ولې د ca.key کاپي کول هر VPN کلهنې ته CA له منځه وړي
کلاینټ د CA عامه سند تصدیق کوي؛ هغه ته هغه کیلي هېڅکله نه پکار ده چې لاسلیک کوي۔ د ca.key کاپي کول هر وسیلې ته د صادرولو واک هر هغه چا ته ورکوي چې یوه کاپي واخلي۔
د نصبولو په لارښوونو کې یوې ځای، یو ټول فولډر پر هر لیپ ټاپ بشپړ کاپي کېږي، ځکه چې دا له دې پرېکړې څخه اسانه وه چې کوم فایلونه هلته راځي۔ هغه فولډر ca.key لري، او هر کله چې دویم وسیلې ته ورسېږي، د سندونو مرجع نوره مرجع نه وي۔ اوس هر لرونکی کولی شي هغه پېژندنې صادرې کړي چې پاتې شبکه به پرې باور وکړي۔
دا ګډوډي یو ځل روښانه کول ارزښت لري، ځکه چې دوه فایلونه یو شان ښکاري خو مخالف کار کوي۔
د تصدیق توکي او د لاسلیک توکي
کلاینټ ته د CA عامه سند اړین دی ترڅو تصدیق کړي چې بل لوري وړاندې کړی سند همدې مرجع لاسلیک کړی دی۔ دا د تصدیق کار دی او هېڅ راز ته اړتیا نلري۔ د بل لوري پر سند لاسلیک کول بل کار دی، چې د CA چلوونکې یو ځل، په خپله ساتل شوې زېرمه کې پاتې کېدونکې خصوصي کیلي سره ترسره کوي۔ دا دوه کارونه جلا ساتل د دوو فایلونو لېږلو ټول هدف دی۔
نو ca.crt پروفایل ته راځي او ca.key د هغې نږدې هېچېرته نه راځي۔ د فایل نومونه یوه تګلاره ده، نه تضمین، له همدې کبله باید ډول له نوم څخه ونه اټکل شي، بلکې وګړل شي۔
د منځګړي CA یا آنلاین صادراتي خدمت لرونکې جوړښت استثنا نه ده۔ دا هغه معیاري لاره ده چې د لاسلیک وړتیا له پاینیو نقطو لرې وساتل شي او په لویه کچه د وسیلو سندونه صادر شي۔
کلاینټ باید په خپله کیلي څه ثابت کړي
هره وسیله خپله کیلي جوړه او خپل سند ترلاسه کوي، چې CA یو ځل لاسلیک کوي۔ کلاینټ هغه سند وړاندې کوي او ښیي چې سمه خصوصي کیلي لري، او سرور پرېکړه کوي چې ومني یې که نه۔ دا هغه پېژندنه ده چې د لیپ ټاپ ورکېدو پر مهال لغوه کېږي۔
دا توپیر تر ټولو ډېر د غلا وروسته اهمیت لري۔ د هرې وسیلې لپاره جلا پېژندنې سره، یو ښکاره شوی کلاینټ په لغوه کولو یا د بل لوري په لرې کولو ایستل کېږي، او پاتې ډله کار ته دوام ورکوي۔
توېدلې مرجعي کیلي په دې ډول نه شي مدیریت کېدای۔ هره هغه سند چې کله هم لاسلیک کړی یا لاسلیک کولی شي، شکمن کېږي، نو ځواب یوازې یوه لغوه کول نه، بلکې د باور بدلول دي۔ دا یو پروژه ده، ټکټ نه۔
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
فایل ولولئ مخکې له دې چې هېچېرته یې کاپي کړئ
دوه کمانډونه پرته له دې چې هېڅ راز چاپ کړي، درته وایي چې په لاس کې کوم ډول توکی لرئ۔ لومړی پر سند موضوع او د CA بیرغ نوموي؛ دویم کیلي تصدیقوي او ډول یې راپور کوي۔ دواړه پر هغو فایلونو چل کړئ چې په هغه بنډل کې دي چې تاسو یې وېشل غواړئ۔ هر هغه څه چې د خصوصي کیلي په توګه تصدیق شي، د کلاینټ فولډر کې نهځای پرځای دي۔
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
که دویم کمانډ پر هغه فایل بریالی شي چې د کلاینټ بنډل کې دی، ودرېږئ او بنډل زیانمن شوی وګڼئ۔ هغه پایله چې وایي کیلي سمه ده، دا هم وایي چې هغه شته، او شتون ټوله ستونزه ده۔
بل لوري ته هم پام وکړئ: د کلاینټ پروفایل په قانوني ډول د همدې کلاینټ خصوصي کیلي لري۔ هر موندل شوی کیلي پاکول پرته له کوم ښه والي اړیکه پرېکوي، نو توکی باید د لرې کولو دمخه وپېژندل شي۔
د هغې کیلي مهارول چې مخکې مو وېشلې ده
داسې مه فکرئ چې د ځایي کاپي پاکول ښکاره کېدل بېرته ګرځوي۔ هر څوک چې فایل درلود کولی شي کاپي یې کړي، او خوندي انګېرنه دا ده چې هغه کړې۔ د چلوونکي د پېښې بهیر تعقیب کړئ او د باور لنګر بدل کړئ، د نوي CA لاندې د وسیلو سندونه بیا صادر کړئ۔
بیا هغه بستهبندي بدله کړئ چې ستونزه یې جوړه کړې۔ د فایلونو ښکاره اجازه لړلیک سره د فولډر لړلیک ولېږئ، د CA کیلي پر هغه ماشین وساتئ چې هېڅکله کلاینټ ډلې ته نه یوځای کېږي، او ولیکئ کوم سیستم یې ساتي۔
که مرجع باید ډېری وخت صادر کړي، لاسلیکول د تنګې سیمې او لنډ اعتبار لرونکي خدمت یا منځګړې مرجع شاته یوسئ۔ په دې ډول راتلونکې تېروتنه د ټول ځای پرځای کولو د باور ریښې پرځای د صادرولو یوه برخه ښکاره کوي۔