AWS Client VPN: د سرور سند او د کلاینټ سند رول
د ټرمینل نقطې سرور سند خدمت ثابتوی. متقابل تصدیق د سرور کلی له شریکولو پرته د هر کلاینټ پیژندنه او CA باور زیاتوی.
Client VPN ټرمینل نقطه تل TLS سرور سند ته اړتیا لري. دا هغه پیژندنه ده چې مدیریت شوې نقطه یې د کلاینټ د نښلولو پر مهال وړاندې کوی. دا له هغو سندونو جلا شی دی چې انفرادی کلاینټان یې د متقابل تصدیق پر مهال وړاندې کوی. دا دوه سره ګړول هغه ترټول عامه لامل دی چې له مخې بل ږول سم ACM ترتیب بیا هم په لومړې اړیکه کې ناکام کېږي.
لاندې د کنسول څخه بهر ته یو تګ راتګ دی، په هغه ترتیب چې یوه اړیکه عملاً تیرېږي.
دوه رولونه، یوه نقطه
ټرمینل نقطه د سرور پیژندنه لری او په اختیاري ژې بیل د کلاینټونو د پیژندنو د تصدیق لاره هم لری. دا دواړه جلا جلا تنظیمیږي. یو یې دا فیصله کوي چې ایا کلاینټ کولی شی په خدمت باور وکری؛ بل یې دا فیصله کوي چې ایا خدمت کلاینټ منی.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
جدول د یو سند پر ړاکه د درېو خپلواکو غوښتنو په توګه ولولئ. سرور سند او د هغه شخصي کلی د خدمت سره پاتې کېږي. د کلاینټ سند او ورته برابر شخصي کلی په اله کې اوسیږي. د CA مادې هغه څه دی چې تصدیق کوونکی یې د لړۍ کتلو لپاره کاروی. یوازې منړنۍ ࢩار هغه دی چې کله ناکامې د لیپ ٽاپ وې.
د ACM سرور سند څه کوي
کله چې نقطه جوړوې، سرور سند باید په ACM کې په هغه سیمه کې وی چې نقطه پکې ده، شتون وی. کنسول ARN غواړته او هغه ARN باید هماغله حل شی. ACM کولی شی هغه سند وساتي چې تاسو د ژبې تصدیق سره برابر کړی وی، یا هغه چې تاسو د هغه له کلی او لړۍ سره یوړای راوړلی وی. دواړه په دې رول کې کار کوي؛ توپیر یې په تیددونه او په دې کې چې شخصي کلی د چا په لاس کې دی.
هغه لاره وټاکئ چې له دې سره سمه وی چې څوک سند نوی کولی شی، نه هغه چې ناڅاپه د سم ښکارېدونکي فایل جوړولو لامل شو.
متقابل تصدیق څه زیاتوي
د سند پر بنسټ د کلاینټ تصدیق ټاکل دوهمه پوښتنه زیاتوی: کوم کلاینټان کولی شی اصلاً ونښلی. هر کلاینټ خپل سند وړاندې کوی او د ورته برابر شخصي کلی د لرلو ثبوت ورکوی. جلا جلا پیژندنې هماغه دی چې وروسته انتخابي لگوه کول ممکن کوي. یو کلاینټ کلی په هره اله کاپي کول په چوپتیا دا ښانګړتیا لرې کوی، انګه چې سرور سند په بشپړه توګه لاسه راوړلی وی.
د نقطې د تصدیق تریقه یوه ټاکل ده، نه نړۍ غوښتنه.
Active Directory او فیدرال تصدیق په بلو لارو هماغې پوښتنې ژابونه ورکوي. د متقابل سند نسخه په اتوماتیک ڐوګه د هغو دیښونو د ننوتلو ډیزاین نه کېږي، او د سرور TLS تصدیق پرته دې له پامه چې کارونکی څنګه داخلېږي، خپل ځای لري.
ولې هماغه CA ARN د کلی شریکول نه دی
AWS مستند کوي چې کله چې د سرور او کلاینټ سندونه یو شان CA صادر کړي، د سرور سند ARN کولی شی د کلاینټ سند د ټاکلو لپاره هم وکاریږي. هغه جمله د هغې لړۍ په اړه دې چې نقطه په تصدیق کې باور لري. دا کلاینټونو ته نه وایی چې د سرور شخصي کلی وکاروی. لیپ ٽاپ اوس هم خپل کلاینټ سند او خپل برابر کلی ته اړتیا لري.
کله چې د کلاینټ CA بل صادروونکی وی، مستنده لاره دا ده چې هغه CA ACM ته راوړئ او د کلاینټ رول لپاره یې وټاکئ.
ناکامي بیرته یوې پړې ته وګرږوئ
له دې مخکې چې څه بدل کړئ، وټاکئ چې کومه پړې ناکامه ده. که کلاینټ نقطه رد کړی، د سرور ARN یا د هغه لړۍ شکمن دی. که نقطه کلاینټ رد کړی، د کلاینټ سند، صادروونکی او ټاکل شوې د تصدیق تریقه وګورئ. که تونل پورته شی او ترافیک بیا هم ناکام شی، تاسو له سندونو وړاندې تیره اوړې یاست.
په یو وخت کې یوه شی بدله کړئ، ښکار چې دواړه سرونه یوړای بدلول هماغه ابهام بیا تولیدوي چې تاسو پرې پیل کړی وی.
د ځانګړې رول لپاره د خدمت ملاتړ شوې کلی الګوریتمونه او اړینې غزونې هم وګورئ. هغه سند چې یوه عمومي ویبپاڼه قناعت کوی، دا ثبوت نه دی چې د Client VPN ټولې پیژندنې غوښتنې پورې شوې دی.
ولیکئ چې هره ساحه کوم ARN لری، کومې CA کلاینټ سند صادر کړی او نقطه عملاً کومه تصدیق تریقه کاروی. د درېو کرۚو ریکارډ بله نوی کول له پلټنې پرته، یوه دنده گرږوی.