د VPN سند نوی کول پرته له دې چې هویت یې بدل شي

هغه سند نوی کول چې هویت بدلوي نوی کول نه دي، دا د ساتنې ټیکټ اغوستلې کډه ده۔ پیرودونکی نوم، زنځیر او کله ناکله یوه ځانګړې کیلي تصدیقوي، او درې واړه کولای شي پرته له دې چې د پای نېټه بدله شي بدل شي۔ د بدلون غوښتنې مخکې ولیکئ چې پیرودونکی واقعاً څه ګوري: د کوربه نوم یا د همکار هویت، د سند موخه، د کیلي تګلاره او د صادروونکي زنځیر۔ نوی کول معمولي یا همغږي دي په دې پورې چې بدلون له دغو کوم یو بدلوي۔

درې شرایط د نوي کولو بڼه فیصله کوي

درې شرایط دا دي: آیا څه پاڼه پن کوي، آیا زنځیر بدلیږي، او نوم نور څوک تصدیقوي۔ دوی ته د CA له اسانتیا نه نه، د پیرودونکي له خوا ځواب ورکړئ، ځکه چې د شپې درې بجې ناکامېدونکی پیرودونکی دی۔

د خپل لرونکي سند په کتنې پیل وکړئ۔ openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName موضوع، صادروونکی، د اعتبار موده او هغه نومونه چاپوي چې سند ورته واقعاً معتبر دی۔ هغه وروستی ساحه تر ټولو مهمه ده او تر ټولو ډېره فرض کیږي: هغه نوی کول غوښتنه چې د پیرودونکي د باور وړ SAN پریږدي، هغه سند جوړوي چې تخنیکي توګه معتبر خو عملي توګه غلط دی۔ د زاړه سند SAN لیست په غوښتنه کې کاپي کړئ، د حافظې څخه یې بیا ټایپ کولو پرځای۔

لومړی شرط: آیا څه پاڼه پن کوي

که پیرودونکي د ساتل شوي CA باور وکړي او نوم تصدیق کړي، نو د نوي کیلي سره د پاڼې نوی کول د دوی لپاره ناڅرګند دي۔ که هر پیرودونکی د پاڼې سند، د هغې د ګوتې نښه یا د هغې عامه کیلي پن کړي، بدلون د سخت بدلون سره همغږی بدلون دی، ځکه چې زوړ پن نوی سند تصدیقولای نه شي۔

له هر څه فرمایش کولو مخکې ومومئ چې په کوم حالت کې یاست۔ هغه پن چې چا نه دی مستند کړی، د ماتېدو پر مهال هم پن دی۔

دوهم شرط: پنونه او زنځیر پرتله کړئ

د ګوتې نښې پن د کتنې وړ ګرځوي: په زاړه او نوي سند کې openssl x509 -noout -fingerprint -sha256 -in server.crt، او د عامه کیليو پرتله کولو لپاره openssl x509 -noout -pubkey۔ که د پیرودونکي ترتیبات، موبایل پروفایل یا د وسیلې باور ذخیره له دغو ارزښتونو څخه یو ولري، تاسو پن لرئ۔ موبایل VPN پروفایلونه د پټېدو عام ځای دی، ځکه چې پروفایل یو ځل ویشل کیږي او بیا هېڅکله نه کتل کیږي۔

که بدلون له همغه منځګړي څخه راشي او پیرودونکی هغه منځګړی دمخه لري یا یې ترلاسه کولای شي، د باور په اړخ کې هېڅ نه بدلیږي۔ نوی منځګړی، بل صادروونکی یا په غلط ترتیب رسول شوی زنځیر نوی کول په باور بدلون بدلوي، او ناکامي د پای نېټې سند نه، بلکې د ناپېژاند صادروونکي په څېر ښکاري۔

هغه زنځیر چې سرور واقعاً لیږي د openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts سره وګورئ، او په ځایي ډول یې د openssl verify -CAfile ca.pem -untrusted chain.pem server.crt سره تصدیق کړئ۔ د بدلون مخکې دې کار کول تاسو ته د وروسته پرتله کولو لپاره بنسټیزه کرښه درکوي۔

دریم شرط: نوم نور څوک تصدیقوي

VPN کنسنټریټر، بار بیلانس کوونکی، د څارنې پروب، RADIUS یا SAML ادغام او موبایل پروفایل هر یو کولای شي د تمه شوي نوم یا باور لنګر خپله کاپي ولري۔ نوی کول هغه شیبه ده چې هغه کاپيې سره جلا کیږي، ځکه چې سند بدلیږي او کاپيې نه بدلیږي۔

د بدلون مخکې هر مصرفوونکی لیست کړئ او د هر یو لپاره فیصله وکړئ چې ایا تازه کول غواړي۔ هغه چې هېر یې کړئ همغه دی چې تاسو ته زنګ وهي۔

د وخت یوه تله هم شته۔ د پای نېټې ترڅنګ د اعتبار پیل هم وګورئ، ځکه چې د وروسته فعالولو لپاره چمتو شوی سند که ډېر ژر نصب شي رد کیږي، او تېروتنه د چمتووالي ستونزه نه، بلکې د ساعت ستونزه ښکاري۔ له ځای پرځای کولو مخکې په نوي فایل openssl x509 -noout -dates دوه ثانیو کتنه ده۔ یو ملاتړ شوی د بیا رغولو لار او پېژندل شوی ښه ترتیب هم وساتئ، ترڅو غلط شوی نوی کول د پخواني سند او کیلي په بیا رغولو سره بیرته وګرځول شي۔

ځای پرځای کړئ، په نوي تصدیق سره تصدیق کړئ، بیا یې لرې کړئ

یو جوړ شوی تونل هغه تصدیق منعکس کوي چې د جوړېدو پر مهال شوی و، نو دا کولای شي روغ ښکاره شي پداسې حال کې چې هره نوې اړیکه ناکامېږي۔ هغه اصلي خدمت نوم چې پیرودونکي یې کاروي په کارولو سره د نوي تصدیق سره ازموینه وکړئ۔

هغه اپلیکیشن کچه کتنه بشپړه کړئ چې کاروونکي ته مهمه ده، او د زنځیر سپارل د سرور نه نه، د پیرودونکي له نظره تصدیق کړئ۔ د لیږد آرام ساتلو لپاره د نوم یا سند کتنې مه ځپئ؛ دا لنډمهاله مطابقت ستونزه تلپاته کوي۔

زاړه توکي یوازې د ځای پرځای کولو له تصدیق وروسته لرې کړئ، او زیانمنه کیلي په بشپړ ډول بېل قضیه وګڼئ: نوی کول یوازې هېڅ نه لغوه کوي، له همدې امله اغیزمن هویت ته د ځای پرځای کولو لغوه کول او د غونډو مدیریت پروسه اړینه ده۔ RFC 5280 د دې ټولو لاندې د سند او لارې تصدیق قواعد تعریفوي۔ معمولي پاڼه نوی کول د CA بدلون څخه جلا وساتئ, ترڅو له پیرودونکو پرته له دلیل نوی صادروونکی باور وغوښتل نشي۔