ਤੁਹਾਡਾ VPN ਕਲਾਇੰਟ ਕਿਸੇ ਸਰਟੀਫਿਕੇਟ ’ਤੇ ਭਰੋਸਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਕੀ ਜਾਂਚਦਾ ਹੈ
ਸਰਟੀਫਿਕੇਟ ਦੀ ਚੇਤਾਵਨੀ ਨੂੰ ਤੁਹਾਡੇ ਕਲਾਇੰਟ ਵੱਲੋਂ ਜਾਂਚੇ ਜਾਣ ਵਾਲੇ ਚਾਰ ਦਰਵਾਜ਼ਿਆਂ ਵਿੱਚੋਂ ਲੰਘਾਓ: CA ’ਤੇ ਭਰੋਸਾ, ਚੇਨ ਬਣਾਉਣਾ, ਪੀਅਰ ਦਾ ਨਾਮ ਤੇ ਮਕਸਦ, ਅਤੇ ਰੱਦ ਕਰਨ ਦੀ ਨੀਤੀ।
ਤੁਹਾਡਾ VPN ਕਲਾਇੰਟ ਕਹਿੰਦਾ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਹੋ ਸਕੀ, ਅਤੇ ਸੰਵਾਦ ਉੱਥੇ ਹੀ ਰੁਕ ਜਾਂਦਾ ਹੈ। ਫਾਈਲ ਮੌਜੂਦ ਹੈ, ਸਰਵਰ ਚੱਲ ਰਿਹਾ ਹੈ, ਅਤੇ ਉਹੀ ਪਰੋਫਾਈਲ ਪਿਛਲੇ ਮਹੀਨੇ ਕਿਸੇ ਹੋਰ ਲੈਪਟਾਪ ’ਤੇ ਚੱਲੀ ਸੀ। ਉਸ ਇੱਕ-ਲਾਈਨ ਚੇਤਾਵਨੀ ਹੇਠ ਕਲਾਇੰਟ ਨੇ ਪੀਅਰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਚਾਰ ਦਰਵਾਜ਼ਿਆਂ ਵਿੱਚੋਂ ਲੰਘਾਇਆ: ਤੁਹਾਡੇ ਵੱਲੋਂ ਸੰਰਚਿਤ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਦਸਤਖਤ ਮਾਰਗ ਦੀ ਜ਼ਮਾਨਤ ਦਿੰਦੀ ਹੈ, ਉਹ ਮਾਰਗ ਅਥਾਰਟੀ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਪੀਅਰ ਦਾ ਨਾਮ ਉਹੀ ਹੈ ਜੋ ਤੁਸੀਂ ਮੰਗਿਆ ਸੀ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਹੁਣ ਇਸ ਮਕਸਦ ਲਈ ਵਰਤੋਂ ਯੋਗ ਹੈ। ਬੰਦ ਹੋਇਆ ਦਰਵਾਜ਼ਾ ਲੱਭੋ ਅਤੇ ਮੁਰੰਮਤ ਆਮ ਤੌਰ ’ਤੇ ਇੱਕ ਫਾਈਲ ਹੁੰਦੀ ਹੈ; ਉਹ ਕਦਮ ਛੱਡੋ ਤਾਂ ਪੂਰੀ ਦੁਪਹਿਰ ਬੰਡਲ ਦੁਬਾਰਾ ਆਯਾਤ ਕਰੋਗੇ।
ਪਰੋਫਾਈਲ ਸੋਧਣ ਤੋਂ ਪਹਿਲਾਂ ਸੰਵਾਦ ਪੜ੍ਹੋ
ਸਰਟੀਫਿਕੇਟ ਦੀਆਂ ਗਲਤੀਆਂ ਦੇ ਸ਼ਬਦ ਹੇਠਾਂ ਵਾਲੀ ਲਾਇਬ੍ਰੇਰੀ ਬਣਾਉਂਦੀ ਹੈ, ਤੁਹਾਡੇ ਵੱਲੋਂ ਇੰਸਟਾਲ ਕੀਤਾ VPN ਉਤਪਾਦ ਨਹੀਂ, ਇਸ ਲਈ ਸਹੀ ਸਟ੍ਰਿੰਗ ਤੁਹਾਡਾ ਪਹਿਲਾ ਸਬੂਤ ਹੈ। «ਸਥਾਨਕ ਜਾਰੀਕਰਤਾ ਦਾ ਸਰਟੀਫਿਕੇਟ ਨਹੀਂ ਮਿਲ ਸਕਿਆ» ਮਾਰਗ ਜਾਂ ਭਰੋਸਾ ਐਂਕਰ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। «ਸਰਟੀਫਿਕੇਟ ਦੀ ਮਿਆਦ ਖਤਮ ਹੋ ਗਈ ਹੈ ਜਾਂ ਇਹ ਹਾਲੇ ਵੈਧ ਨਹੀਂ» ਸਮੇਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। «ਅਸਮਰਥਿਤ ਸਰਟੀਫਿਕੇਟ ਮਕਸਦ» ਵਿਸਤ੍ਰਿਤ ਕੁੰਜੀ ਵਰਤੋਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਨਾਮ ਦੀ ਅਸੰਗਤੀ ਦੱਸਦੀ ਹੈ ਕਿ ਕਿਹੜਾ ਨਾਮ ਚਾਹੀਦਾ ਸੀ। ਚਾਰਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਕਲਾਇੰਟ ਮੁੜ ਇੰਸਟਾਲ ਕਰਕੇ ਠੀਕ ਨਹੀਂ ਹੁੰਦਾ।
ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਲਾਗ ਪੱਧਰ ਵਧਾਓ। OpenVPN --verb 4 ਨਾਲ ਚਲਾਉਣ ’ਤੇ ਹੈਂਡਸ਼ੇਕ ਦੁਆਲੇ ਪੁਸ਼ਟੀ ਫੇਲ੍ਹ ਹੋਣ ਦੀ ਸੂਚਨਾ ਦਿੰਦਾ ਹੈ, ਅਤੇ strongSwan ਆਪਣੀਆਂ ਪਛਾਣ ਤੇ ਚੇਨ ਫੈਸਲੇ charon ਲਾਗ ਵਿੱਚ ਲਿਖਦਾ ਹੈ। ਫਿਰ ਪੱਕਾ ਕਰੋ ਕਿ ਤੁਸੀਂ ਕਿਹੜਾ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚ ਰਹੇ ਹੋ, ਕਿਉਂਕਿ ਲੋਕ ਆਮ ਤੌਰ ’ਤੇ ਡਿਸਕ ਦੀ ਫਾਈਲ ਟੈਸਟ ਕਰਦੇ ਹਨ ਜਦੋਂ ਕਿ ਪਰੋਫਾਈਲ ਪੁਰਾਣੀ ਨਕਲ ਅੰਦਰ ਰੱਖਦੀ ਹੈ। ਜਦੋਂ ਪਰੋਫਾਈਲ PEM ਬਲਾਕ ਅੰਦਰ ਰੱਖਦੀ ਹੈ, ਤਾਂ ਅੰਦਰ ਰੱਖਿਆ ਸਰਟੀਫਿਕੇਟ ਹੀ ਟੈਸਟ ਹੁੰਦਾ ਹੈ।
ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਪਛਾਣਾਂ ’ਤੇ ਦਸਤਖਤ ਕਰਦੀ ਹੈ, ਇਜਾਜ਼ਤਾਂ ’ਤੇ ਨਹੀਂ
ਅਥਾਰਟੀ ਕੋਲ ਇੱਕ ਨਾਮ ਅਤੇ ਇੱਕ ਦਸਤਖਤ ਕੁੰਜੀ ਹੁੰਦੀ ਹੈ। ਇਹ ਆਪਣੀ ਨੀਤੀ ਅਨੁਸਾਰ ਜਨਤਕ ਕੁੰਜੀ ਨੂੰ ਉਸ ਨਾਮ ਨਾਲ ਬੰਨ੍ਹਣ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਦੀ ਹੈ, ਨਾਲ ਵੈਧਤਾ ਵਿੰਡੋ ਤੇ ਵਰਤੋਂ ਪਾਬੰਦੀਆਂ ਜੁੜੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। ਤੁਹਾਡੇ ਕਲਾਇੰਟ ਨੂੰ ਜਾਰੀਕਰਤਾ ਪਛਾਣਨ ਲਈ ਸਿਰਫ ਅਥਾਰਟੀ ਦਾ ਸਰਟੀਫਿਕੇਟ ਲੋੜੀਂਦਾ ਹੈ; ਇਸਨੂੰ ਦਸਤਖਤ ਕੁੰਜੀ ਕਦੇ ਨਹੀਂ ਚਾਹੀਦੀ, ਅਤੇ ਉਹ ਕੁੰਜੀ ਕਲਾਇੰਟਾਂ ਨੂੰ ਭੇਜਣਾ ਉਹਨਾਂ ਨੂੰ ਉਹ ਪਛਾਣ ਬਣਾਉਣ ਦੀ ਸਮਰੱਥਾ ਦੇ ਦੇਵੇਗਾ ਜਿਸ ’ਤੇ ਤੈਨਾਤੀ ਭਰੋਸਾ ਕਰਦੀ ਹੈ।
ਕਿਸੇ ਅਥਾਰਟੀ ’ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਉਸਦੇ ਦਸਤਖਤ ਕੀਤੇ ਹਰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਉਮੀਦਵਾਰ ਬਣਾ ਦਿੰਦਾ ਹੈ, ਸਹੀ ਪੀਅਰ ਨਹੀਂ। ਉਸੇ ਅੰਦਰੂਨੀ CA ਦਾ ਵੈੱਬ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਵੀ ਉਮੀਦਵਾਰ ਹੈ। ਇਸੇ ਲਈ ਨਾਮ ਤੇ ਮਕਸਦ ਦੇ ਦਰਵਾਜ਼ੇ ਹਨ, ਅਤੇ ਇਸੇ ਲਈ ਸਮਝੌਤਾ ਹੋਈ CA ਕੁੰਜੀ ਕਿਸੇ ਵੀ ਇੱਕ ਸਰਵਰ ਨਾਲੋਂ ਵੱਧ ਮਾਇਨੇ ਰੱਖਦੀ ਹੈ: ਇਹ ਅਥਾਰਟੀ ਵੱਲੋਂ ਕਦੇ ਵੀ ਜਾਰੀ ਕੀਤੀ ਹਰ ਪਛਾਣ ਤੱਕ ਪਹੁੰਚਦੀ ਹੈ। ਹਰ ਡਿਵਾਈਸ ਲਈ ਵੱਖਰਾ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਦਿਓ, ਤਾਂ ਜੋ ਗੁੰਮਿਆ ਲੈਪਟਾਪ ਪੂਰੀ ਤੈਨਾਤੀ ਦੀ ਕੁੰਜੀ ਬਦਲਣ ਦੀ ਥਾਂ ਇੱਕ ਰੱਦ ਕਰਨਾ ਬਣੇ।
ਕਲਾਇੰਟ ਜੋ ਮਾਰਗ ਬਣਾਉਣਾ ਚਾਹੁੰਦਾ ਹੈ ਉਹ ਦੁਬਾਰਾ ਬਣਾਓ
ਮਾਰਗ ਪੀਅਰ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਸ਼ੁਰੂ ਹੋ ਕੇ ਸਿਫ਼ਰ ਜਾਂ ਵੱਧ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟਾਂ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੋਇਆ ਤੁਹਾਡੇ ਭਰੋਸਾ ਭੰਡਾਰ ਦੀ ਜੜ੍ਹ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ। ਗੁੰਮ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟ ਸਭ ਤੋਂ ਆਮ ਚੇਨ ਖਰਾਬੀ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਵੱਲੋਂ ਇਹ ਭਰੋਸੇਯੋਗ ਨਾ ਹੋਣ ਵਾਲੀ ਜੜ੍ਹ ਵਰਗੀ ਹੀ ਦਿਸਦੀ ਹੈ। ਪਹਿਲਾਂ ਪੱਤਾ ਪੜ੍ਹੋ, ਫਿਰ ਜੋ ਸਮੱਗਰੀ ਤੁਸੀਂ ਭੇਜਣੀ ਹੈ ਉਸ ਤੋਂ OpenSSL ਨੂੰ ਮਾਰਗ ਬਣਾਉਣ ਦਿਓ।
openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crtਸਿਫ਼ਰ ਨਿਕਾਸ ਸਥਿਤੀ ਦਾ ਅਰਥ ਹੈ ਕਿ ਮਾਰਗ ਉਹਨਾਂ ਫਾਈਲਾਂ ਤੋਂ ਬਣਿਆ; ਫੇਲ੍ਹ ਹੋਣ ’ਤੇ ਉਸ ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਾਮ ਆਉਂਦਾ ਹੈ ਜਿੱਥੇ ਪਹੁੰਚ ਨਹੀਂ ਹੋ ਸਕੀ। ਜੇ openssl verify ਸਫਲ ਹੋਵੇ ਤੇ ਕਲਾਇੰਟ ਫਿਰ ਵੀ ਇਨਕਾਰ ਕਰੇ, ਤਾਂ ਫਰਕ ਇਸ ਵਿੱਚ ਹੈ ਕਿ ਸਰਵਰ ਅਸਲ ਵਿੱਚ ਕੀ ਭੇਜਦਾ ਹੈ ਜਾਂ ਪਰੋਫਾਈਲ ਕਿਹੜੀ ਭਰੋਸਾ ਫਾਈਲ ਲੋਡ ਕਰਦੀ ਹੈ। OpenVPN ਵਿੱਚ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਫਾਈਲ ਨਾਲ ਜਾ ਸਕਦੇ ਹਨ ਜਾਂ --extra-certs ਨਾਲ ਵੱਖਰੇ ਦਿੱਤੇ ਜਾ ਸਕਦੇ ਹਨ, ਅਤੇ ਇੱਕ ਹੀ ਵਿਸ਼ਾ ਨਾਮ ਹੇਠ ਲਿਖੀਆਂ ਦੋ ਜੜ੍ਹਾਂ ਵਾਲਾ ਬੰਡਲ ਤੁਹਾਡੇ ਇੱਕ ਕਲਾਇੰਟ ਨੂੰ ਗਲਤ ਸ਼ਾਖਾ ਵਿੱਚ ਭੇਜੇਗਾ।
ਨਾਮ ਤੇ ਮਕਸਦ ਵੱਖਰੇ ਦਰਵਾਜ਼ੇ ਹਨ
ਚੇਨ ਬਣਾਉਣਾ ਕਦੇ ਨਹੀਂ ਪੁੱਛਦਾ ਕਿ ਨਾਮ ਤੁਹਾਡਾ ਹੈ ਜਾਂ ਨਹੀਂ। OpenVPN ਇਸਨੂੰ ਸਿਰਫ ਤਦ ਜਾਂਚਦਾ ਹੈ ਜਦੋਂ ਪਰੋਫਾਈਲ --verify-x509-name ਸੈਟ ਕਰਦੀ ਹੈ, ਅਤੇ ਸਿਰਫ ਆਮ ਨਾਮ ਮਿਲਾਉਣ ਦੀ ਪੁਰਾਣੀ ਆਦਤ ਉਹਨਾਂ ਸਰਟੀਫਿਕੇਟਾਂ ’ਤੇ ਟੁੱਟਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਦੀਆਂ ਪਛਾਣਾਂ subjectAltName ਵਿੱਚ ਰਹਿੰਦੀਆਂ ਹਨ। IKEv2 ਤੈਨਾਤੀਆਂ ਸੰਰਚਿਤ ਪਛਾਣ ਨੂੰ SAN ਐਂਟਰੀਆਂ ਜਾਂ ਵਿਲੱਖਣ ਨਾਮ ਨਾਲ ਮਿਲਾਉਂਦੀਆਂ ਹਨ, ਕਲਾਇੰਟ ’ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਵਾਈਲਡਕਾਰਡ ਜਾਂ %any ਮੁੱਲ ਤੁਹਾਡੇ ਸੋਚੇ ਹੋਏ ਮੁਕਾਬਲੇ ਨੂੰ ਚੁੱਪਚਾਪ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ।
ਫਿਰ ਸਮਾਂ ਤੇ ਮਕਸਦ ਆਉਂਦੇ ਹਨ। ਜਿਸ ਲੈਪਟਾਪ ਦੀ ਘੜੀ ਕੁਝ ਘੰਟੇ ਅੱਗੇ ਹੈ, ਉਹ ਹਾਲੇ ਵੈਧ ਨਾ ਹੋਣ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ ਰੱਦ ਕਰਦਾ ਹੈ, ਅਤੇ ਮਿਆਦ ਖਤਮ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟ ਪੱਤਾ ਚਾਲੂ ਹੁੰਦਿਆਂ ਵੀ ਮਾਰਗ ਫੇਲ੍ਹ ਕਰ ਦਿੰਦਾ ਹੈ। ਮਕਸਦ ਦੀਆਂ ਖਰਾਬੀਆਂ ਵਿਸਤ੍ਰਿਤ ਕੁੰਜੀ ਵਰਤੋਂ ਵਿੱਚ serverAuth ਤੋਂ ਬਿਨਾਂ ਜਾਂ ਅਜਿਹੀ keyUsage ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਆਉਂਦੀਆਂ ਹਨ ਜੋ ਹੈਂਡਸ਼ੇਕ ਦਸਤਖਤ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੀ, ਜਿਸਨੂੰ OpenSSL ਅਸਮਰਥਿਤ ਸਰਟੀਫਿਕੇਟ ਮਕਸਦ ਵਜੋਂ ਦੱਸਦਾ ਹੈ। ਸਹੀ ਟੈਂਪਲੇਟ ਤੋਂ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰੋ; ਉਸ ਸੁਨੇਹੇ ਵਿੱਚ ਪੁਸ਼ਟੀ ਬੰਦ ਕਰਨ ਦਾ ਕੋਈ ਕਾਰਨ ਨਹੀਂ।
ਰੱਦ ਕਰਨਾ ਸਿਰਫ ਤਦ ਚੱਲਦਾ ਹੈ ਜਦੋਂ ਕਿਸੇ ਨੇ ਇਸਨੂੰ ਸੰਰਚਿਤ ਕੀਤਾ ਹੋਵੇ
CRL ਜਾਂ OCSP ਜਵਾਬ ਆਪਣੇ ਆਪ ਨਹੀਂ ਦੇਖੇ ਜਾਂਦੇ। OpenVPN ਸਰਵਰ ’ਤੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਸੂਚੀ ਨਾਲ ਸਿਰਫ ਤਦ ਮਿਲਾਏ ਜਾਂਦੇ ਹਨ ਜਦੋਂ --crl-verify ਕਿਸੇ ਸੂਚੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਕਲਾਇੰਟ-ਪਾਸੇ ਜਾਂਚ ਲਾਗੂਕਰਨ ’ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ ਤੇ ਅਕਸਰ ਨਹੀਂ ਹੁੰਦੀ। strongSwan ਨੂੰ ਪੀਅਰ ਲਈ CRL ਵੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਆਪਣਾ ਰੱਦ ਕਰਨ ਵਾਲਾ ਪਲੱਗਇਨ ਤੇ ਨੀਤੀ ਚਾਹੀਦੀ ਹੈ।
ਇਹੀ ਉਹ ਟਿਕਟ ਸਮਝਾਉਂਦਾ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਅੰਤ ਵਿੱਚ ਮਿਲੇਗੀ: ਰੱਦ ਕੀਤਾ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਅਜੇ ਵੀ ਜੁੜਦਾ ਹੈ, ਅਤੇ ਸਾਰੇ ਸਿੱਟਾ ਕੱਢਦੇ ਹਨ ਕਿ ਰੱਦ ਕਰਨਾ ਟੁੱਟਿਆ ਹੋਇਆ ਹੈ। ਕੁਝ ਵੀ ਜਾਂਚ ਨਹੀਂ ਰਿਹਾ ਸੀ। CRL ਪ੍ਰਕਾਸ਼ਿਤ ਕਰੋ ਤੇ ਤਾਜ਼ਾ ਕਰੋ, ਜਾਂ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਇੰਨੇ ਘੱਟ ਆਯੂ ਵਾਲੇ ਰੱਖੋ ਕਿ ਪੁਰਾਣਾ ਰੱਦ ਕਰਨਾ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਹੀ ਮਾਇਨੇ ਰੱਖੇ, ਅਤੇ ਘਟਨਾ ਵੇਲੇ ਲੋੜ ਪੈਣ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਯੋਗਸ਼ਾਲਾ ਸਰਟੀਫਿਕੇਟ ’ਤੇ ਰੱਦ ਕਰਨ ਦੇ ਮਾਰਗ ਦਾ ਅਭਿਆਸ ਕਰੋ।
ਪੁਸ਼ਟੀ ਚਾਲੂ ਰੱਖਣ ਵਾਲਾ ਮੁਰੰਮਤ ਕ੍ਰਮ
ਫਾਈਲਾਂ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਲੱਛਣ ਅਨੁਸਾਰ ਕ੍ਰਮਬੱਧ ਕਰੋ, ਕਿਉਂਕਿ ਸਾਰਣੀ ਦੀ ਹਰ ਕਤਾਰ ਤੁਹਾਨੂੰ ਵੱਖਰੀ ਵਸਤੂ ਵੱਲ ਭੇਜਦੀ ਹੈ।
| Client says | Most likely gate | First check |
|---|---|---|
| unable to get local issuer certificate | trust anchor or missing intermediate | your own openssl verify against the files the profile loads |
| expired or not yet valid | validity window | leaf and intermediate dates against the device clock |
| unsupported certificate purpose | extended key usage | serverAuth present, keyUsage allows the handshake |
| name mismatch | peer identity | subjectAltName entries versus the profile name |
ਸੂਚੀ ਇੱਕੋ ਵਾਰ ਵਿੱਚ ਪੂਰੀ ਕਰੋ: ਪਰੋਫਾਈਲ ਜੋ ਫਾਈਲ ਲੋਡ ਕਰਦੀ ਹੈ ਉਹ ਪੱਕੀ ਕਰੋ, ਮਾਰਗ ਆਪ ਬਣਾਓ, ਸਰਵਰ ਮੱਧਵਰਤੀ ਸਰਟੀਫਿਕੇਟ ਭੇਜਦਾ ਹੈ ਕਿ ਨਹੀਂ ਇਹ ਦੇਖੋ, ਘੜੀ ਦੀ ਤੁਲਨਾ ਕਰੋ, SAN ਪੜ੍ਹੋ, EKU ਪੜ੍ਹੋ, ਫਿਰ ਦੁਬਾਰਾ ਜੁੜੋ ਤੇ ਉਹੀ ਲਾਗ ਲਾਈਨ ਗਾਇਬ ਹੁੰਦੀ ਵੇਖੋ। ਜੇ ਕਿਸੇ ਡਿਵਾਈਸ ਨੂੰ CA ਬਿਲਕੁਲ ਨਹੀਂ ਦਿੱਤਾ ਜਾ ਸਕਦਾ, ਤਾਂ ਪਿੰਨਿੰਗ ਇਮਾਨਦਾਰ ਵਿਕਲਪ ਹੈ, ਕਿਉਂਕਿ OpenVPN 2.6 --peer-fingerprint ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਤੇ ਪੁਸ਼ਟੀ ਹਟਾਉਣ ਦੀ ਥਾਂ ਭਰੋਸਾ ਇੱਕ ਕੁੰਜੀ ਤੱਕ ਸੀਮਤ ਕਰਦਾ ਹੈ। ਇਹਨਾਂ ਖੇਤਰਾਂ ਵਿੱਚੋਂ ਹਰੇਕ ਦੇ ਅਰਥ ਲਈ RFC 5280 ਹਵਾਲਾ ਹੈ।