د سند د نوم ناسم والی یا پای نیټه: څنګه یې جلا کړو

دوه VPN ناکامۍ د کارونکي له چوکۍ څخه یو شان ښکاري خو مخالف سمونونه غواړي. د نوم ناسم والی مانا دا ده چې سند معتبر دی خو د بل شيء لپاره صادر شوی. د پای نیټې تېروتنه مانا دا ده چې سند په دې شیبه معتبر نه دی. دواړه د پټنوم ستونزه نه ده، او په دواړو حالتونو کې د ننوتلو معلومات بیا تنظیمول ترټولو عام ضایع شوی ساعت دی. د هر څه لمس کولو دمخه ناکام پړاو ولولئ.

د تېروتنې متن تشخیز دی

کلینټ تاسو ته وایي کومه کتنه ناکامه شوه، حتی کله چې پیغام لنډ وي. ناسم والی د تمه شوي کوربه نوم او موندل شوي نوم نومونه اخلي. د پای نیټې تېروتنه د اعتبار نیټې یا وخت یادوي. هغه دوه جملې د سند مختلف برخو ته اشاره کوي.

هغه په هغه پړاو کې ولولئ چې ښکاري. د لاس ورکولو پر مهال ناکامي د سند ستونزه ده؛ د تونل له پورته کېدو وروسته ناکامي د لارښوونې یا د ننوتلو معلوماتو ستونزه ده. د پړاو ساتل هغه څه دي چې پلټنه له بې اړیکې تنظیماتو ته له تېښتې ژغوري.

که ناکامي د هڅو ترمنځ بدله شي، درېیمه امکان لرئ: د یو نوم شاته له یو څخه ډېر نوډونه.

د نوم کتنې: کلینټ څه پرتله کوي

کلینټ هغه هویت چې د تمه کولو لپاره تنظیم شوی د سند په نومونو سره پرتله کوي، کوم چې په subjectAltName غځونه کې دي. په پروفایل کې خام IP، هغه لقب چې سند یې نه لیست کوي، یا هغه نوم چې یوازې هماغه سرور ته حل کېږي — ټول په دې کتنه کې ناکامېږي. سم ماشین ته رسېدل د سم هویت وړاندې کولو سره یو شان نه دي.

هغه سند وګورئ چې سرور واقعاً وړاندې کوي، نه د پخوانۍ هڅې فایل. لاندې کمانډ هغه نوم غواړي چې تاسو تنظیم کړی، نو ځواب هغه سند لري چې ریښتینی کلینټ به یې وګوري.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -dates -ext subjectAltName

د باوري صادروونکي سند لا هم د بل خدمت لپاره کېدای شي. د کلینټ د نوم کتنې فعالې وساتئ، ځکه چې په CA باور کول هر هغه نوم ته اجازه نه ورکوي چې هغه CA کله هم لاسلیک کړی وي. کتنه بندول د تنظیم تېروتنه په افشا بدلوي.

پای نیټه: د چا ساعت لوستل کېږي

اعتبار د دوو وخت مهرونو جوړه ده، او تصدیق کوونکی یې له خپل ساعت سره پرتله کوي. هغه وسیله چې ساعت یې غلط دی معتبر سند د پای نیټې تېر یا لا نامعتبر په توګه راپور کوي، او سمون ساعت دی نه سند. د وخت زون ښودلو توپیر د بنسټیز وخت د غلطۍ سره یو شان نه دی.

د هر څه پایلې اخیستلو دمخه په کلینټ کې د سند نیټې له UTC سره پرتله کړئ:

openssl x509 -in cert.pem -noout -dates
date -u

که نیټې واقعاً تېرې شوې وي، د صادروونکي له لارې نوي کړئ. که بدیل شته خو لا معتبر نه دی شوی، د ساعت د حرکتولو پر ځای د ملاتړ شوي بدلون پیروي وکړئ ترڅو ورسره سمون وکړي. د سند د رضایت لپاره د وسیلې نیټه بیرته اخیستل هغه پرېکړه ده چې پایلې یې له تونل څخه ډېرې لرې دي.

ولې د یو سمول بل افشا کوي

تصدیق د کتنو یوه لړۍ چلوي، او لومړنۍ ناکامي راپور بندوي. نوم سم کړئ او بیا کلینټ کېدای شي تاسو ته ووایي چې زنځیر نیمګړی دی یا سند پای نیټه تېره شوې. دا مانا نه ده چې لومړنۍ کتنه بې اړتیا وه. دا مانا ده چې زنځیر له یوې څخه ډېرې ستونزې درلودې، نو د لومړني سمون د غلطۍ ثبوت په توګه یې د لوستلو پر ځای دوهمه تېروتنه تمه کړئ.

ډېر نوډونه دا خرابوي. د بار توازن خدمت کېدای شي له مختلفو غړو مختلف سندونه وړاندې کړي، نو هغه ازموینه چې دوه ځله بریالۍ او یو ځل ناکامه شي تاسو ته د فلیټ په اړه وایي، نه ستاسو د کلینټ. په تشخیز کې د همکار پته او د هڅې وخت وساتئ.

هماغه تفصیل بې ثباته ټکټ په بیا تولیدېدونکي ټکټ بدلوي.

دا د نوي اړیکې سره ثابت کړئ

له ترمیم وروسته د زاړه بیا پیلولو پر ځای نوې اړیکه پرانیزئ، او تایید کړئ چې هغه پړاو چې مخکې ناکامېده اوس تېرېږي. بیا تایید کړئ چې تونل واقعاً ترافیک وړي، ځکه چې بریالۍ لاس ورکول کاري لار نه ده.

د تېروتنې دقیق پړاو او د سند تفصیلات د ټکټ سره وساتئ.

هماغه ریکارډ بل کس له دې منع کوي چې د سند ستونزې لپاره د حساب پټنومونه بیا تنظیم کړي. هویت او اعتبار جلا پوښتنې دي، او RFC 5280 د دوهم ارزښت اخیستنې لپاره مرجع ده.