ਸਵੈ-ਦਸਤਖ਼ਤ ਕੀਤਾ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ? VPN ਸਰਵਰ ਫਿਰ ਵੀ ਇਸਨੂੰ ਅਸਵੀਕਾਰ ਕਰਦਾ ਹੈ

ਆਪਰੇਟਰ ਇੱਕ ਪਤਾ ਅਤੇ ਵਰਤੋਂਕਾਰ ਨਾਂ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ CA ਫਾਈਲ, ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੁੰਜੀ ਮੰਗਦਾ ਹੈ। ਇਹ ਤਿੰਨਾਂ ਨੂੰ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਬਣਾਉਣਾ ਅਗਲਾ ਸਪੱਸ਼ਟ ਕਦਮ ਲੱਗਦਾ ਹੈ। ਇਸ ਨਾਲ ਅਜਿਹਾ ਸਰਟੀਫਿਕੇਟ ਬਣਦਾ ਹੈ ਜਿਸ 'ਤੇ ਸਿਰਫ਼ ਤੁਹਾਡੀ ਆਪਣੀ ਮਸ਼ੀਨ ਭਰੋਸਾ ਕਰਦੀ ਹੈ। ਸਰਵਰ ਦਾ ਭਰੋਸਾ ਉਸ CA ਵਿੱਚ ਜੜ੍ਹਿਆ ਹੈ ਜਿਸਨੂੰ ਤੁਸੀਂ ਨਿਯੰਤਰਿਤ ਨਹੀਂ ਕਰਦੇ, ਇਸ ਲਈ ਹੈਂਡਸ਼ੇਕ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਖਤਮ ਹੋ ਜਾਂਦਾ ਹੈ।

ਭਰੋਸਾ ਸਰਵਰ 'ਤੇ ਰਹਿੰਦਾ ਹੈ, ਤੁਹਾਡੀ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਨਹੀਂ

ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣਿਕਤਾ ਇੱਕ ਤੁਲਨਾ ਹੈ। ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਦਾ ਹੈ; ਗੇਟਵੇ ਜਾਂਚਦਾ ਹੈ ਕਿ ਇਸਨੂੰ ਇਸਦੇ ਸੰਰਚਨਾ ਵਿੱਚਲੇ ਕਿਸੇ CA ਨੇ ਦਸਤਖ਼ਤ ਕੀਤਾ ਹੈ ਜਾਂ ਨਹੀਂ।

ਤੁਹਾਡੀ ਪ੍ਰੋਫਾਈਲ ਉਸ CA ਫਾਈਲ ਦਾ ਨਾਂ ਦੱਸਦੀ ਹੈ ਜੋ ਕਲਾਇੰਟ ਨੂੰ ਸਰਵਰ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਵਰਤਣੀ ਚਾਹੀਦੀ ਹੈ। ਇਹ ਉਸ CA ਦਾ ਨਾਂ ਨਹੀਂ ਦੱਸ ਸਕਦੀ ਜੋ ਸਰਵਰ ਨੂੰ ਤੁਹਾਡੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਵਰਤਣੀ ਚਾਹੀਦੀ ਹੈ। ਸੰਰਚਨਾ ਦਾ ਉਹ ਅੱਧਾ ਹਿੱਸਾ ਤੁਹਾਡਾ ਨਹੀਂ ਹੈ।

ਆਪਣੇ ਆਪ ਬਣਾਇਆ ਸਰਟੀਫਿਕੇਟ ਤਕਨੀਕੀ ਤੌਰ 'ਤੇ ਸੰਪੂਰਨ ਹੋਣ 'ਤੇ ਵੀ ਇਸ ਤੁਲਨਾ ਵਿੱਚ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ। ਇਸ 'ਤੇ ਵੈਧ ਦਸਤਖ਼ਤ, ਵਿਸ਼ਾ ਅਤੇ ਤਾਰੀਖਾਂ ਹਨ, ਪਰ ਜਾਰੀਕਰਤਾ ਅਜਿਹਾ CA ਹੈ ਜਿਸਦਾ ਨਾਂ ਗੇਟਵੇ ਨੇ ਕਦੇ ਨਹੀਂ ਸੁਣਿਆ। ਗਲਤੀ ਹੈਂਡਸ਼ੇਕ ਦੌਰਾਨ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ, ਸਰਵਰ ਵੱਲੋਂ ਪਹਿਲਾਂ ਹੀ ਸਰਟੀਫਿਕੇਟ ਮੰਗਣ ਤੋਂ ਬਾਅਦ। ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਕੁਝ ਵੀ ਜਵਾਬ ਨਹੀਂ ਬਦਲ ਸਕਦਾ।

ਸਵੈ-ਦਸਤਖ਼ਤ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਇਸਦੀ ਥਾਂ ਕਿਉਂ ਨਹੀਂ ਲੈ ਸਕਦਾ

ਸਵੈ-ਦਸਤਖ਼ਤ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਆਪਣੀ ਹੀ ਕੁੰਜੀ ਨਾਲ ਦਸਤਖ਼ਤ ਹੁੰਦਾ ਹੈ। ਦਸਤਖ਼ਤ ਉਸੇ ਫਾਈਲ ਵਿਰੁੱਧ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ, ਜੋ ਇਸਨੂੰ ਸਵੈ-ਸੰਗਤ ਅਤੇ ਕਿਸੇ ਹੋਰ ਦੇ ਗੇਟਵੇ ਲਈ ਪ੍ਰਮਾਣ ਵਜੋਂ ਬੇਕਾਰ ਬਣਾਉਂਦਾ ਹੈ।

ਗੇਟਵੇ ਇਹ ਨਹੀਂ ਪੁੱਛਦਾ ਕਿ ਸਰਟੀਫਿਕੇਟ ਅੰਦਰੂਨੀ ਤੌਰ 'ਤੇ ਸੰਗਤ ਹੈ ਜਾਂ ਨਹੀਂ। ਇਹ ਪੁੱਛਦਾ ਹੈ ਕਿ ਭਰੋਸੇਯੋਗ ਜਾਰੀਕਰਤਾ ਨੇ ਇਸ 'ਤੇ ਦਸਤਖ਼ਤ ਕੀਤੇ ਹਨ ਜਾਂ ਨਹੀਂ।

ਇਸੇ ਲਈ ਗਲਤੀ ਸੁਨੇਹੇ ਉਲਝਾਉਂਦੇ ਹਨ। ਕਲਾਇੰਟ ਸਰਵਰ ਦੀ ਸਮੱਸਿਆ ਵਰਗੀ ਸੁਣਨ ਵਾਲੀ ਪੁਸ਼ਟੀ ਅਸਫਲਤਾ ਦੀ ਰਿਪੋਰਟ ਕਰ ਸਕਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਸਰਵਰ ਅਣਜਾਣ ਜਾਰੀਕਰਤਾ ਦਰਜ ਕਰਦਾ ਹੈ। ਦੋਵੇਂ ਉਹੀ ਬੇਮੇਲ ਨੂੰ ਉਲਟ ਸਿਰਿਆਂ ਤੋਂ ਬਿਆਨ ਕਰਦੇ ਹਨ।

CSR ਮਾਰਗ ਤੁਹਾਡੀ ਨਿੱਜੀ ਕੁੰਜੀ ਰੱਖਦਾ ਹੈ

ਤੁਸੀਂ ਅਜੇ ਵੀ ਬਹੁਤਾ ਕੰਮ ਸਥਾਨਕ ਤੌਰ 'ਤੇ ਕਰ ਸਕਦੇ ਹੋ। ਕੁੰਜੀ ਜੋੜੀ ਬਣਾਓ, ਸਾਰਵਜਨਕ ਅੱਧੇ ਦੁਆਲੇ ਸਰਟੀਫਿਕੇਟ ਦਸਤਖ਼ਤ ਬੇਨਤੀ ਬਣਾਓ ਅਤੇ ਉਹ ਬੇਨਤੀ ਆਪਰੇਟਰ ਨੂੰ ਭੇਜੋ। ਸਿਰਫ਼ ਬੇਨਤੀ ਹੀ ਤੁਹਾਡੀ ਮਸ਼ੀਨ ਛੱਡਦੀ ਹੈ। ਨਿੱਜੀ ਅੱਧਾ ਤੁਸੀਂ ਜਿੱਥੇ ਬਣਾਇਆ ਸੀ ਉੱਥੇ ਹੀ ਰਹਿੰਦਾ ਹੈ।

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

ਆਪਰੇਟਰ ਆਪਣੇ CA ਨਾਲ ਬੇਨਤੀ 'ਤੇ ਦਸਤਖ਼ਤ ਕਰਦਾ ਹੈ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਵਾਪਸ ਕਰਦਾ ਹੈ। ਤੁਹਾਡੀ ਨਿੱਜੀ ਕੁੰਜੀ ਕਦੇ ਯਾਤਰਾ ਨਹੀਂ ਕੀਤੀ, ਅਤੇ ਨਤੀਜਾ ਉਸ ਐਂਕਰ ਨਾਲ ਚੇਨ ਵਿੱਚ ਜੁੜਦਾ ਹੈ ਜਿਸ 'ਤੇ ਗੇਟਵੇ ਭਰੋਸਾ ਕਰਦਾ ਹੈ।

ਪ੍ਰਬੰਧਿਤ ਸੇਵਾਵਾਂ ਅਕਸਰ CSR ਛੱਡ ਦਿੰਦੀਆਂ ਹਨ ਅਤੇ ਪੂਰਾ ਬੰਡਲ ਜਾਰੀ ਕਰਦੀਆਂ ਹਨ। ਇਹ ਵਾਜਬ ਸੌਦਾ ਹੈ ਜਦੋਂ ਉਹੀ ਪ੍ਰਦਾਤਾ ਪਹਿਲਾਂ ਹੀ ਟਨਲ ਖਤਮ ਕਰਦਾ ਹੈ ਅਤੇ CA ਰੱਖਦਾ ਹੈ। ਕੁੰਜੀ ਰੱਖਣ ਨਾਲ ਇਸਦੀ ਸੰਭਾਲ ਸੁਧਰਦੀ ਨਹੀਂ, ਕਿਉਂਕਿ ਪ੍ਰਦਾਤਾ ਕਿਸੇ ਵੀ ਸਮੇਂ ਨਵੀਂ ਬਣਾ ਸਕਦਾ ਹੈ।

ਬੰਡਲ ਆਯਾਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ, ਸਥਾਪਿਤ ਨਹੀਂ

ਸੁਰੱਖਿਆ ਵਰਗੇ ਨਾਵਾਂ ਵਾਲੇ ਵਿਕਰੇਤਾ ਬੰਡਲ ਅਕਸਰ OpenVPN ਪ੍ਰੋਫਾਈਲ ਹੁੰਦੇ ਹਨ। ਇਨ੍ਹਾਂ ਵਿੱਚ ਸੰਰਚਨਾ ਅਤੇ ਕਦੇ-ਕਦੇ ਸਰਟੀਫਿਕੇਟ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਇਹ ਕੁਝ ਵੀ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦੇ। ਫਾਈਲ ਨੂੰ ਉਸ ਕਲਾਇੰਟ ਵਿੱਚ ਆਯਾਤ ਕਰੋ ਜੋ ਪ੍ਰੋਟੋਕੋਲ ਬੋਲਦਾ ਹੈ, ਅਤੇ ਕਨੈਕਸ਼ਨ ਸੰਰਚਿਤ ਹੋ ਜਾਂਦਾ ਹੈ।

ਸੰਭਾਲ ਦਾ ਨਿਯਮ ਸਮੱਗਰੀ ਤੋਂ ਆਉਂਦਾ ਹੈ। ਜੇ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਨਿੱਜੀ ਕੁੰਜੀ ਸ਼ਾਮਲ ਹੈ, ਤਾਂ ਇਹ ਪ੍ਰਮਾਣ ਹੈ ਅਤੇ ਪਾਸਵਰਡ ਵਰਗੀ ਦੇਖਭਾਲ ਦਾ ਹੱਕਦਾਰ ਹੈ: ਈਮੇਲ ਨਹੀਂ, ਭੰਡਾਰ ਨਹੀਂ, ਸਾਂਝਾ ਡਾਊਨਲੋਡ ਫੋਲਡਰ ਨਹੀਂ। ਜਦੋਂ ਆਪਰੇਟਰ ca.crt, client.crt ਅਤੇ client.key ਵੱਖਰੇ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਉਨ੍ਹਾਂ ਨੂੰ ਸੀਮਿਤ ਇਜਾਜ਼ਤਾਂ ਨਾਲ ਇਕੱਠੇ ਰੱਖੋ ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਉਨ੍ਹਾਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰੋ।

ਉਹ ਜਾਂਚਾਂ ਸ਼ਾਮਲ ਕਰੋ ਜੋ ਆਪਰੇਟਰ ਨੇ ਛੱਡੀਆਂ ਹੋ ਸਕਦੀਆਂ ਹਨ

ਰਾਊਟਰ ਵੱਲੋਂ ਬਣਾਈ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਕਦੇ-ਕਦੇ ਪੀਅਰ ਪੁਸ਼ਟੀ ਨਹੀਂ ਹੁੰਦੀ। remote-cert-tls server ਮੰਗ ਕਰਦਾ ਹੈ ਕਿ ਪੀਅਰ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਸਰਵਰ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਮਕਸਦ ਹੋਵੇ, ਤਾਂ ਜੋ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਸਰਵਰ ਵਜੋਂ ਦੁਬਾਰਾ ਨਾ ਚਲਾਇਆ ਜਾ ਸਕੇ। ਉਹ ਇੱਕ ਲਾਈਨ ਸਪੱਸ਼ਟ ਜਾਇਜ਼ਤਾ ਵਾਲਾ ਛੋਟਾ ਬਦਲਾਅ ਹੈ।

verify-x509-name ਹੋਰ ਅੱਗੇ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਆਪਰੇਟਰ ਉਮੀਦ ਕੀਤੇ ਵਿਸ਼ੇ ਜਾਂ SAN ਦਾ ਨਾਂ ਦੱਸ ਸਕਦਾ ਹੈ। ਦੋਵੇਂ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਛੋਟੇ ਜੋੜ ਹਨ, ਅਤੇ ਦੋਵੇਂ ਵਾਜਬ ਹਨ। ਆਯਾਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੋ ਕਿ ਤੁਹਾਨੂੰ ਕੀ ਮਿਲਿਆ।

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

ਪੁਸ਼ਟੀ ਸੈਟਿੰਗਾਂ ਟੁੱਟੀ ਚੇਨ ਦੀ ਮੁਰੰਮਤ ਨਹੀਂ ਹਨ। ਜੇ ਜਾਰੀਕਰਤਾ ਗਲਤ ਹੈ, ਤਾਂ ਜਵਾਬ ਸਹੀ CA ਦਾ ਸਰਟੀਫਿਕੇਟ ਹੈ, ਜਾਂਚ ਬੰਦ ਕਰਨ ਵਾਲਾ ਝੰਡਾ ਨਹੀਂ। ਪੁਸ਼ਟੀ ਬੰਦ ਕਰਨ ਨਾਲ ਪ੍ਰਮਾਣਿਕਤਾ ਅਸਫਲਤਾ ਨਾ-ਪਛਾਣੀ ਅਸਫਲਤਾ ਵਿੱਚ ਬਦਲ ਜਾਂਦੀ ਹੈ।

ਇੱਕ ਬੰਡਲ ਮੰਗੋ: PEM ਰੂਪ ਵਿੱਚ ਅਥਾਰਟੀ ਦਾ ਸਰਟੀਫਿਕੇਟ, ਉਸ ਅਥਾਰਟੀ ਵੱਲੋਂ ਦਸਤਖ਼ਤ ਕੀਤਾ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ, ਤੁਹਾਡੀ ਬਣਾਈ ਕੁੰਜੀ ਜਾਂ ਉਸ ਮਾਧਿਅਮ ਰਾਹੀਂ ਆਈ ਕੁੰਜੀ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਭਰੋਸਾ ਕਰਦੇ ਹੋ, ਅਤੇ ਉਹ ਸਹੀ ਸਰਵਰ ਨਾਂ ਜੋ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰੇਗਾ। ਉਸੇ ਸੁਨੇਹੇ ਵਿੱਚ ਮਿਆਦ ਖਤਮ ਹੋਣ ਦੀ ਤਾਰੀਖ ਲਿਖੋ, ਕਿਉਂਕਿ ਮਿਆਦ ਪੁੱਗਿਆ ਸਰਟੀਫਿਕੇਟ ਮਹੀਨਿਆਂ ਬਾਅਦ ਨੈੱਟਵਰਕ ਖਰਾਬੀ ਵਰਗਾ ਦਿਸਦਾ ਹੈ।