د کلاینټ سند ورک شو؟ د نوم پر ځای د سیریل شمیرې له مخې لغوه کړئ

ستاسو د کلاینټ د سند فایل ورک شو، او سملاسي غبرګون دا دی چې نوم لغوه او نوی صادر کړئ۔ دا غبرګون اصلي سند معتبر پرېږدي، ځکه چې لغوه کول د لیبل پر ځای د سیریل شمیرې له مخې کار کوي۔ CA نږدې په یقین سره خپل صادر شوي شی یوه کاپي لا ساتي، او هغه کاپي موندل ټول کار دی۔

د فایل ورکېدل د CA د ریکارډ ورکېدل نه دي

Easy-RSA PKI هغه عامه سندونه ساتي چې صادر کړي یې دي، او اوسني نسخې د PKI په certs_by_serial فولډر کې د سیریل له مخې کاپيان هم آرشیف کوي۔ د یو څه لغوه کولو لپاره شخصي کیلي ته اړتیا نشته۔ مهم هغه دقیق سند دی چې CA لاسلیک کړی، او CA هغه له مخکې لري۔

د سم PKI پر بیک اپ کاپي، د هغې د مالک مدیر سره یوځای کار وکړئ۔ لغوه کول د پلټنې وړ عمل دی، نه د نیمې شپې پر مهال د تولیدي ډېټابیس ترمیم۔

د کلاینټ د داخلي عامه سند کاپي هم کار کوي، که ځای پر ځای کول یوه ساتلې وي۔

لومړی صادروونکی او سیریل ولولئ

بیرته ترلاسه شوی PEM وګورئ او صادروونکی، سیریل شمیره، موضوع او د اعتبار موده ولیکئ۔ سیریل شمیره د یو صادروونکي په حد کې بېبېله ده، نه ستاسو په چاپېریال کې د ټولو CA ترمنځ، نو صادروونکی د هویت برخه ده۔ که څو سندونه یوه موضوع شریکه کړي، همغه سیریلونه یې جلا کوي۔

ارزښتونه د CA د ریکارډونو سره او د هغه وسیلې یا کس سره پرتله کړئ چې تاسو باور لرئ سند لري۔

عام نوم بیا کارول کېدای شي، او معمولاً همداسې کېږي۔ تر هغې چې سیریلونه ولیکل شي، مه پرېکړه کوئ چې کوم سندونه بیرته واخیستل شي۔

ولې د نوي سند لغوه کول هېڅ نه کوي

د هماغه عام نوم سره بدیل صادرول دوهم سند رامنځته کوي چې بېله سیریل لري۔ د بدیل لغوه کول نوی بیرته اخلي او اصلي د خپلې پای نېټې پورې معتبر پاتې کېږي۔ د CA له نظره دا دوه خپلواک شیان دي، او CRL د نومونو پر ځای سیریلونه لیست کوي۔ د CA انډیکس د هر صادر شوي سند لپاره یوه کرښه ساتي، همدې دلیل لپاره۔

همدا ګډوډي مخالف غلطي رامنځته کوي: د کلاینټ فایل ړنګول او دا انګېرل چې CA هېر کړی۔ په کلاینټ کې ړنګول د لغوه کېدو پېښه نه ده، او د کاپي لرونکي هر چا لپاره سند کار کوي۔

دواړه غلطۍ د نوم د هویت په توګه د ګڼلو له امله دي۔

هغه سند لغوه کړئ چې سیریل یې نوموي

د CA له لمس کولو دمخه شی وپېژنئ: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates څلور ارزښتونه په یوه تېرېدو چاپوي، او سیریل هغه شی دی چې د CA آرشیف سره یې پرتله کوئ۔ Easy-RSA هغه آرشیف د pki/certs_by_serial لاندې ساتي، د هر سیریل په نوم یو فایل۔ د لغوه کولو حکم سیریل نه، عام نوم اخلي، نو آرشیف شوی فایل pki/issued/<common-name>.crt ته کاپي کړئ او نوم دې هغه شی ته اشاره وکړي چې تاسو پېژندلی۔ له PKI فولډر څخه easyrsa revoke <common-name> چل کړئ، بیا وګورئ چې په index.txt کې اړونده کرښه R ته بدله شوې ده۔ سیریل د شی د ټاکلو لاره ده، نه هغه دلیل چې حکم یې مني۔

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

که index.txt R نه ښیي، ودروئ او د CRL جوړولو دمخه تېروتنه ولولئ، ځکه له لا معتبر ریکارډ څخه جوړ شوی CRL هېڅ بیرته نه اخلي۔ یوازې له کرښې بدلېدو وروسته easyrsa gen-crl چلوئ او د فایل وېش ته ځئ۔

CRL هغه ځای خپور کړئ چې واقعاً پلي کېږي

د PKI د ملاتړ شوي کاري بهیر له لارې نوی CRL جوړ کړئ، بیا یې د دې صادروونکي لغوه کول پلي کوونکي هر تاییدوونکي ته خپور کړئ۔

د CA پر سر پروت تازه شوی فایل هېڅ نه بدلوي، ځکه VPN پرېکړه په خپل تاییدوونکي کې بشپړوي۔ د CRL صادروونکی، د اعتبار موده او لغوه شوي سیریلونه وګورئ، او تایید کړئ چې خدمت فایل بیا باروي، نه پخوانی په کاش کې ساتي۔ مالکیت او لاره د منځپانګې په اندازه مهم دي: هغه CRL چې ډیمون یې نشي لوستل کولای، د هېچ CRL نه شتون څخه توپیر نه لري۔ د OpenVPN crl-verify اختیار هغه فایل نوموي چې ډیمون یې لولي، نو په سرور کنفیګ کې هغه لاره او د فایل مالکیت وګورئ۔

د فایل د وخت ټاپې پر ځای د ریښتیني نښلېدو هڅې سره تایید کړئ۔

پوه شئ چې CRL کله غلط اوزار دی

که د صادروونکي شخصي کیلي نوره باوري نه وي، د پېژندل شوو سیریلونو بیرته اخیستل نشي کولای نامجاز لرونکی له نویو سندونو لاسلیک کولو منع کړي۔ دا د صادروونکي باور بدلون دی، یعنې نوی CA او وېش پلان، نه په CRL کې بله ننوتنه۔ پخواني مدیر چې لاسرسی درلود، دا پخپله د کیلي د ناوړه کارولو ثبوت نه دی، نو مخکې له دې چې باور بیا جوړ کړئ حقایق راټول کړئ۔

د حالت توري د اړولو لپاره د صادرولو ډېټابیس په لاس سمول د لاسلیک شوې لغوه کېدنې بدیل نه دی، او CRL له ریکارډونو سره ناسم پاتې کوي۔

سیریل، CRL او د وېش ګام په یوه یادښت کې وساتئ، بل پلټنه به لوستلو تمرین شي۔ Easy-RSA پروژه ستاسو د نصب شوي نسخې لپاره ملاتړ شوي حکمونه مستند کوي، او دا یوازینی انټرفیس دی چې د تعقیب وړ دی۔