ولې د Client VPN تصدیق بیا واردول نوی پای ټکی ته اړتیا لري

د Client VPN اړیکه پرې کېږي، په ACM کې تصدیق بدلېږي او هېڅ نه بدلېږي۔ د تصدیق شی هغه څه هیڅکله نه و چې پای ټکی یې کاراوه۔ پای ټکی د جوړېدو پر مهال له تصدیق سره تړاو ساتي، له هغه سره د هغه کس CA چې پر وړاندې به یې اعتبار کوي، د احراز ډول، فرعي شبکې او د اجازې قواعد، او د دغو تړاوونو هېڅ یو هم د بدلون بل نه لري چې بدیل تصدیق ومني۔ له ARN شاته بایټونو بدلول په تصدیق کې بدلون دی، نه په هغه پای ټکي چې نیولی یې و۔

پای ټکی حوالې ساتي، نه تصدیقونه

دا میکانیزم باید دقیق بیان شي، ځکه ټوله ناکامي تشریح کوي۔ create-client-vpn-endpoint د سرور تصدیق ARN او د کس د ریښې تصدیق زنځیر ARN اخلي، او پای ټکی چې رامنځته کېږي هغه حوالې د احراز اختیارونو سره ثابت ځانګړنې په توګه ساتي۔ API هغه عملیات نه وړاندې کوي چې په موجوده پای ټکي کې د سرور تصدیق بدل کړي۔

تاسو کولی شئ تړاو پرته له اټکل تایید کړئ۔ aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-0123456789abcdef0 د تصدیق ARN، د کس د ریښې زنځیر ARN، د احراز ډول، د کس CIDR او اړوند فرعي شبکې چاپوي، کوم چې هغه بشپړه ځانګړنې دي چې تاسو به یې بیا تولیدول۔ دا د بیا واردولو دمخه او وروسته چل کړئ، او پایله نه خوځېږي۔ دا هغه شاهد دی چې بیا واردول به هیڅکله مرسته نه کوله۔

ولې بیا واردول پای ټکي ته نه شي رسېدلی

بیا واردول د موجود ARN لاندې نوی تصدیق جسم لیکي۔ دا قانوني عملیات دي کله چې تصدیق پای ته نږدې وي، او ACM به یې ومني که شخصي کیلي سره سمون ولري او زنځیر اعتبار ولري۔ هغه څه چې نه کوي یې د پای ټکي د جوړېدو پر مهال اعتبار بیا نه چلوي، نو تړاو او له هغه شاته مواد هغسې پاتې کېږي لکه د پای ټکي د جوړېدو پر مهال۔

له همدې کبله نښه د شبکې خرابۍ په څېر اورېدل کېږي۔ د TLS لاسونه ورکول ناکامېږي یا بیا تنظیمېږي مخکې له دې چې اجازه ارزول شي، نو امنیتي ډلې، لارې او د اجازې قواعد ټول بې ګناه ښکاري، او همداسې دي۔

زنځیر د کس د تصدیق برخه ده

د ناکامۍ بله نیمه په کس تصدیق کې ده، او بلې ته یې پرېښودل اسانه دي۔ کس تصدیق باید له هغه زنځیر سره وارد شي چې صادرولی یې، که څه هم د واردولو فورم هغه ساحه اختیاري ښيي۔ پرته له زنځیر پای ټکی نه شي کولی له کس تصدیق څخه تر هغه کس د ریښې CA پورې لار جوړه کړي چې ورسره تنظیم شوی و، او اړیکه په نرم بیا تنظیم پای ته رسېږي چې د بستې غورځوونکي فایر وال په څېر اورېدل کېږي۔ openssl verify -CAfile root-ca.pem client.crt دې پوښتنې ته په سیمه ییز ډول په یوه ثانیه کې ځواب ورکوي، او باید لومړنی حکم وي چې تاسو یې چلوئ۔

له زنځیر سره بیا واردول د هغې نیمې لپاره ریښتینی سمون دی، او بیا هم یوازې کافي نه دی۔ کله چې د ACM شی بدل شو، هغه پای ټکی چې زوړ تړاو ساتي هغه غلط شی دی چې ازموینه پرې دوام وکړي۔ دواړه ګامونه د یوې ترمیم دي، له همدې کبله دوه برخې سمون تضاد نه دی۔

د پای ټکي بیا جوړول لېږد دی

د بدیل پای ټکي جوړول لېږد دی، نه بیا هڅه، او د هغې بیا هڅې په توګه ګڼل هماغه لار ده چې ټیمونه په نیمګړو تنظیم شوو دوو پای ټکو پای ته رسېږي۔ نوی پای ټکی نوی ID اخلي او، که پلان یې نه وي کړی، هر کارن لپاره نوی DNS نوم اخلي۔ د کس پروفایل دې نیول شوی نه، بلکې نوم ته اشاره وکړي، ترڅو بدلون بیا وېش نه، بلکې د ثبت بدلون شي۔

هغه ترتیب چې دا ساتي لنډ دی: نوی پای ټکی له همغې CIDR، فرعي شبکو او د اجازې قواعدو سره جوړ کړئ، له aws ec2 export-client-vpn-client-configuration سره تازه پروفایل صادر کړئ، او له یو کارن سره یې تایید کړئ۔ یوازې له هغې وروسته زوړ پای ټکی ښکته کېږي۔

د زوړ پای ټکي له خدمت څخه ایستل خپل ترتیب لري۔ مخکې له دې چې یې حذف کړئ، هغه کس تصدیقونه باطل کړئ چې غوښتل یې ایستل، ځکه نوی پای ټکی چې لا هم زوړ CA ته باور لري هغه تصدیقونه مني چې تاسو فکر کاوه تللي دي۔ بیا زوړ پای ټکی حذف کړئ او د هغه د اجازې قواعد لرې کړئ، ترڅو زوړ پروفایل هغه هدف شبکې ته چې تاسو فکر کاوه بنده ده بیا ونه نښلي۔ د زوړ پای ټکي ID او د تړاو پېژندونکي په بدلون ثبت کې ولیکئ، ځکه هغه لېږد چې له یاد سره پرتله کېږي هماغه لار ده چې فعال پای ټکی دوه ځله بیا جوړېږي۔

تشخیص ترتیب کړئ

مخکې له دې چې هر تنظیم بدل کړئ، درې ناکامۍ جلا کړئ۔ کس نه شي کولی TLS بشپړ کړي، کس TLS بشپړوي خو اجازه نه لري، یا کس نښلېږي خو منزل ته نه شي رسېدلی۔ د تصدیق تړاو لومړي ته اړه لري، د اجازې هغه قاعده چې د کس پته نه پوښي دویمې ته، او لار یا امنیتي ډله درېیمې ته، چېرې چې د پای ټکي بیا جوړول نږدې تل غلط ګام دی۔

هغه پای ټکی چې میاشتې کار وکړ او بیا پرته له تصدیق یا پالیسۍ بدلون ودرېد، جلا قضیه ده۔ له همغو تنظیماتو سره یې بیا جوړول خدمت بیرته راوړلی شي، خو دا د تنظیم د بیا تولید وړ ساتلو دلیل دی، نه د هرې پېښې پر مهال بیا جوړولو دلیل۔

څلور شیان د نسخې کنټرول لاندې وساتئ ترڅو بل بیا جوړونکی diff وي نه بدیهي کار: د پای ټکي پارامیټرونه، د تصدیق او زنځیر ARNونه، د اجازې قواعد او د کس CIDR۔ د Client VPN احراز اسناد لیستوي چې کوم تصدیق کوم رول لوبوي، او دا د دې مخکې چې تصدیق ستونزه وي باید وکتل شي۔ که بیا واردول هېڅ نه بدلوي او پای ټکی لا هم بیا تنظیمېږي، تړاو مشکوک دی او ځواب له ثبت شوو پارامیټرونو جوړ شوی نوی پای ټکی دی۔ که پای ټکی واقعاً نوی شی واخلي، تړاو مخکې سم و او خرابي د کس زنځیر یا د اجازې پرت کې ده۔