لغوه شوی VPN تصدیقنامه لا هم نښلول کیږي؟ د CRL پلي کول وګورئ
لغوه شوي تصدیقنامې لا هم نښلول کیږي کله چې CRL هیڅکله تصدیق کوونکي ته ونه رسیږي. په دې ترتیب سره صادرونکی، بار شوی سیریل نمبر، د بیا بارولو چلند او فعالې ناستې وګورئ.
تاسو تصدیقنامه لغوه کړه، نوې لیست جوړ کړ، خو زوړ پروفایل لا هم تونل پورته کوي۔ پخپله لغوه کول خراب نه دي: CRL یو لاسلیک شوی اعلان دی چې سیریل نمبر نور معتبر نه دی، او د لاسرسي بدلون یوازې هغه وخت رامنځته کوي چې د TLS پای ته رسولو برخه یې د سم صادرونکي لپاره بار کړي، مخکې لدې چې د منلو پرېکړه وکړي۔ ډېری دغه پېښې همدلته دي، او له همدې امله لغوه کول او رد کول دوه جلا حقایق دي۔
لاندې پنځه ګورې په ترتیب سره ترسره کړئ او په لومړي هغه کې ودریږئ چې نه پوره کیږي، ځکه هر وروستی ګورې د پخوانیو سم والی فرض کوي۔
وګورئ کومه برخه د منلو پرېکړه کوي
هغه بهیر ونوموئ چې د پیرودونکي تصدیقنامه اعتباروي، ځکه یوازې هغه بهیر کولی شي یو لیست پلی کړي۔ په OpenVPN سرور کې دا پخپله ډیمن دی، چې په crl-verify تنظیم شوی۔ په ocserv کې دا د ocserv.conf په دننه کې crl کرښه ده۔ په strongSwan کې ننوتل بار شوي CRLونه دي د strictcrlpolicy سره یوځای۔ د VPN مخې ته د TLS پای ته رسولو پروکسي یا وسیله هم کولی شي ریښتینی تصدیق کوونکی وي، او که همداسې وي، تر شا یې ډیمن هیڅکله د پیرودونکي تصدیقنامه نه ویني۔
WireGuard بېلې کټګورۍ ته اړه لري۔ نه تصدیقنامې لري او نه د لغوه کولو لیست؛ همکار د خپلې عامې کیلۍ له مخې په ترتیباتو کې منل کیږي، نو د لاسرسي پای ته رسول د هغې کیلۍ لرې کول دي۔ که تاسو یوازې د WireGuard په ځای پرځای کې CRL پلټئ، هغه میکانیزم هلته نشته۔
د پیرودونکي خوا ته د تله څخه هم ډډه وکړئ۔ هغه پیرودونکی چې د سرور تصدیقنامه خوښه نه وي او له نښلولو انکار کوي، د سرور زنځیر پلي کوي، خپل اعتبارنامې نه لغوه کوي۔ د کارن تصدیقنامه یوازې هغه ځای لغوه کیږي چې هغه کارن تصدیقنامه اعتبار شي، او دا نږدې تل د سرور خوا وي۔
وګورئ لیست د کوم صادرونکي لپاره لاسلیک شوی
CRL یوازې یو صادرونکي CA ته محدود دی۔ د ریښې او منځني CA سره، د پاڼو تصدیقنامې له منځني څخه راځي، نو مهم لیست د منځني CRL دی؛ د ریښې لیست د هغو پاڼو په اړه څه نه وایي۔ هغه تصدیق کوونکی چې غلطې فایل ته اشاره کوي، هغه په خوښۍ پارس کوي، هیڅ سم ورود نه مومي او هر څه مني۔
د ډیمن د لمس کولو مخکې جوړه تایید کړئ۔ په تصدیقنامه کې صادرونکی باید د لیست subject سره سمون ولري:
openssl x509 -in client.crt -noout -issuer -serial
openssl crl -in intermediate.crl -noout -issuer -lastupdate -nextupdateکله چې دواړه د یوې CA څخه وي، د تصدیقنامې لپاره چاپ شوی سیریل نمبر هغه ارزښت دی چې باید په لیست کې راشي۔ که سمون ونه لري، تاسو غلط CRL یا د هغې غلطه کاپي لرئ۔
اعتبار همدغه ګورې ته اړه لري۔ په تېره کې nextUpdate لیست زوړوي، او هغه تصدیق کوونکی چې بند ډول ناکام شي بیا به هر پیرودونکی رد کړي نه یوازې لغوه شوی۔
وګورئ سیریل نمبر په هغه کاپي کې دی چې ډیمن بار کړې
لغوه کول د CA په ډیټابیس کې ورود لیکي، او بیا تولید نوی فایل لیکي۔ دواړه عملونه هغه روان ډیمن ته نه رسیږي چې په پیل کې زوړه کاپي بار کړې وه۔ لیست ډمپ کړئ او سیریل نمبر پلټئ:
openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crlبیا وګورئ ستاسو پلي کول فایل څنګه اخلي۔ OpenVPN هغه لار چې crl-verify ته ورکړل شوې په پیل کې یو ځل لولي، نو نوی لیست بیا پیل یا د بیا پیل سیګنال ته اړتیا لري؛ هماغه انتخاب چې فولډر ته اشاره کوي د هرې اړیکې لپاره بیا لوستل کیږي، او له همدې امله د فولډر حالت شته۔ strongSwan باید خپل اعتبارنامې بیا بار کړي، لکه د swanctl --load-creds سره۔ فایل چې په ډیسک کې سم دی او تصدیق کوونکی چې هغه کاروي دوه جلا حقایق دي۔
د ورک یا پای ته رسېدلي لیست پالیسي وګورئ
دا هغه پرېکړه ده چې ډېری ځای پرځای کول یې هیڅکله په ښکاره توګه نه کوي، او دا ټاکي چې لغوه کول تاسو ساتي که هر څوک بهر بندوي۔ Fail-closed معنا دا ده چې د کارونې وړ لغوه معلوماتو پرته رد پېښیږي؛ fail-open معنا دا ده چې تصدیق کوونکی پرته له هغو مخ ته ځي۔ strongSwan انتخاب د strictcrlpolicy په توګه ښیي۔ OpenVPN د crl-verify سره له هغه فایل پیل کول رد کوي چې نشي لوستلی یا پارس کولی، او پای ته رسېدلی لیست د خاموشې منلو پرځای د پای ته رسېدلي CRL په اړه د TLS تایید تېروتنې په توګه ښکاري۔
| State of the revocation data | Fail-closed result | Fail-open result |
|---|---|---|
| List missing or unreadable | Verification fails, so expect an outage | Every client connects, including the revoked one |
List past nextUpdate | Validation errors until a fresh list is deployed | Old status is trusted indefinitely |
| Revoked serial present in the loaded list | Handshake rejected for that certificate | Handshake rejected for that certificate |
کوم لوری چې غوره کړئ، اتوماتیک کول له انتخاب مهم دي: هغه کار چې CRL د nextUpdate مخکې بیا تولیدوي، او هغه خبرداری چې کله ځای پرځای شوې کاپي زوړه شي، دواړه پالیسۍ له پېښې کېدو ساتي۔ د OCSP سره آنلاین ګورې تازګي ځواب ورکوونکي ته لېږدوي، خو هماغه قاعده پلي کیږي، ځکه هغه تصدیق کوونکی چې د ځواب ګورې لپاره نه دی تنظیم شوی هیڅ نه بدلوي۔
فعاله ناسته وګورئ، بیا د کیلۍ کاپي
لغوه کول د تصدیقنامې اعتبار په جریان کې ارزول کیږي، چې د نښلولو او بیا خبرو اترو پر مهال پېښیږي۔ جوړه شوې ناسته تر هغه پورې روانه وي چې بیا خبرې ونه کړي، او د OpenVPN طبعي ارزښت په ساعت کې یو ځل دی د reneg-sec 3600 سره۔ که سړی باید اوس له شبکې ووځي، ناسته هم پای ته ورسوئ سره د لیست خپرولو، او بیا تایید کړئ چې بیا نښلول رد کیږي۔
اعتبارنامې له خپلو کاپیو جدا کړئ۔ په یوه لیپ ټاپ کې پروفایل ړنګول د هماغه خصوصي کیلۍ بله کاپي له تصدیق کېدو نه منع نه کوي؛ لغوه کول هغه څه دي چې هره کاپي بې ګټې کوي، او یوازې هغه وخت چې پخواني ګورې سم وي۔ بدیل وسیلې ته خپله تصدیقنامه ورکړئ تر څو یوه پرته له بلې لمس کولو لغوه شي۔
مخکې لدې چې بشپړ یې وبولئ: تصدیق کوونکې برخه پیژندل شوې، د لیست صادرونکی د پاڼې صادرونکي سره سمون لري، لغوه شوی سیریل نمبر په هغه کاپي کې دی چې ډیمن واقعاً بار کړې، د ورک یا پای ته رسېدلو لیستونو پالیسي په قصد او څارل کیږي، او فعاله ناسته د انتظار پرځای پای ته ورسول شوه۔ هغه بڼې چې د دې ټولو شاته دي په RFC 5280 کې ښودل شوي۔