کله چې د VPN تصدیق لیک واکمني بدله کوئ څه پېږي

د VPN د تصدیق لیک واکمنۍ بدلول د فایل بدلول نه دي۔ هغه شېبه چې نوی CA پر خپل لومړي تصدیق لیک لاسلیک کوي، هر هغه تایید کوونکی چې لا هم یوازې پر زړې واکمنۍ باور لري باید پریکړه وکړي، او هغه کوربه چې نوی لنگر نه ترلاسه کوي لا هم ښه ملګري ردوي۔ ما دا په دواړو لورو خرابېدل لیدلي: پوله نوې CA زده کړه خو پیریدونکو نه، نو نوي اړیکې ناکامې شوې، په داسې حال کې چې لا دمخه پورته تونلونه پورته پاتې شول او د دې لامل شول چې خنډ د لارښوونې ستونزه ښکاره شي۔ لاندې به وګورو چې څه بدلېږي، په هغه ترتیب چې نیمګړتیاوې ښکاري۔

یو بدلون، دوه جلا بدلونونه

د تصدیق لیک واکمني یو نوم، یو عامه کیلي او هغه خصوصي کیلي ده چې لاسلیک کوي۔ تایید کوونکي هېچېره په انتزاعي ډول پر «CA» باور نه کوي۔ دوی پر یو ټاکلي تصدیق لیک باور کوي چې لا دمخه په باور زېرمه کې پروت دی، او جاري کوونکی یوازې هغه وخت مني چې د لاسلیکونو زنځیر هغې خوندي شوې کاپي ته ورسېږي۔ نو د CA بدلول هغه دوه شیان بدلوي چې په خپلواک ډول ناکامېږي: کوم لنگرونه منل کېږي او د دوی لاندې کومې ملګري پېژندنې جاري شوې۔

ډېری VPN ځای پرځای کول په دواړو لورو تایید کوي۔ پیریدونکی د پولې تصدیق لیک تصدیقوي، او پوله د پیریدونکي هغه۔ هغه بدلون چې یوازې د پیریدونکي بنډل تازه کوي سرور ته اجازه ورکوي چې هر هغه پیریدونکی رد کړي چې لا هم د زړې CA پېژندنه وړاندې کوي، او برعکس یې هم دومره عام دی۔ لومړی د پلي کولو نقطې ولیکئ: د پیریدونکو باور زېرمې، د پولې ca فایل، هر هغه پراکسي چې مخې ته TLS پای ته رسوي، او هغه پلټنه چې پای نقطه له بهر څخه ګوري۔

تایید کوونکی څه ګوري، په ترتیب

د لارې تایید له ملګري تصدیق لیک څخه د منځګړو له لارې پورته ځي تر څو باوري لنگر ته ورسېږي۔ په هر ګام کې لاسلیک تاییدوي، ګوري چې هر تصدیق لیک په خپله اعتبار موده کې دی، او تاییدوي چې بنسټیز محدودیتونه او د کیلي کارول جاري کوونکي ته د لاسلیک اجازه ورکوي۔ یوازې له هغې وروسته اپلیکیشن پاڼې تصدیق لیک ته ګوري: د موضوع بدیل نومونه باید اړوند نوم پوښي، او پراخه کیلي کارول باید د سرور یا پیریدونکي تصدیق اجازه ورکړي۔

د دې سفر د آفلاین تکرار لپاره، -CAfile هغه دقیق بنډل ته اشاره کړئ چې ځای پرځای به یې کوئ، نه د سیستم زېرمې ته۔ که نه، تاسو بدلون نه، کوربه ازمویئ:

openssl verify -CAfile new-ca.crt gateway.crt
openssl verify -CAfile new-ca.crt -untrusted intermediate.crt client.crt
openssl x509 -in gateway.crt -noout -subject -issuer -dates
openssl s_client -connect gw.example.net:443 -CAfile new-ca.crt

هغه امر یوازې د پولې HTTPS اداري پاڼې په څېر ساده TLS اورېدونکي پر وړاندې کار کوي؛ د OpenVPN کنټرول چینل له TLS مخکې راځي، نو s_client د تونل لاس ورکول نه شي کتلی۔

د هغو تېروتنو شاته د لارې جوړولو قواعد RFC 5280 6 برخه کې دي۔ دوی هغه ناکامۍ څرګندوي چې که نه، خپله خوښه ښکاري: هغه پای ته رسېدلی منځګړی چې چا نه یاد و، هغه تصدیق لیک چې د کیلي کارول یې لاسلیک بندوي، یا د نوم محدودیت چې ازمویل کېدونکی کوربه بېلوي۔

ولې زوړ تونل کار ته دوام ورکوي

TLS او OpenVPN دواړه له لاس ورکولو وروسته جوړ شوی غونډه ژوندې ساتي۔ هېڅ شی په هر بنډل کې د ملګري تصدیق لیک بیا نه تاییدوي، نو هغه پیریدونکی چې له بدلون مخکې وصل شوی و تر هغې چې بیا خبرې وکړي، بیا وصل شي یا تونل ولویږي تګ راتګ تېروي۔ همدا سوراخ لامل کېږي چې د CA بدلون یوه ساعت ښه ښکاره شي او بیا په تر ټولو بدې شېبې ناکام شي: لپ ټاپ له خوب ويښ شي، د NAT نقشه پای ته رسېږي، پوله بیا پیلېږي۔

د غونډې بیا پیل دا توهم نور هم اوږدوي۔ د TLS غونډې ټکټ پیریدونکي ته اجازه ورکوي چې پرته له بیا تصدیق لیکونو راستنېږي، او بیا پیل د لارې تایید پرېږدي ځکه لومړي لاس ورکولو دا لا کړی و۔ نو ریښتینی ازموینه په نوې پروسه کې بشپړ لاس ورکول دي۔ د تونل بیا نښلولو پر ځای پیریدونکی بیا پیل کړئ، او په ازمویلو پروفایل کې د ټکټونو بندول غور وکړئ تر څو د بیا پیل لاره مات زنځیر پټ نه کړي۔

د سټاټیک کیلي پوړ له دې جلا وساتئ۔ tls-auth کنټرول چینل ته HMAC ورزیاتوي، tls-crypt هغه کوډ کوي او تاییدوي، او هېڅ یو یې د تصدیق لیک توکي نه وړي، نو د هر یو ګرځول خپل ناکامۍ حالت لرونکی جلا بدلون دی۔ هغه ځای پرځای کول چې دواړه ګډوي د هغه پیریدونکي سره پای ته رسېږي چې سټاټیک کیلي یې سمه، تصدیق لیک یې زوړ او د تېروتنې پیغام یې هېڅ یو نه یادوي۔

د موضوع نوم د بیا کارولو تله

د دې لپاره چې لاندې هېڅ شی بدل نشي، د پخواني ځانګړی نوم بیا کارول هڅوونکي دي۔ دا په انټرفیس کې د جاري کوونکي کرښه ټینګه ساتي او هغه یوازینی سیګنال له منځه وړي چې تاسو ته ورته اړتیا ده۔ دوه تصدیق لیکونه چې یو شان موضوعې او بېلې کیلي لري په نوم نه جلا کېږي، نو دواړه لنگرونه لرونکی بنډل تایید کوونکي ته دوه نوماندان ورکوي او د غوراوي قاعده نه۔

بیا د لارې جوړول کېدای شي غلط وټاکي، کله چې سم لنگر موجود وي «د ځایي جاري کوونکي تصدیق لیک ونه موندل شو» راپور کړي، یا د نوماندانو ترتیب بېل و نو په یو کوربه کې بریالی او په بل کې همدې بنډل سره ناکام شي۔ که نوم باید بیا وکارول شي، د لېږد پر مهال دواړه لنگرونه په جلا فایلونو کې وساتئ او په څرګند ډول یې بار کړئ، او یوازې هغه وخت یې یوځای کړئ چې هر ملګری نوی جاري کوونکی وړاندې کړي۔ که نه، بدیل ته بېل عام نوم ورکړئ — د نسل یا نیټې پسوند کافي دی — تر څو لاګونه او د تېروتنې متنونه ووایي چې ناکام ملګری د کومې واکمنۍ لاندې جاري شو۔

هغه ګرځول چې شبکه نه غورځوي

د پلان شوي بدلون لپاره په یو ګام کې د بدلولو پر ځای محدود وخت لپاره دواړه لنگرونه ومنئ۔ نوې CA او د هغې منځګړي جاري کړئ، نوی لنگر د زاړه ترڅنګ په هر تایید کوونکي بنډل کې کېږدئ، او یوازې له هغې وروسته له هغې ملګري تصدیق لیکونه جاري کول پیل کړئ۔ زړې پېژندنې لرونکي ملګري د زاړه لنگر پر وړاندې تاییدېږي؛ نوي د نوي پر وړاندې کار کوي۔

په دې ترتیب ترسره شي، هر ګام بېرته ګرځېدونکی دی۔ هغه ناکامي چې تاسو ترې ځان ساتئ یوځای بدلون دی: هغه پیریدونکی چې د بنډل تازه کول یې له لاسه ورکړي د هغې پولې سره مخ کېږي چې زوړ لنگر یې لا تقاعد کړی، لاس ورکول مري، او هېڅ لاګ نه وایي چې کوم لوری زوړ دی۔

په مخالف لوري تقاعد کړئ۔ هره هغه پېژندنه چې باید پاتې شي بیا جاري کړئ، تایید کړئ چې هر یو نوی زنځیر وړاندې کوي، بیا له بنډلونو زوړ لنگر لرې کړئ۔ د زړې CA خصوصي کیلي له خدمت څخه وباسئ، ځکه هغه جاري کوونکی چې لا هم لاسلیک کولی شي مانا دا ده چې ګرځول بشپړ نه دي۔ د پلټنې لپاره تصدیق لیکونه او د جاري کولو ثبتونه وساتئ۔ ورک شوی جاري کوونکی هماغه باور ته بېرته راځي؛ افشا کېدل نوي پېژندنې غواړي او زاړه لنگر ته بېرته تګ نه لري۔

پایله تایید کړئ، د فایلونو لیست نه

په تمه شوې پوښۍ کې د باور فایل لږ شیان ثابتوي۔ اپلیکیشن کېدای شي بله لاره، بل بڼه یا د هغه بنډل دننه کاپي ولولي چې تازه کول یې بدلوي۔ د فایل شتون نه، د دواړو سرو کار کړه ازموئ۔

تایید کړئ چې د نوې پېژندنې سره نوی اړیکه بریالۍ ده، بیا تایید کړئ چې د تقاعد شوې CA جاري کړې پېژندنه ردېږي۔ خلک هغه دوهمه ازموینه پرېږدي، او یوازې هغه ښیي چې زړه واکمني نوره لاسرسی نه ورکوي۔ چېرې چې ځای پرځای کول پر CRL یا OCSP تکیه کوي، وګورئ چې په نوو تصدیق لیکونو کې د وېش نقطې حل کېږي او پوښتونکي ملګري ځواب ورکوونکي ته رسېږي۔

له هغه پیریدونکي سره پای ته ورسئ چې هېچېره ندی وصل شوی: د هغه د پروفایل حالت پاک کړئ، وصل شئ او خبرې شوې زنځیر ولولئ۔ هغه ملګری چې کېش شوې غونډه بیا پیلوي به په خوښۍ ووایي چې لېږد بریالی و، په داسې حال کې چې هېڅ یې تایید نه کړ۔