ਦੋ OpenVPN ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ CCD ਨੀਤੀ ਕਿਉਂ ਸਾਂਝੀ ਕਰ ਸਕਦੇ ਹਨ

ਇੱਕ CA ਦੋ ਸਰਟੀਫਿਕੇਟਾਂ 'ਤੇ ਦਸਤਖਤ ਕਰ ਸਕਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਉਹੀ OpenVPN ਕਲਾਇੰਟ-ਖਾਸ ਸੰਰਚਨਾ ਮਿਲਦੀ ਹੈ, ਅਤੇ ਦੋਹਾਂ ਵਿੱਚੋਂ ਕਿਸੇ ਵੀ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਕੁਝ ਵੀ ਕਿਸੇ ਨੂੰ ਚੇਤਾਵਨੀ ਨਹੀਂ ਦਿੰਦਾ। ਸੀਰੀਅਲ ਨੰਬਰ ਵੱਖਰੇ ਹਨ, ਕੁੰਜੀਆਂ ਵੱਖਰੀਆਂ ਹਨ, ਅਤੇ ਸੰਗਠਨਾਤਮਕ ਇਕਾਈ ਬਦਲਦਿਆਂ ਹੀ ਪੂਰੇ ਵਿਸ਼ੇ ਵੀ ਵੱਖਰੇ ਹੋ ਜਾਂਦੇ ਹਨ। ਸਰਵਰ ਇੱਕ ਨਾਮ ਰਾਹੀਂ ਹਰ ਕਲਾਇੰਟ ਦੀ ਨੀਤੀ ਤੈਅ ਕਰਦਾ ਹੈ, ਅਤੇ ਉਹੀ ਨਾਮ ਇੱਕੋ-ਇੱਕ ਚੀਜ਼ ਹੈ ਜੋ ਵਿਲੱਖਣ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ।

ਸਰਵਰ ਨਾਮ ਤੈਅ ਕਰਦਾ ਹੈ, ਸੀਰੀਅਲ ਨੰਬਰ ਨਹੀਂ

ਆਮ ਸਰਟੀਫਿਕੇਟ ਖੋਜ ਵਿੱਚ ਸਰਵਰ ਪੇਸ਼ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਆਮ ਨਾਮ ਲੈਂਦਾ ਹੈ ਅਤੇ ਉਸ ਨਾਮ ਦੀ client-config-dir ਐਂਟਰੀ ਲੱਭਦਾ ਹੈ। ਸੀਰੀਅਲ ਨੰਬਰ ਕਦੇ ਖੋਜ ਵਿੱਚ ਨਹੀਂ ਆਉਂਦਾ। ਆਮ ਨਾਮ ਤੋਂ ਬਿਨਾਂ ਹਰ ਖੇਤਰ ਵਿੱਚ ਵੱਖਰੇ ਦੋ ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ ਫਾਈਲ ਵਿੱਚ ਪਹੁੰਚਦੇ ਹਨ, ਇਸ ਲਈ ਦੂਜਾ ਕਨੈਕਸ਼ਨ ਪਹਿਲੇ ਡਿਵਾਈਸ ਦਾ ਸਥਿਰ ਪਤਾ ਅਤੇ ਭੇਜੇ ਰੂਟ ਵਿਰਾਸਤ ਵਿੱਚ ਲੈਂਦਾ ਹੈ।

ਇਸ ਤਰ੍ਹਾਂ CA ਪਾਸੇ ਦੀ ਵਿਲੱਖਣਤਾ ਜਾਂਚ ਪਾਸ ਹੁੰਦੀ ਹੈ ਜਦਕਿ VPN ਅਜੇ ਵੀ ਟਕਰਾਉਂਦਾ ਹੈ। ਦੋਵੇਂ ਜਾਂਚਾਂ ਵੱਖਰੇ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦੀਆਂ ਹਨ।

ਕੁਝ ਵੀ ਦਸਤਖਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਪ੍ਰਭਾਵੀ ਨਾਮ ਕੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਸਨੂੰ ਉਸ ਡਿਵਾਈਸ ਜਾਂ ਖਾਤੇ ਦੇ ਕੋਲ ਦਰਜ ਕਰੋ ਜਿਸਦਾ ਇਹ ਹੈ। ਨਾਮ, ਮਾਲਕ, ਉਦੇਸ਼ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਫਿੰਗਰਪ੍ਰਿੰਟ ਦਾ ਰਜਿਸਟਰ ਜ਼ਿਆਦਾਤਰ ਤੈਨਾਤੀਆਂ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ। ਇਸ ਤੋਂ ਬਿਨਾਂ ਸਰਟੀਫਿਕੇਟ ਆਰਕਾਈਵ ਹੀ ਇਹ ਇੱਕੋ-ਇੱਕ ਰਿਕਾਰਡ ਹੈ ਕਿ ਕਿਹੜਾ ਨਾਮ ਕਿਸ ਡਿਵਾਈਸ ਦਾ ਹੈ, ਅਤੇ ਉਹ ਆਰਕਾਈਵ ਅਧਿਕਾਰਤ ਬਦਲੀ ਨੂੰ ਮੌਜੂਦਾ ਨਾਮ 'ਤੇ ਦਾਅਵਾ ਕਰਨ ਵਾਲੇ ਦੂਜੇ ਡਿਵਾਈਸ ਤੋਂ ਵੱਖ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਨਾਮ ਨੂੰ ਦਾਖਲੇ ਵੇਲੇ ਰਾਖਵਾਂ ਰੱਖੋ, ਜੇ ਦੋ ਆਪਰੇਟਰ ਇੱਕੋ ਸਮੇਂ ਜਾਰੀ ਕਰ ਸਕਦੇ ਹਨ ਤਾਂ ਤਾਲੇ ਹੇਠ।

ਮੈਪਿੰਗ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਨਾਮ ਵਰਤਦੀ ਹੈ

ਆਮ ਸਰਟੀਫਿਕੇਟ ਖੋਜ ਆਮ ਨਾਮ ਵਰਤਦੀ ਹੈ। ਪ੍ਰਮਾਣਿਤ ਵਰਤੋਂਕਾਰ ਨਾਮ ਮੈਪ ਕਰਨ ਲਈ ਸੈੱਟ ਕੀਤਾ ਸਰਵਰ ਇਸਦੀ ਥਾਂ ਉਹ ਮੁੱਲ ਵਰਤਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਨੀਤੀ ਚੋਣ ਲਈ ਸਰਟੀਫਿਕੇਟ ਦਾ ਆਮ ਨਾਮ ਅਪ੍ਰਸੰਗਿਕ ਹੋ ਜਾਂਦਾ ਹੈ। ਕਿਹੜੀ ਮੈਪਿੰਗ ਲਾਗੂ ਹੈ ਇਹ ਵੇਖਣ ਲਈ ਚੱਲ ਰਹੀ ਸੰਰਚਨਾ ਪੜ੍ਹੋ।

ਦੋਵੇਂ ਮੈਪਿੰਗਾਂ ਇੱਕੋ ਸਮੇਂ ਹੋ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਫੇਰ ਨਤੀਜਾ ਉਸ ਕ੍ਰਮ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਸਰਵਰ ਉਨ੍ਹਾਂ ਨੂੰ ਤੈਅ ਕਰਦਾ ਹੈ। ਆਮ ਨਾਮ 'ਤੇ ਵਾਪਸ ਡਿੱਗਣ ਵਾਲੀ ਵਰਤੋਂਕਾਰ-ਨਾਮ ਮੈਪਿੰਗ ਚੁੱਪਚਾਪ ਅਜਿਹਾ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰੇਗੀ ਜਿਸਨੂੰ ਰਜਿਸਟਰ ਨੇ ਕਦੇ ਮਨਜ਼ੂਰ ਨਹੀਂ ਕੀਤਾ। ਪ੍ਰਭਾਵੀ ਨਾਮ ਨੂੰ ਉਸ ਹੁਕਮ ਦੇ ਕੋਲ ਲਿਖੋ ਜਿਸਨੇ ਇਹ ਬਣਾਇਆ, ਤਾਂ ਜੋ ਅਗਲੇ ਆਪਰੇਟਰ ਨੂੰ ਕ੍ਰਮ ਦੁਬਾਰਾ ਲੱਭਣਾ ਨਾ ਪਵੇ। ਹਰ ਮੈਪਿੰਗ ਲਈ ਇੱਕ ਕਨੈਕਸ਼ਨ ਜਾਂਚਣਾ ਸਸਤਾ ਹੈ ਅਤੇ ਸਵਾਲ ਤੈਅ ਕਰ ਦਿੰਦਾ ਹੈ।

ਮੈਪਿੰਗ ਜੋ ਵੀ ਪੈਦਾ ਕਰੇ, ਉਹੀ ਰਾਖਵਾਂ ਰੱਖਣ ਯੋਗ ਮੁੱਲ ਹੈ। CA ਵਿੱਚ ਆਮ ਨਾਮ ਰਾਖਵੇਂ ਰੱਖਣਾ ਜਦਕਿ ਸਰਵਰ ਵਰਤੋਂਕਾਰ ਨਾਮਾਂ 'ਤੇ ਟਿਕਿਆ ਹੈ, ਗਲਤ ਚੀਜ਼ ਰਾਖਵੀਂ ਕਰਨਾ ਹੈ।

ਦੋ CA ਇੱਕੋ ਨਾਮ ਮਨਜ਼ੂਰ ਕਰ ਸਕਦੇ ਹਨ

ਇੱਕ VPN ਸੇਵਾ ਇੱਕ ਤੋਂ ਵੱਧ ਜਾਰੀ ਕਰਨ ਵਾਲੇ ਅਧਿਕਾਰੀ 'ਤੇ ਭਰੋਸਾ ਕਰ ਸਕਦੀ ਹੈ, ਅਤੇ ਹਰ ਅਧਿਕਾਰੀ ਕੋਲ ਇਸ ਬਾਰੇ ਆਪਣੀ ਧਾਰਨਾ ਹੁੰਦੀ ਹੈ ਕਿ ਕਿਹੜੇ ਨਾਮ ਲਏ ਗਏ ਹਨ। ਦੋ ਸੁਤੰਤਰ CA ਵੱਖਰੇ ਡਿਵਾਈਸਾਂ ਲਈ ਇੱਕੋ ਆਮ ਨਾਮ ਦੋਵੇਂ ਮਨਜ਼ੂਰ ਕਰ ਸਕਦੇ ਹਨ, ਅਤੇ ਸਰਵਰ ਬਿਨਾਂ ਸ਼ਿਕਾਇਤ ਦੋਵੇਂ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਭਰੋਸਾ ਬੰਡਲ ਵਿੱਚ ਹਰ ਅਧਿਕਾਰੀ ਦੀ ਸੂਚੀ ਬਣਾਓ, ਸਿਰਫ਼ ਉਸ ਦੀ ਨਹੀਂ ਜਿਸ ਤੋਂ ਤੁਸੀਂ ਆਮ ਤੌਰ 'ਤੇ ਜਾਰੀ ਕਰਦੇ ਹੋ। ਨਾਕਾਮੀ ਦੂਜੇ ਅਧਿਕਾਰੀ ਦਾ ਸਰਟੀਫਿਕੇਟ ਪਹਿਲੀ ਵਾਰ ਵਰਤੇ ਜਾਣ 'ਤੇ ਦਿਖਦੀ ਹੈ।

ਇਹੀ ਤਰਕ ਉਸ CA 'ਤੇ ਵੀ ਲਾਗੂ ਹੁੰਦਾ ਹੈ ਜੋ ਆਮ ਨਾਮ ਦੀ ਵਿਲੱਖਣਤਾ ਦੀ ਥਾਂ ਪੂਰੇ ਵਿਸ਼ੇ ਦੀ ਵਿਲੱਖਣਤਾ ਲਾਗੂ ਕਰਦਾ ਹੈ।

ਆਮ ਨਾਮ ਸਾਂਝਾ ਕਰਨ ਪਰ ਸੰਗਠਨਾਤਮਕ ਇਕਾਈ ਵਿੱਚ ਵੱਖਰੇ ਦੋ ਸਰਟੀਫਿਕੇਟਾਂ ਦੇ ਵਿਸ਼ੇ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ, ਇਸ ਲਈ CA ਕੋਈ ਟਕਰਾਅ ਨਹੀਂ ਦੱਸਦਾ ਜਦਕਿ ਸਰਵਰ ਇੱਕ ਨਾਮ ਵੇਖਦਾ ਹੈ। ਡਿਫਾਲਟ ਮੰਨਣ ਦੀ ਥਾਂ ਉਹ ਸੈਟਿੰਗ ਜਾਂਚੋ ਜੋ ਤੁਹਾਡਾ ਜਾਰੀ ਕਰਨ ਵਾਲਾ ਸਾਧਨ ਅਸਲ ਵਿੱਚ ਵਰਤਦਾ ਹੈ। openssl ca ਦਸਤਾਵੇਜ਼ ਵਿੱਚ unique_subject ਦੀ ਸੰਭਾਲ ਉੱਥੇ ਦਾ ਸੰਬੰਧਿਤ ਨੋਬ ਹੈ, ਅਤੇ ਉਸ ਸਾਧਨ ਦੁਆਲੇ ਦੇ ਰੈਪਰ ਆਮ ਤੌਰ 'ਤੇ ਇਸਨੂੰ ਬਦਲਣ ਦੀ ਥਾਂ ਇਸਨੂੰ ਪ੍ਰਗਟ ਕਰਦੇ ਹਨ।

ਨਵੀਨੀਕਰਨ ਰਾਖਵਾਂ ਮੁੜ-ਵਰਤੋਂ ਹੈ, ਟਕਰਾਅ ਨਹੀਂ

ਨਾਮ ਰੱਖਣ ਵਾਲਾ ਨਵੀਨੀਕਰਨ ਜਾਣਬੁੱਝ ਕੇ ਮੁੜ-ਵਰਤੋਂ ਹੈ, ਅਤੇ ਰਜਿਸਟਰ ਨੂੰ ਇਹ ਸਾਧਾਰਨ ਸ਼ਬਦਾਂ ਵਿੱਚ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ। ਪੁਰਾਣੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਅਤੇ ਨਵੀਂ ਇੱਕੋ ਨਾਮ ਹੇਠ ਦਰਜ ਕਰੋ ਤਾਂ ਜੋ ਸਮੀਖਿਅਕ ਬਦਲੀ ਨੂੰ ਕਬਜ਼ੇ ਤੋਂ ਵੱਖ ਪਛਾਣ ਸਕੇ। ਸਰਵਰ ਦਾ duplicate-cn ਵਿਕਲਪ ਇਸ ਨਾਲ ਸੰਬੰਧਿਤ ਨਹੀਂ: ਉਹ ਇੱਕੋ ਸਮੇਂ ਦੇ ਸੈਸ਼ਨ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ, ਦਾਖਲਾ ਜਾਂ ਨਾਮ ਰਾਖਵੇਂ ਰੱਖਣਾ ਨਹੀਂ। ਤੈਅ ਕਰੋ ਕਿ ਦੋਵੇਂ ਪ੍ਰਮਾਣ ਕਿੰਨੀ ਦੇਰ ਰਹਿ ਸਕਦੇ ਹਨ ਅਤੇ ਪੁਰਾਣਾ ਕਦੋਂ ਸਵੀਕਾਰ ਹੋਣਾ ਬੰਦ ਹੁੰਦਾ ਹੈ।

ਬਦਲੀ ਸੌਂਪਣ ਤੋਂ ਪਹਿਲਾਂ ਪੜ੍ਹੋ ਕਿ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਅਸਲ ਵਿੱਚ ਕੀ ਹੈ। ਵਿਸ਼ਾ ਲਾਈਨ ਹੀ ਉਹ ਖੇਤਰ ਹੈ ਜੋ ਸਰਵਰ ਮੈਪ ਕਰੇਗਾ, ਫਾਈਲ ਦਾ ਨਾਮ ਭਾਵੇਂ ਕੁਝ ਵੀ ਸੁਝਾਵੇ।

openssl x509 -in device42.crt -noout -subject -serial -issuer

ਰੱਦ ਕਰਨਾ ਆਮ ਤੌਰ 'ਤੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਇਸਦੇ ਜਾਰੀਕਰਤਾ ਹੇਠ ਪਛਾਣਦਾ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਸੀਰੀਅਲ ਨੰਬਰ ਨੂੰ ਸੇਵਾਮੁਕਤ ਕਰਨਾ ਉਸੇ ਅਧਿਕਾਰੀ ਦੀ ਸਹੀ ਢੰਗ ਨਾਲ ਜਾਰੀ ਕੀਤੀ ਬਦਲੀ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਕਰਦਾ। ਇਹੀ ਵਿਵਹਾਰ ਇੱਕ ਸਾਫ਼ ਨਵੀਨੀਕਰਨ ਲਈ ਲੋੜੀਂਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਕਾਰਨ ਹੈ ਕਿ ਰੱਦ ਕਰਨਾ ਦੋ ਡਿਵਾਈਸਾਂ ਦੁਆਰਾ ਸਾਂਝਾ ਕੀਤਾ ਨਾਮ ਸਾਫ਼ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਵਰਤੋਂਕਾਰ ਦੇ ਡਿਵਾਈਸ ਵੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਟੈਸਟ ਕਨੈਕਸ਼ਨ 'ਤੇ ਪ੍ਰਭਾਵੀ ਨੀਤੀ ਨਾਮ ਅਤੇ ਅਲਾਟ ਕੀਤਾ ਪਤਾ ਪ੍ਰਮਾਣਿਤ ਕਰੋ। ਫੇਰ ਪੁਰਾਣਾ ਪ੍ਰਮਾਣ ਜਾਣਬੁੱਝ ਕੇ ਸੇਵਾਮੁਕਤ ਕਰੋ ਅਤੇ ਦਰਜ ਕਰੋ ਕਿ ਤੁਸੀਂ ਅਜਿਹਾ ਕੀਤਾ।