یوازې CSR نوملیکنه نه ده: د VPN CA باید څه وګوري

د سند د لاسلیک غوښتنه عامه کیلي او غوښتل شوی subject لري، چې د ورته شخصي کیلي سره لاسلیک شوي۔ هغه لاسلیک ثابتوي چې غوښتونکی کیلي لري۔ دا نه ثابتوي چې غوښتونکی پر غوښتل شوي نوم، وسیله یا VPN رول حق لري، او غوښتنې ته داسې کتل لکه څنګه چې دا ثابتوي، هماغه لاره ده چې د مرستې میز ټکټ د لاسرسي ورکولو بدلېږي۔

دوه د نوملیکنې ماډلونه د دې له مخې پرتله کول ښه دي چې څه تړي، نه د دې له مخې چې کوم پروتوکول وایي۔

غوښتنه نوم ادعا کوي، ثابتوي یې نه

غوښتنه د هغه څه له مخې ولولئ چې واقعاً پکې دي: عامه کیلي، د غوښتونکي غوره شوی subject، او پر دواړو د خپل لاسلیک۔ په هغه جوړښت کې هېڅ شی ستاسو فهرست، د حسابونو لارښود یا د تصویب جریان ته اشاره نه کوي۔ cn=finance-laptop ته ورته subject هغه تار دی چې یو چا ټایپ کړی۔ تر هغه چې د صادرولو بهیر هغه تار د باوري ریکارډ سره ونه ګوري، سند د لاسلیک ضمیمه شوې ادعا ده۔ همدا توپیر د نوملیکنې بهیر د موجودیت بشپړ دلیل دی۔

پایله یې عملیاتي اهمیت لري۔ د سندونو اداره هېڅکله د سند صادرولو لپاره د پیرودونکي شخصي کیلي ته اړتیا نه لري، او هغه بهیر چې دې ته اړتیا لري لاسلیک د کیلي ساتنې سره ګډ کړی دی۔ جوړول په پای ټکي کې وساتئ او یوازې عامه نیمه ولېږئ۔

ماډلونه په دې بنسټ پرتله کړئ چې څه تړي

لاسلیک په لاس کول هغه څه تړي چې آپریټر یې د کتلو یاد لري۔ اتوماتیک د نوملیکنې خدمت باوري شوې غوښتنه د هغه پرېکړې سره تړي چې خدمت یې پلي کولی شي، او RFC 7030 داسې یو ډیزاین بیانوي چې پکې پیرودونکی د سند له بیرته ورکولو دمخه باوري کېږي۔ هغه توپیر چې تر پلټنې پاتې کېږي اتومات کول نه دي؛ دا دی چې د هویت کتنه د صادرولو په لار کې کېږي که ترڅنګ يې۔

دواړه ماډلونه لا هم باید هماغو درې پوښتنو ته ځواب ووایي۔ څوک پوښتنه کوي، پر کومه وسیله یا رول، او څومره وخت لپاره۔ هغه ټکټ سیستم چې ځوابونه ثبتوي ریښتیني کار کوي؛ هغه قطار چې څوک پکې عام نوم ته ګوري نه کوي، که څه هم سند وروسته څومره په احتیاط سره جوړ شي۔

ماډل د هغو نوملیکنو شمېر او د وسایلو بدلون له مخې وټاکئ چې تمه یې لرئ۔ په کال کې څو سرورونه کولی شي لیکلي چک لیست سره لاسي بیاکتنه وزغمي۔ د لیپ ټاپونو ډله نشي زغملای۔

د لومړي صادرولو څخه د ژوند دوره ثبت کړئ

د صادرولو په شیبه کې د سند پېژندنه، مالک، پام شوی کارول، پای نېټه او د لرې کولو لاره وساتئ، نه په لومړي پېښه کې۔ پام شوی کارول باید د پراخ شوي کیلي کارولو له لارې په خود سند کې وي، او ریکارډ باید ورسره سمون ولري۔ د پیرودونکي باوري کولو لپاره جوړ شوی سند باید د سرور لپاره له جوړ شوي څخه بېلېدونکی نه وي۔

له لسم پروفایل صادرولو دمخه نوی کول او د ورک شوې وسیلې لغوه کول پلان کړئ۔ په یوه څانګه کې شریک شوی سند هدفمند لرې کول په خنډ بدلوي، او هغه پرېکړه اوس بیاکتل د جمعې ورځې پېښې پر مهال له بیاکتلو ډېر ارزان دي۔

صادر شوی سند وګورئ، بیا لاسرسی

له نوملیکنې وروسته وګورئ چې څه صادر شوي او تایید کړئ چې دا ستاسو د تمه شوې ادارې سره ځنځیر جوړوي۔ دوه کمانډونه عامې تېروتنې پوښي: د ناسم کارولو سند، او هغه ځنځیر چې یوازې ځکه کار کوي چې پیرودونکی د اعتبارسنجۍ له پامه غورځولو لپاره تنظیم شوی۔

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

بیا لاسرسی وآزموئ، نه هنري اثر۔ سند هویت ټاکي، او پالیسي لا هم پرېکړه کوي چې هغه هویت کومو خدمتونو ته رسېدلی شي۔ دواړه وګورئ، ځکه سم هنري اثر هم له ډېر پراخه پالیسي سره په بیاکتنه کې ناکامېږي۔ تایید کړئ چې پیرودونکی باوري کېږي او یوازې پام شوي لارې یا سرچینې ترلاسه کوي۔ هغه څه ولیکئ چې ولیدل، نه هغه څه چې پروفایل باید کړی وای۔

هغه پروفایل چې د ناسم دلیل له مخې کار کوي، لکه سمون لرونکی عام نوم او هېڅ د هویت کتنه، به هغه کنټرول له لرې کولو وروسته هم کار وکړي چې تاسو یې لرل فکر کول۔