لغوه شوی پیرودونکی لا هم نښلوي: لیست هېڅکله ونه رسېد
لغو کول د سند تصدیق لپاره یو ننوتل دي، نه هغه فرمان چې ناسته پای ته رسوي. پرتله کړئ چې نوی اړیکه او روان تونل لیست څنګه ګوري.
لغو کول هېڅکله روان تونل ته نه ننوځي چې ناسته ړنګه کړي. لیست د سند تصدیق لپاره ننوتل دي او د کنټرول چینل د تبادلې پر مهال ګوري، کوم چې TLS ناسته پیلوي. همدا یوه حقیقت دواړه حیرانتیاوې څرګندوي: لغوه شوی پیرودونکی بیا نښلوي، ځکه لیست هېڅکله تصدیق کوونکي ته ونه رسېد، او موجوده ناسته ژوندې پاتې کیږي، ځکه چې چا بیا هېڅ شی تصدیق نه کړ.
لیست یو ننوتل دي، نه یو عمل
د ناستې پر مهال سرور د پیرودونکي سند د خپلو باور لنګرو پر وړاندې تصدیقوي، او د لغو کولو لارښود دې پرېکړې ته د لیست پلټنه ورزیاتوي. کتنه په سرور کې کیږي، نو پیرودونکی نه شي لیدلی چې سند یې لغوه شوی او هماغه سند وړاندې کوي. نو هغه پروفایل چې لا هم نښلوي یوازې دا ثابتوي چې ځینې تصدیق کوونکي زنځیر منلی، نه دا چې لغو کول ناکام شول.
لیست پخپله د خپرېدو نیټې او راتلونکې تازه نیټې سره لاسلیک شوی شی دی. بې اړیکه لیست، بلې ادارې لاسلیک کړی لیست یا هغه چې راتلونکې تازه یې تېره شوې، اوسني لیست بدیل نه دی، او که زوړ لیست رد شي یا په غلې منل شي، دا پر خپرولو پورې اړه لري.
نوی اړیکه او روانه ناسته
لغو کول هغه وخت ارزول کیږي چې ناسته جوړه یا بیا خبرې ورسره وشي، نه د هرې بستې پر سر د معلوماتو چینل پر وړاندې. هغه پیرودونکی چې مخکې نښلیدلی، د ترافیک کیلي لري، نو د هغه سند چې لیست کې ښکاره شي بیا هم بستې تېریږي. د بیا خبرو منځپانګه په ساعتونو کې اندازه کیږي، نو تازه شوی لیست د نویو لپاره پلی کیدای شي، پداسې حال کې چې روان تونل پاتې کیږي.
| Situation | What the list does | When it applies |
|---|---|---|
| Fresh connection | Blocks the handshake | At verification, immediately |
| Renegotiation | Blocks the new exchange | At the next renegotiation interval |
| Established data channel | Nothing | Until the session ends |
سمدستي پلي کول د لیست پر ځای یو قصد شوی عمل غواړي. د خدمت بیا پیلول هر پیرودونکی اړ کوي چې بیا ونښلوي، خو د مدیریت مخې ته د یوې ناستې پای رسول نورې ناڅاپه پرېږدي. د هرې پېښې لپاره یو وټاکئ او ولیکئ چې کوم مو کارولی. دواړه انتخابونه بېل اغیز لري، او هماغه ریښتینی پرېکړه ده.
هغه فایل ورسوئ چې تصدیق کوونکی یې واقعاً لولي
لیست باید د ادارې له ریکارډ څخه جوړ شي او بیا هغه هر ماشین ته کاپي شي چې سندونه تصدیقوي. دا چې په CA هوسټ کې جوړ شي او هېڅکله سرور ته نصب نه شي، تر ټولو عامه ناکامي ده، او د خرابې لغو کولو ځانګړتیا په څېر ښکاري.
ca ca.crt
cert server.crt
key server.key
crl-verify /etc/openvpn/crl.pemدوه تفصیلونه پرېکړه کوي چې فایل واقعاً لول شو که نه. نسبي لار د ترتیباتو فولډر ته په پام حل کیږي، نو هغه کاپي چې د کاروونکي کور کې پاتې شي کېدای شي هېڅکله ونه موندل شي. او ډیمون عموماً د پیل وروسته له خپلو حقونو تېریږي، نو د چلولو حساب ته په هر مورني فولډر کې د پلټنې اجازه او پر فایل د لوستلو اجازه ښکاري. دواړه د چلولو حساب سره وګورئ، نه د root سره، که نه نو ازموینه غلط شی ثابتوي.
په systemd هوسټونو کې کلک شوی یونټ هم لار پټولی شي، د یوازې لوستلو لید یا خوندي سیسټم فولډر سره. د خدمت له دننه دا له ورک فایل څخه نه جلا کیږي، نو د اجازې غلطي پلټلو مخکې د یونټ محدودیتونه وګورئ. د فایل حالت تورنولو مخکې د یونټ فایل ولولئ.
پر سرور تایید کړئ، نه پر پیرودونکی
د سرور ثبت وایي چې څه وشول: لیست خلاصول، هغه بارول یا د لغوه شوي لړیز نمبر سره تصدیق ناکامېدل. پیرودونکی یوازې عمومي د لاس ورکولو ناکامي راپور کوي، نو د لغو کولو پرېکړې پلټلو لپاره د پیرودونکي ثبتونه بد ځای دی.
لغوه شوي پروفایل څخه په نوي هڅه تصدیق کړئ او بیا ودرېږئ. له هغه پروفایل څخه بریالې اړیکه د فایل لارې او د چلولو حساب کتنې نښه ده، نه د دې فرض چې لیست غلط و. هغه بریالې هڅه د منلو ازموینې په توګه وساتئ، او هغه بیا نښلول چې تاسو نه دي لیدلي مه شمېرئ.
څه چې هېڅ شی لغوه نه کوي
له لپ ټاپ څخه پروفایل ړنګول، له پیرودونکي څخه د سند فایل لرې کول یا کاروونکي ته ویل چې نښلول بند کړه، پر سرور هېڅ نه بدلوي. سند هغه تر وخته اعتبار لري چې اداره لغو کول ثبت کړي او تصدیق کوونکی رامنځته شوی لیست ولولي.
له همدې کبله د زنځیر لیکل ارزښت لري: لغو کول ثبت کړئ، لیست جوړ او لاسلیک کړئ، هماغه فایل خپور کړئ، او تایید کړئ چې د خدمت حساب یې لوستلی شي. هر بند لنډ دی، او هر ورک شوی بند لغوه شوی پیرودونکی په خوښۍ نښلوي. څلور کرښې چک لیست له یوې کرښې پرته فرضیې غوره دی.