نوی شوی VPN سند: ځینې کلاینټونه یې لا هم ردوي

د نوي کولو وروسته نیمایي چاپېریال بیا نښلول کېږي او درې وسیلې انکار کوي، هر یوه د ګېټوې د هویت په اړه خبرداری سره۔ پخپله نوی کول عادي کار دی۔ هغه درې وسیلې زوړ شي ته پین لري، او پین نه د CA لړلیک دی، نه د نوم څېړنه او نه د باور ذخیرې ننوتنه۔ د هر کلاینټ د لمس کولو دمخه درې میکانیزمونه پرتله کړئ۔

یو نوی کول، دوه چلندونه

هغه کلاینټونه چې بیا نښلول کېږي د باور هغه پرېکړه لري چې لا هم تېریږي، او هغه چې انکار کوي داسې غوښتنه لري چې نوی سند یې نه پوره کوي۔ دا توپیر معلومات دي، شور نه۔ د پاتې راغلي کلاینټ پیغام په دقت سره ولولئ۔ د نوم نه سمون، ناپېژانده صادروونکی او بدل شوی ګوته نښه درې بېلې پرېکړې دي، او یوازې وروستی پین ته اشاره کوي۔

همدا راز وګورئ چې پاتې راغلي کلاینټ کوم پروفایل غوره کړ۔ د خپل ذخیرې دننه وارد شوې کاپي هغه وخت نه بدلېږي چې مدیر اصلي فایل بل ځای سمون کړي۔

نوی کول شی بدلوي، نه یوازې نېټه

ګوته نښه د کوډ شوي سند منځپانګه پېژني۔ نوی کول نوی سند جوړوي، نو ګوته نښه بدلېږي حتی کله چې د موضوع نوم او عامه کیلي هماغسې وي۔ دا د هغو کلاینټونو لپاره تمه شوې او بې زیانه ده چې CA ته باور لري او نوم تاییدوي۔ دا د هغه کلاینټ لپاره وژونکې ده چې یوازې یو سند منلو ته تنظیم شوی، او د هغه کلاینټ لپاره هم وژونکې ده چې د باور ذخیره یې نوی صادروونکی هېڅکله نه دی ترلاسه کړی۔

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

دوهمه کرښه بلې پوښتنې ته ځواب ورکوي، چې کیلي جوړه ژوندې پاتې شوه که نه۔ هغه نوی کول چې کیلي بیا کاروي هماغه ارزښت ساتي او یوازې سند بدلوي، او همدا هغه حالت دی چې مدیر ته داسې ښکاري چې هېڅ نه دی بدل شوی۔ هغه سند وګورئ چې ځای پر ځای شوی، نه هغه چې د جوړولو په کوربه کې دی۔ په ذخیره کې د فایل پرتله کول ښيي چې څه جوړ شول، نه دا چې اورېدونکی اوس څه وړاندې کوي۔

ولولئ چې کلاینټ څه پین کوي

ځینې کلاینټونه په خپل پروفایل کې ګوته نښه ساتي او په هر نښلون کې یې پرتله کوي۔ نور یې د پلیټفارم باور ذخیره کې ساتي، او بیا نور یوازې پر CA تکیه کوي۔ په هر حالت کې ترمیم بېل دی، نو لومړی میکانیزم وپېژنئ۔

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

لومړی امر په متعارف پروفایل کې پین ښيي؛ دوهم هغه ګوته نښه ښيي چې پایټکی اوس واقعاً وړاندې کوي۔ کله چې دا دواړه بېل وي، تاسو پرته له اټکل کولو نیمګړتیا وموندله۔ نوی ارزښت په هر شکایت کوونکي کلاینټ کې مه نښلوئ۔ هغه کلاینټ چې د صادروونکي له مخې انکار کوي انکار ته دوام ورکوي، او تاسو به ځان ته دا وښیاست چې ستونزه ګوته نښه وه کله چې نه وه۔

هر بیکنډ چې کوم سند وړاندې کوي هغه پرتله کړئ

پرې شوې پایلې معمولاً له یوې ډېرې پایټکي مانا لري، او یوازې په یوه نوډ کې پلي شوی نوی کول نور د زوړ شي وړاندې کولو ته پرېږدي۔ هر بیکنډ د شریک نوم پر ځای د پتې له مخې پرتله کړئ۔

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

هغه ټولګه چې یو نوډ وروسته پاتې دی، هغه کلاینټ تشریح کوي چې په دوهم هڅه نښلول کېږي او په لومړي کې پاتې راځي۔ دا هغه څارنه هم تشریح کوي چې د کاروونکو د شکایت پر مهال تېریږي۔ لومړی وروسته پاتې کېدل سم کړئ۔ د باور ترتیباتو رولول دمخه چې هر نوډ نوی سند وړاندې کړي داسې کړکۍ جوړوي چې هېڅ نه کار کوي، او له هغې وروسته رولول کلاینټونه په ناڅاپي ډول پاتې راتلو ته پرېږدي۔

باور د مدیریت شوې لارې له مخې بدل کړئ

د هر ځای منلو دمخه بدلون د لا باوري اداري کانال له مخې تایید کړئ۔ باوري مودې پای نیټه د مالکیت ثبوت نه دی۔ مدیریت شوې ترتیبات د هغې د مالک پروسې له مخې تازه کړئ، د منلو وړ هویتونو د هر پلان شوي پوښ سره، او هغه نوم تایید چې ځای پر ځای کول یې غواړي وساتئ۔ پرته له نوم څېړنې پین له هغه CA باور څخه کمزوری ډیزاین دی چې هغه یې بدل کړ۔

بیا د هر کلاینټ لپاره تایید کړئ، ونښلئ، هغه هویت چې منلی یې دی تایید کړئ، او هغه سند نسخه ولیکئ چې اوس ورته باور لري۔ یو ځل رد شوې خبرداری بېرته د بل نوي کولو پر مهال راګرځېدو عادت لري۔