ਰੱਦ ਕੀਤਾ ਕਲਾਇੰਟ ਅਜੇ ਵੀ ਜੁੜਦਾ ਹੈ: ਸੂਚੀ ਕਦੇ ਨਹੀਂ ਪਹੁੰਚੀ
ਰੱਦ ਕਰਨਾ ਪ੍ਰਮਾਣਪੱਤਰ ਤਸਦੀਕ ਦਾ ਇਨਪੁਟ ਹੈ, ਸੈਸ਼ਨ ਖਤਮ ਕਰਨ ਵਾਲਾ ਹੁਕਮ ਨਹੀਂ। ਤੁਲਨਾ ਕਰੋ ਕਿ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਅਤੇ ਚੱਲ ਰਹੀ ਟਨਲ ਸੂਚੀ ਨੂੰ ਕਿਵੇਂ ਦੇਖਦੇ ਹਨ।
ਰੱਦ ਕਰਨਾ ਕਦੇ ਵੀ ਚੱਲ ਰਹੀ ਟਨਲ ਵਿੱਚ ਵੜ ਕੇ ਸੈਸ਼ਨ ਨਹੀਂ ਮਿਟਾਉਂਦਾ। ਸੂਚੀ ਪ੍ਰਮਾਣਪੱਤਰ ਤਸਦੀਕ ਦਾ ਇਨਪੁਟ ਹੈ ਅਤੇ TLS ਸੈਸ਼ਨ ਸ਼ੁਰੂ ਕਰਨ ਵਾਲੇ ਕੰਟਰੋਲ ਚੈਨਲ ਦੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਦੌਰਾਨ ਵੇਖੀ ਜਾਂਦੀ ਹੈ। ਇਹ ਇੱਕ ਤੱਥ ਦੋਵੇਂ ਹੈਰਾਨੀਆਂ ਸਮਝਾਉਂਦਾ ਹੈ: ਰੱਦ ਕੀਤਾ ਕਲਾਇੰਟ ਦੁਬਾਰਾ ਜੁੜਦਾ ਹੈ, ਕਿਉਂਕਿ ਸੂਚੀ ਕਦੇ ਵੀ ਤਸਦੀਕਕਰਤਾ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚੀ, ਅਤੇ ਮੌਜੂਦਾ ਸੈਸ਼ਨ ਬਚਿਆ ਰਹਿੰਦਾ ਹੈ, ਕਿਉਂਕਿ ਕਿਸੇ ਨੇ ਵੀ ਕੁਝ ਦੁਬਾਰਾ ਤਸਦੀਕ ਨਹੀਂ ਕੀਤਾ।
ਸੂਚੀ ਇੱਕ ਇਨਪੁਟ ਹੈ, ਕਿਰਿਆ ਨਹੀਂ
ਸੈਸ਼ਨ ਸਥਾਪਿਤ ਕਰਦੇ ਸਮੇਂ ਸਰਵਰ ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਪੱਤਰ ਨੂੰ ਆਪਣੇ ਭਰੋਸੇ ਐਂਕਰਾਂ ਦੇ ਵਿਰੁੱਧ ਜਾਇਜ਼ ਕਰਦਾ ਹੈ, ਅਤੇ ਰੱਦ ਕਰਨ ਦਾ ਨਿਰਦੇਸ਼ ਉਸ ਫੈਸਲੇ ਵਿੱਚ ਸੂਚੀ ਦੀ ਭਾਲ ਜੋੜਦਾ ਹੈ। ਜਾਂਚ ਸਰਵਰ ਉੱਤੇ ਹੁੰਦੀ ਹੈ, ਇਸ ਲਈ ਕਲਾਇੰਟ ਦੇਖ ਨਹੀਂ ਸਕਦਾ ਕਿ ਉਸ ਦਾ ਪ੍ਰਮਾਣਪੱਤਰ ਰੱਦ ਹੋ ਗਿਆ ਹੈ ਅਤੇ ਉਹੀ ਪ੍ਰਮਾਣਪੱਤਰ ਦਿੰਦਾ ਰਹਿੰਦਾ ਹੈ। ਇਸ ਲਈ ਅਜੇ ਵੀ ਜੁੜਦਾ ਪਰੋਫਾਈਲ ਸਿਰਫ਼ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਕਿਸੇ ਤਸਦੀਕਕਰਤਾ ਨੇ ਲੜੀ ਸਵੀਕਾਰ ਕੀਤੀ, ਇਹ ਨਹੀਂ ਕਿ ਰੱਦ ਕਰਨਾ ਅਸਫਲ ਹੋਇਆ।
ਸੂਚੀ ਆਪਣੇ ਆਪ ਵਿੱਚ ਜਾਰੀ ਤਾਰੀਖ਼ ਅਤੇ ਅਗਲੀ ਅਪਡੇਟ ਤਾਰੀਖ਼ ਵਾਲੀ ਦਸਤਖ਼ਤ ਕੀਤੀ ਵਸਤੂ ਹੈ। ਅਸੰਬੰਧਿਤ ਸੂਚੀ, ਕਿਸੇ ਹੋਰ ਅਧਿਕਾਰੀ ਵੱਲੋਂ ਦਸਤਖ਼ਤ ਕੀਤੀ ਸੂਚੀ ਜਾਂ ਜਿਸ ਦੀ ਅਗਲੀ ਅਪਡੇਟ ਤਾਰੀਖ਼ ਲੰਘ ਚੁੱਕੀ ਹੈ, ਮੌਜੂਦਾ ਸੂਚੀ ਦਾ ਬਦਲ ਨਹੀਂ ਹੈ, ਅਤੇ ਪੁਰਾਣੀ ਸੂਚੀ ਨੂੰ ਰੱਦ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਾਂ ਚੁੱਪਚਾਪ ਸਵੀਕਾਰ, ਇਹ ਤੈਨਾਤੀ ਉੱਤੇ ਨਿਰਭਰ ਹੈ।
ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਬਨਾਮ ਚੱਲ ਰਿਹਾ ਸੈਸ਼ਨ
ਰੱਦ ਕਰਨਾ ਸੈਸ਼ਨ ਸਥਾਪਿਤ ਜਾਂ ਦੁਬਾਰਾ ਗੱਲਬਾਤ ਹੋਣ ਵੇਲੇ ਮੁਲਾਂਕਣ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਹਰ ਪੈਕਟ ਉੱਤੇ ਡੇਟਾ ਚੈਨਲ ਦੇ ਵਿਰੁੱਧ ਨਹੀਂ। ਪਹਿਲਾਂ ਹੀ ਜੁੜੇ ਕਲਾਇੰਟ ਕੋਲ ਟ੍ਰੈਫਿਕ ਚਾਬੀਆਂ ਹੁੰਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਉਸ ਦਾ ਪ੍ਰਮਾਣਪੱਤਰ ਸੂਚੀ ਵਿੱਚ ਆਉਣ ਤੋਂ ਬਾਅਦ ਵੀ ਉਹ ਪੈਕਟ ਲੰਘਣ ਦਿੰਦਾ ਹੈ। ਡਿਫਾਲਟ ਦੁਬਾਰਾ ਗੱਲਬਾਤ ਅੰਤਰਾਲ ਘੰਟਿਆਂ ਵਿੱਚ ਮਾਪਿਆ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਅਪਡੇਟ ਕੀਤੀ ਸੂਚੀ ਨਵੇਂ ਆਉਣ ਵਾਲਿਆਂ ਲਈ ਲਾਗੂ ਹੋ ਸਕਦੀ ਹੈ ਜਦੋਂ ਕਿ ਚੱਲ ਰਹੀ ਟਨਲ ਬਣੀ ਰਹਿੰਦੀ ਹੈ।
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
ਤੁਰੰਤ ਲਾਗੂ ਕਰਨ ਲਈ ਸਿਰਫ਼ ਸੂਚੀ ਨਹੀਂ, ਜਾਣ-ਬੁੱਝ ਕੇ ਕੀਤੀ ਕਾਰਵਾਈ ਚਾਹੀਦੀ ਹੈ। ਸੇਵਾ ਮੁੜ ਸ਼ੁਰੂ ਕਰਨ ਨਾਲ ਹਰ ਕਲਾਇੰਟ ਦੁਬਾਰਾ ਜੁੜਨ ਲਈ ਮਜਬੂਰ ਹੁੰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਪ੍ਰਬੰਧਨ ਇੰਟਰਫ਼ੇਸ ਰਾਹੀਂ ਇੱਕ ਸੈਸ਼ਨ ਖਤਮ ਕਰਨ ਨਾਲ ਬਾਕੀ ਅਛੂਤ ਰਹਿੰਦੇ ਹਨ। ਹਰ ਘਟਨਾ ਲਈ ਇੱਕ ਚੁਣੋ ਅਤੇ ਲਿਖੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਵਰਤਿਆ। ਦੋਵੇਂ ਵਿਕਲਪਾਂ ਦਾ ਪ੍ਰਭਾਵ ਖੇਤਰ ਵੱਖਰਾ ਹੈ, ਅਤੇ ਉਹੀ ਅਸਲ ਫੈਸਲਾ ਹੈ।
ਉਹ ਫ਼ਾਈਲ ਪਹੁੰਚਾਓ ਜੋ ਤਸਦੀਕਕਰਤਾ ਸੱਚਮੁੱਚ ਪੜ੍ਹਦਾ ਹੈ
ਸੂਚੀ ਅਧਿਕਾਰੀ ਦੇ ਰਿਕਾਰਡ ਤੋਂ ਬਣਾ ਕੇ ਫਿਰ ਪ੍ਰਮਾਣਪੱਤਰ ਤਸਦੀਕ ਕਰਨ ਵਾਲੀ ਹਰ ਮਸ਼ੀਨ ਉੱਤੇ ਨਕਲ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਇਸ ਨੂੰ CA ਹੋਸਟ ਉੱਤੇ ਬਣਾ ਕੇ ਸਰਵਰ ਉੱਤੇ ਕਦੇ ਸਥਾਪਿਤ ਨ ਕਰਨਾ ਸਭ ਤੋਂ ਆਮ ਅਸਫਲਤਾ ਹੈ, ਅਤੇ ਇਹ ਬਿਲਕੁਲ ਟੁੱਟੀ ਰੱਦ ਕਰਨ ਵਾਲੀ ਸੁਵਿਧਾ ਵਾਂਗ ਦਿਸਦੀ ਹੈ।
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemਫ਼ਾਈਲ ਸੱਚਮੁੱਚ ਪੜ੍ਹੀ ਜਾਂਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਦੋ ਵੇਰਵੇ ਤੈਅ ਕਰਦੇ ਹਨ। ਸਾਪੇਖ ਮਾਰਗ ਸੰਰਚਨਾ ਡਾਇਰੈਕਟਰੀ ਦੇ ਹਵਾਲੇ ਨਾਲ ਹੱਲ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਆਪਰੇਟਰ ਦੇ ਘਰ ਵਿੱਚ ਛੱਡੀ ਨਕਲ ਕਦੇ ਨਾ ਮਿਲੇ। ਅਤੇ ਡੀਮਨ ਆਮ ਤੌਰ ਉੱਤੇ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਬਾਅਦ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਇਸ ਲਈ ਰਨਟਾਈਮ ਖਾਤੇ ਨੂੰ ਹਰ ਮੂਲ ਡਾਇਰੈਕਟਰੀ ਉੱਤੇ ਖੋਜ ਇਜਾਜ਼ਤ ਅਤੇ ਫ਼ਾਈਲ ਉੱਤੇ ਪੜ੍ਹਨ ਦੀ ਇਜਾਜ਼ਤ ਚਾਹੀਦੀ ਹੈ। ਦੋਵੇਂ ਰਨਟਾਈਮ ਖਾਤੇ ਨਾਲ ਜਾਂਚੋ, root ਨਾਲ ਨਹੀਂ, ਨਹੀਂ ਤਾਂ ਪਰਖ ਗ਼ਲਤ ਗੱਲ ਸਾਬਤ ਕਰਦੀ ਹੈ।
systemd ਹੋਸਟਾਂ ਉੱਤੇ ਸਖ਼ਤ ਕੀਤੀ ਯੂਨਿਟ ਵੀ ਮਾਰਗ ਲੁਕਾ ਸਕਦੀ ਹੈ, ਸਿਰਫ਼-ਪੜ੍ਹਨ ਦ੍ਰਿਸ਼ ਜਾਂ ਸੁਰੱਖਿਅਤ ਸਿਸਟਮ ਡਾਇਰੈਕਟਰੀ ਨਾਲ। ਸੇਵਾ ਦੇ ਅੰਦਰੋਂ ਇਹ ਗੁੰਮ ਫ਼ਾਈਲ ਤੋਂ ਵੱਖਰੀ ਨਹੀਂ ਪਛਾਣੀ ਜਾ ਸਕਦੀ, ਇਸ ਲਈ ਇਜਾਜ਼ਤ ਦੀ ਗਲਤੀ ਲੱਭਣ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਯੂਨਿਟ ਦੀਆਂ ਪਾਬੰਦੀਆਂ ਜਾਂਚੋ। ਫ਼ਾਈਲ ਦੇ ਮੋਡ ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਯੂਨਿਟ ਫ਼ਾਈਲ ਪੜ੍ਹੋ।
ਕਲਾਇੰਟ ਉੱਤੇ ਨਹੀਂ, ਸਰਵਰ ਉੱਤੇ ਪੁਸ਼ਟੀ ਕਰੋ
ਸਰਵਰ ਲਾਗ ਦੱਸਦੀ ਹੈ ਕਿ ਕੀ ਹੋਇਆ: ਸੂਚੀ ਖੋਲ੍ਹਣਾ, ਉਸ ਨੂੰ ਲੋਡ ਕਰਨਾ, ਜਾਂ ਰੱਦ ਕੀਤੇ ਕ੍ਰਮ ਨੰਬਰ ਨਾਲ ਤਸਦੀਕ ਅਸਫਲ ਹੋਣਾ। ਕਲਾਇੰਟ ਸਿਰਫ਼ ਆਮ ਹੈਂਡਸ਼ੇਕ ਅਸਫਲਤਾ ਦੱਸਦਾ ਹੈ, ਇਸ ਲਈ ਰੱਦ ਕਰਨ ਦਾ ਫੈਸਲਾ ਲੱਭਣ ਲਈ ਕਲਾਇੰਟ ਲਾਗ ਮਾੜੀ ਥਾਂ ਹੈ।
ਰੱਦ ਕੀਤੇ ਪਰੋਫਾਈਲ ਤੋਂ ਨਵੀਂ ਕੋਸ਼ਿਸ਼ ਨਾਲ ਤਸਦੀਕ ਕਰੋ ਅਤੇ ਫਿਰ ਰੁਕੋ। ਉਸ ਪਰੋਫਾਈਲ ਤੋਂ ਸਫਲ ਕਨੈਕਸ਼ਨ ਹੀ ਫ਼ਾਈਲ ਦਾ ਮਾਰਗ ਅਤੇ ਰਨਟਾਈਮ ਖਾਤਾ ਜਾਂਚਣ ਦਾ ਸੰਕੇਤ ਹੈ, ਇਹ ਮੰਨਣ ਦਾ ਨਹੀਂ ਕਿ ਸੂਚੀ ਗ਼ਲਤ ਸੀ। ਉਸ ਸਫਲ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਸਵੀਕ੍ਰਿਤੀ ਪਰਖ ਵਜੋਂ ਰੱਖੋ, ਅਤੇ ਜੋ ਦੁਬਾਰਾ ਜੁੜਨਾ ਤੁਸੀਂ ਨਹੀਂ ਵੇਖਿਆ ਉਸ ਨੂੰ ਨਾ ਗਿਣੋ।
ਕੀ ਕੁਝ ਵੀ ਰੱਦ ਨਹੀਂ ਕਰਦਾ
ਲੈਪਟਾਪ ਤੋਂ ਪਰੋਫਾਈਲ ਮਿਟਾਉਣਾ, ਕਲਾਇੰਟ ਤੋਂ ਪ੍ਰਮਾਣਪੱਤਰ ਫ਼ਾਈਲ ਹਟਾਉਣਾ ਜਾਂ ਵਰਤੋਂਕਾਰ ਨੂੰ ਜੁੜਨਾ ਬੰਦ ਕਰਨ ਲਈ ਕਹਿਣਾ ਸਰਵਰ ਉੱਤੇ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ। ਪ੍ਰਮਾਣਪੱਤਰ ਉਦੋਂ ਤੱਕ ਵੈਧ ਰਹਿੰਦਾ ਹੈ ਜਦੋਂ ਤੱਕ ਅਧਿਕਾਰੀ ਰੱਦ ਕਰਨ ਦਰਜ ਨਹੀਂ ਕਰਦਾ ਅਤੇ ਤਸਦੀਕਕਰਤਾ ਨਤੀਜੇ ਵਜੋਂ ਬਣੀ ਸੂਚੀ ਨਹੀਂ ਪੜ੍ਹਦਾ।
ਇਸੇ ਲਈ ਲੜੀ ਲਿਖ ਕੇ ਰੱਖਣੀ ਲਾਭਦਾਇਕ ਹੈ: ਰੱਦ ਕਰਨ ਦਰਜ ਕਰੋ, ਸੂਚੀ ਬਣਾ ਕੇ ਦਸਤਖ਼ਤ ਕਰੋ, ਠੀਕ ਉਹੀ ਫ਼ਾਈਲ ਵੰਡੋ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸੇਵਾ ਖਾਤਾ ਉਸ ਨੂੰ ਪੜ੍ਹ ਸਕਦਾ ਹੈ। ਹਰ ਕੜੀ ਛੋਟੀ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ ਗੁੰਮ ਕੜੀ ਰੱਦ ਕੀਤੇ ਕਲਾਇੰਟ ਨੂੰ ਖੁਸ਼ੀ ਨਾਲ ਜੁੜਨ ਦਿੰਦੀ ਹੈ। ਚਾਰ ਲਾਈਨਾਂ ਦੀ ਜਾਂਚ-ਸੂਚੀ ਇੱਕ ਵੀ ਲਾਈਨ ਤੋਂ ਬਿਨਾਂ ਅਨੁਮਾਨ ਨਾਲੋਂ ਚੰਗੀ ਹੈ।