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਕੀ ਜਾਂਚਦਾ ਹੈ: ਹੋਸਟਨਾਮ ਜਾਂ ਪੀਅਰ ਪਛਾਣ, ਸਰਟੀਫਿਕੇਟ ਦਾ ਉਦੇਸ਼, ਕੁੰਜੀ ਨੀਤੀ ਅਤੇ ਜਾਰੀ ਕਰਨ ਵਾਲੀ ਲੜੀ। ਨਵੀਨੀਕਰਨ ਇਸ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਬਦਲੀ ਇਨ੍ਹਾਂ ਵਿੱਚੋਂ ਕੀ ਬਦਲਦੀ ਹੈ, ਰੁਟੀਨ ਹੋਵੇ ਜਾਂ ਸਮਕਾਲੀ।

ਤਿੰਨ ਸ਼ਰਤਾਂ ਨਵੀਨੀਕਰਨ ਦਾ ਰੂਪ ਤੈਅ ਕਰਦੀਆਂ ਹਨ

ਤਿੰਨ ਸ਼ਰਤਾਂ ਇਹ ਹਨ ਕਿ ਕੀ ਕੋਈ ਚੀਜ਼ ਪੱਤੇ ਨੂੰ ਪਿੰਨ ਕਰਦੀ ਹੈ, ਕੀ ਲੜੀ ਬਦਲਦੀ ਹੈ, ਅਤੇ ਨਾਮ ਨੂੰ ਹੋਰ ਕੌਣ ਮਾਨਯ ਕਰਦਾ ਹੈ। ਇਹਨਾਂ ਦਾ ਜਵਾਬ CA ਦੀ ਸੁਵਿਧਾ ਤੋਂ ਨਹੀਂ, ਕਲਾਇੰਟ ਵੱਲੋਂ ਦਿਓ, ਕਿਉਂਕਿ ਰਾਤ ਤਿੰਨ ਵਜੇ ਅਸਫਲ ਹੋਣ ਵਾਲਾ ਕਲਾਇੰਟ ਹੀ ਹੁੰਦਾ ਹੈ।

ਆਪਣੇ ਕੋਲ ਮੌਜੂਦ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਾਂਚ ਨਾਲ ਸ਼ੁਰੂ ਕਰੋ। openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName ਵਿਸ਼ਾ, ਜਾਰੀ ਕਰਨ ਵਾਲਾ, ਵੈਧਤਾ ਦੀ ਵਿੰਡੋ ਅਤੇ ਉਹ ਨਾਮ ਛਾਪਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਲਈ ਸਰਟੀਫਿਕੇਟ ਅਸਲ ਵਿੱਚ ਵੈਧ ਹੈ। ਉਹੀ ਆਖਰੀ ਫੀਲਡ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਹੈ ਅਤੇ ਸਭ ਤੋਂ ਵੱਧ ਮੰਨ ਲਿਆ ਜਾਂਦਾ ਹੈ: ਕਲਾਇੰਟ ਦੇ ਭਰੋਸੇ ਵਾਲੇ SAN ਨੂੰ ਛੱਡ ਦੇਣ ਵਾਲੀ ਨਵੀਨੀਕਰਨ ਬੇਨਤੀ ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ ਵੈਧ ਪਰ ਕਾਰਜਾਤਮਕ ਤੌਰ 'ਤੇ ਗਲਤ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਂਦੀ ਹੈ। ਪੁਰਾਣੇ ਸਰਟੀਫਿਕੇਟ ਤੋਂ SAN ਸੂਚੀ ਨੂੰ ਬੇਨਤੀ ਵਿੱਚ ਕਾਪੀ ਕਰੋ, ਯਾਦ ਤੋਂ ਦੁਬਾਰਾ ਟਾਈਪ ਕਰਨ ਦੀ ਬਜਾਏ।

ਸ਼ਰਤ ਇੱਕ: ਕੀ ਕੋਈ ਚੀਜ਼ ਪੱਤੇ ਨੂੰ ਪਿੰਨ ਕਰਦੀ ਹੈ

ਜੇ ਕਲਾਇੰਟ ਕਿਸੇ ਸੰਭਾਲੇ ਹੋਏ CA 'ਤੇ ਭਰੋਸਾ ਕਰਦੇ ਹਨ ਅਤੇ ਨਾਮ ਨੂੰ ਮਾਨਯ ਕਰਦੇ ਹਨ, ਤਾਂ ਨਵੀਂ ਕੁੰਜੀ ਨਾਲ ਪੱਤਾ ਨਵੀਨੀਕਰਨ ਉਹਨਾਂ ਲਈ ਅਦਿੱਖ ਹੈ। ਜੇ ਕੋਈ ਕਲਾਇੰਟ ਪੱਤਾ ਸਰਟੀਫਿਕੇਟ, ਇਸਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਜਾਂ ਇਸਦੀ ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ ਪਿੰਨ ਕਰਦਾ ਹੈ, ਤਾਂ ਬਦਲੀ ਸਖ਼ਤ ਬਦਲਾਅ ਵਾਲਾ ਸਮਕਾਲੀ ਬਦਲਾਅ ਹੈ, ਕਿਉਂਕਿ ਪੁਰਾਣਾ ਪਿੰਨ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਮਾਨਯ ਨਹੀਂ ਕਰ ਸਕਦਾ।

ਕੁਝ ਵੀ ਆਰਡਰ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪਤਾ ਕਰੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜੀ ਸਥਿਤੀ ਵਿੱਚ ਹੋ। ਜਿਸ ਪਿੰਨ ਨੂੰ ਕਿਸੇ ਨੇ ਦਰਜ ਨਹੀਂ ਕੀਤਾ, ਉਹ ਟੁੱਟਣ 'ਤੇ ਵੀ ਪਿੰਨ ਹੀ ਰਹਿੰਦਾ ਹੈ।

ਸ਼ਰਤ ਦੋ: ਪਿੰਨ ਅਤੇ ਲੜੀ ਦੀ ਤੁਲਨਾ ਕਰੋ

ਫਿੰਗਰਪ੍ਰਿੰਟ ਪਿੰਨ ਨੂੰ ਜਾਂਚਣਯੋਗ ਬਣਾਉਂਦੇ ਹਨ: ਪੁਰਾਣੇ ਅਤੇ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ 'ਤੇ openssl x509 -noout -fingerprint -sha256 -in server.crt, ਅਤੇ ਜਨਤਕ ਕੁੰਜੀਆਂ ਦੀ ਤੁਲਨਾ ਲਈ openssl x509 -noout -pubkey। ਜੇ ਕਲਾਇੰਟ ਸੰਰਚਨਾ, ਮੋਬਾਈਲ ਪਰੋਫ਼ਾਈਲ ਜਾਂ ਉਪਕਰਣ ਦਾ ਭਰੋਸਾ ਸਟੋਰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਮੁੱਲ ਰੱਖਦਾ ਹੈ, ਤਾਂ ਤੁਹਾਡੇ ਕੋਲ ਪਿੰਨ ਹੈ। ਮੋਬਾਈਲ VPN ਪਰੋਫ਼ਾਈਲ ਲੁਕਣ ਦੀ ਆਮ ਜਗ੍ਹਾ ਹਨ, ਕਿਉਂਕਿ ਪਰੋਫ਼ਾਈਲ ਇੱਕ ਵਾਰ ਵੰਡੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਫਿਰ ਕਦੇ ਨਹੀਂ ਜਾਂਚੀ ਜਾਂਦੀ।

ਜੇ ਬਦਲੀ ਉਸੇ ਇੰਟਰਮੀਡੀਏਟ ਤੋਂ ਆਉਂਦੀ ਹੈ ਅਤੇ ਕਲਾਇੰਟ ਕੋਲ ਉਹ ਇੰਟਰਮੀਡੀਏਟ ਪਹਿਲਾਂ ਹੀ ਹੈ ਜਾਂ ਉਹ ਇਸਨੂੰ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ, ਤਾਂ ਭਰੋਸੇ ਵਾਲੇ ਪਾਸੇ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ। ਨਵਾਂ ਇੰਟਰਮੀਡੀਏਟ, ਵੱਖਰਾ ਜਾਰੀ ਕਰਨ ਵਾਲਾ ਜਾਂ ਗਲਤ ਕ੍ਰਮ ਵਿੱਚ ਪਹੁੰਚਾਈ ਗਈ ਲੜੀ ਨਵੀਨੀਕਰਨ ਨੂੰ ਭਰੋਸਾ ਬਦਲਾਅ ਵਿੱਚ ਬਦਲ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਅਸਫਲਤਾ ਸਮਾਪਤ ਸਰਟੀਫਿਕੇਟ ਵਾਂਗ ਨਹੀਂ, ਅਣਜਾਣ ਜਾਰੀ ਕਰਨ ਵਾਲੇ ਵਾਂਗ ਦਿਸਦੀ ਹੈ।

ਸਰਵਰ ਅਸਲ ਵਿੱਚ ਜੋ ਲੜੀ ਭੇਜਦਾ ਹੈ ਉਸਨੂੰ openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts ਨਾਲ ਜਾਂਚੋ, ਅਤੇ openssl verify -CAfile ca.pem -untrusted chain.pem server.crt ਨਾਲ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਪ੍ਰਮਾਣਿਤ ਕਰੋ। ਬਦਲਾਅ ਤੋਂ ਪਹਿਲਾਂ ਇਹ ਕਰਨ ਨਾਲ ਤੁਹਾਨੂੰ ਬਾਅਦ ਵਿੱਚ ਤੁਲਨਾ ਲਈ ਅਧਾਰ ਰੇਖਾ ਮਿਲਦੀ ਹੈ।

ਸ਼ਰਤ ਤਿੰਨ: ਨਾਮ ਨੂੰ ਹੋਰ ਕੌਣ ਮਾਨਯ ਕਰਦਾ ਹੈ

VPN ਕੰਸਨਟ੍ਰੇਟਰ, ਲੋਡ ਬੈਲੰਸਰ, ਮਾਨੀਟਰਿੰਗ ਪ੍ਰੋਬ, RADIUS ਜਾਂ SAML ਏਕੀਕਰਨ ਅਤੇ ਮੋਬਾਈਲ ਪਰੋਫ਼ਾਈਲ ਹਰ ਇੱਕ ਕੋਲ ਉਮੀਦ ਕੀਤੇ ਨਾਮ ਜਾਂ ਭਰੋਸਾ ਐਂਕਰ ਦੀ ਆਪਣੀ ਕਾਪੀ ਹੋ ਸਕਦੀ ਹੈ। ਨਵੀਨੀਕਰਨ ਉਹ ਪਲ ਹੈ ਜਦੋਂ ਉਹ ਕਾਪੀਆਂ ਵੱਖ ਹੁੰਦੀਆਂ ਹਨ, ਕਿਉਂਕਿ ਸਰਟੀਫਿਕੇਟ ਬਦਲਦਾ ਹੈ ਅਤੇ ਕਾਪੀਆਂ ਨਹੀਂ।

ਬਦਲਾਅ ਤੋਂ ਪਹਿਲਾਂ ਹਰ ਖਪਤਕਾਰ ਦੀ ਸੂਚੀ ਬਣਾਓ ਅਤੇ ਹਰ ਇੱਕ ਲਈ ਤੈਅ ਕਰੋ ਕਿ ਕੀ ਇਸਨੂੰ ਅੱਪਡੇਟ ਦੀ ਲੋੜ ਹੈ। ਜੋ ਤੁਸੀਂ ਭੁੱਲਦੇ ਹੋ, ਉਹੀ ਤੁਹਾਨੂੰ ਬੁਲਾਉਂਦਾ ਹੈ।

ਸਮੇਂ ਦਾ ਇੱਕ ਜਾਲ ਵੀ ਹੈ। ਸਮਾਪਤੀ ਦੇ ਨਾਲ-ਨਾਲ ਵੈਧਤਾ ਦੀ ਸ਼ੁਰੂਆਤ ਵੀ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਬਾਅਦ ਦੀ ਸਰਗਰਮੀ ਲਈ ਤਿਆਰ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਬਹੁਤ ਜਲਦੀ ਸਥਾਪਿਤ ਕੀਤੇ ਜਾਣ 'ਤੇ ਰੱਦ ਹੋ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਗਲਤੀ ਤਿਆਰੀ ਦੀ ਸਮੱਸਿਆ ਵਾਂਗ ਨਹੀਂ, ਘੜੀ ਦੀ ਸਮੱਸਿਆ ਵਾਂਗ ਦਿਸਦੀ ਹੈ। ਤੈਨਾਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਨਵੀਂ ਫਾਈਲ 'ਤੇ openssl x509 -noout -dates ਦੋ ਸਕਿੰਟ ਦੀ ਜਾਂਚ ਹੈ। ਸਮਰਥਿਤ ਰਿਕਵਰੀ ਮਾਰਗ ਅਤੇ ਜਾਣੀ-ਜਾਣੀ ਚੰਗੀ ਸੰਰਚਨਾ ਵੀ ਰੱਖੋ, ਤਾਂ ਜੋ ਗਲਤ ਹੋਣ ਵਾਲਾ ਨਵੀਨੀਕਰਨ ਪਿਛਲੇ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੁੰਜੀ ਨੂੰ ਬਹਾਲ ਕਰਕੇ ਉਲਟਾਇਆ ਜਾ ਸਕੇ।

ਤੈਨਾਤ ਕਰੋ, ਨਵੀਂ ਪ੍ਰਮਾਣਿਕਤਾ ਨਾਲ ਪ੍ਰਮਾਣਿਤ ਕਰੋ, ਫਿਰ ਰਿਟਾਇਰ ਕਰੋ

ਸਥਾਪਿਤ ਟਨਲ ਉਸ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ ਜੋ ਇਸਦੇ ਨਿਰਮਾਣ ਸਮੇਂ ਹੋਈ ਸੀ, ਇਸ ਲਈ ਇਹ ਸਿਹਤਮੰਦ ਦਿਸ ਸਕਦੀ ਹੈ ਜਦੋਂ ਕਿ ਹਰ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਅਸਫਲ ਹੁੰਦਾ ਹੈ। ਕਲਾਇੰਟ ਜੋ ਅਸਲ ਸੇਵਾ ਨਾਮ ਵਰਤਦੇ ਹਨ ਉਸੇ ਨਾਲ ਨਵੀਂ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਟੈਸਟ ਕਰੋ।

ਉਪਭੋਗਤਾ ਲਈ ਮਹੱਤਵਪੂਰਨ ਐਪਲੀਕੇਸ਼ਨ-ਪੱਧਰ ਦੀ ਜਾਂਚ ਪੂਰੀ ਕਰੋ, ਅਤੇ ਲੜੀ ਦੀ ਡਿਲਿਵਰੀ ਦੀ ਪੁਸ਼ਟੀ ਸਰਵਰ ਦੀ ਬਜਾਏ ਕਲਾਇੰਟ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਕਰੋ। ਬਦਲਾਅ ਨੂੰ ਸ਼ਾਂਤ ਰੱਖਣ ਲਈ ਨਾਮ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚਾਂ ਨੂੰ ਦਬਾਓ ਨਾ; ਇਸ ਨਾਲ ਅਸਥਾਈ ਅਨੁਕੂਲਤਾ ਸਮੱਸਿਆ ਸਥਾਈ ਹੋ ਜਾਂਦੀ ਹੈ।

ਪੁਰਾਣੀ ਸਮੱਗਰੀ ਨੂੰ ਤੈਨਾਤੀ ਪ੍ਰਮਾਣਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਹੀ ਰਿਟਾਇਰ ਕਰੋ, ਅਤੇ ਸਮਝੌਤਾ ਹੋਈ ਕੁੰਜੀ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਵੱਖਰਾ ਕੇਸ ਮੰਨੋ: ਸਿਰਫ਼ ਨਵੀਨੀਕਰਨ ਕੁਝ ਵੀ ਰੱਦ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਪ੍ਰਭਾਵਿਤ ਪਛਾਣ ਨੂੰ ਤੈਨਾਤੀ ਦੀ ਰੱਦ ਕਰਨ ਅਤੇ ਸੈਸ਼ਨ-ਪ੍ਰਬੰਧਨ ਪ੍ਰਕਿਰਿਆ ਚਾਹੀਦੀ ਹੈ। RFC 5280 ਇਹਨਾਂ ਸਭ ਦੇ ਹੇਠਲੇ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਪਥ-ਪ੍ਰਮਾਣਿਕਤਾ ਨਿਯਮ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ। ਰੁਟੀਨ ਪੱਤਾ ਨਵੀਨੀਕਰਨ ਨੂੰ CA ਬਦਲੀ ਤੋਂ ਵੱਖ ਰੱਖੋ, ਤਾਂ ਜੋ ਕਲਾਇੰਟਾਂ ਨੂੰ ਬਿਨਾਂ ਕਾਰਨ ਨਵੇਂ ਜਾਰੀ ਕਰਨ ਵਾਲੇ 'ਤੇ ਭਰੋਸਾ ਕਰਨ ਲਈ ਨਾ ਕਿਹਾ ਜਾਵੇ।