අලුත් කළ VPN සහතිකය: සමහර සේවාලාභීන් තවමත් එය ප්‍රතික්ෂේප කරයි

අලුත් කිරීමෙන් පසු පරිසරයෙන් අඩක් නැවත සම්බන්ධ වන අතර උපාංග තුනක් ප්‍රතික්ෂේප කරයි, එකින් එක ගේට්වේගේ අනන්‍යතාව ගැන අනතුරු ඇඟවීමක් සමඟ. අලුත් කිරීමම සාමාන්‍ය කටයුත්තකි. එම උපාංග තුන සතුව ඇත්තේ පැරණි වස්තුවට පින් එකක් වන අතර, පින් යනු CA ලැයිස්තුවක්, නම් පරීක්ෂණයක් හෝ විශ්වාස ගබඩා සටහනක් නොවේ. කිසියම් සේවාලාභියෙකු ස්පර්ශ කිරීමට පෙර යාන්ත්‍රණ තුන සසඳන්න.

එක් අලුත් කිරීමක්, හැසිරීම් දෙකක්

නැවත සම්බන්ධ වන සේවාලාභීන්ට තවමත් සමත් වන විශ්වාස තීරණයක් ඇති අතර, ප්‍රතික්ෂේප කරන්නන්ට නව සහතිකය සපුරා නොදක්වන අවශ්‍යතාවක් ඇත. එම වෙනස තොරතුරු මිස ශබ්දය නොවේ. අසාර්ථක සේවාලාභියාගේ පණිවිඩය නිවැරදිව කියවන්න. නම නොගැළපීම, නොදන්නා නිකුත් කරන්නා සහ වෙනස් වූ ඇඟිලි සලකුණු තුනක් වෙනස් තීන්දු වන අතර, අවසාන එක පමණක් පින් වෙත යොමු කරයි.

අසාර්ථක සේවාලාභියා තෝරාගත් පැතිකඩ කුමක්දැයි ද පරීක්ෂා කරන්න. තමන්ගේම ගබඩාවේ ජීවත් වන ආයාත පිටපත, පරිපාලකයා මුල් ගොනුව වෙනත් තැනක සංස්කරණය කළ විට වෙනස් නොවේ.

අලුත් කිරීම වස්තුව ප්‍රතිස්ථාපනය කරයි, දිනය පමණක් නොවේ

ඇඟිලි සලකුණ කේතනය කළ සහතික අන්තර්ගතය හඳුනා ගනී. අලුත් කිරීම නව සහතිකයක් ජනනය කරයි, එබැවින් විෂය නම සහ පොදු යතුර සමානව පවතින විටද ඇඟිලි සලකුණ වෙනස් වේ. CA එකක් විශ්වාස කර නම සත්‍යාපනය කරන සේවාලාභීන්ට මෙය අපේක්ෂිත හා අහිතකර නොවේ. හරියටම එක් සහතිකයක් පිළිගැනීමට වින්‍යාස කළ සේවාලාභියෙකුට මෙය මාරක වන අතර, එහි විශ්වාස ගබඩාවට නව නිකුත් කරන්නා කිසිදා නොලැබුණු සේවාලාභියෙකුට ද මෙය මාරක වේ.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

දෙවන පේළිය වෙනත් ප්‍රශ්නයකට පිළිතුරු දෙයි, යතුරු යුගලය ජීවත් වුණාද යන්න. යතුර නැවත භාවිත කරන අලුත් කිරීම එම අගය රඳවා ගෙන සහතිකය පමණක් වෙනස් කරයි, කිසිවක් වෙනස් නොවීය යැයි පරිපාලකයා සිතීමට පෙළඹෙන අවස්ථාව එයමය. යොදවා ඇති සහතිකය පරීක්ෂා කරන්න, ගොඩනැගුම් සත්කාරකයේ ඇති එක නොවේ. ගබඩාවක ගොනුවක් සැසඳීම ජනනය වූයේ කුමක්දැයි ඔප්පු කරයි, ශ්‍රාවකයෙකු දැන් ඉදිරිපත් කරන්නේ කුමක්දැයි නොවේ.

සේවාලාභියා පින් කරන්නේ කුමක්දැයි කියවන්න

සමහර සේවාලාභීන් තම පැතිකඩෙහි ඇඟිලි සලකුණක් තබාගෙන සෑම සම්බන්ධතාවකදීම සසඳයි. අනෙක් අය එය වේදිකාවේ විශ්වාස ගබඩාවේ ගබඩා කරන අතර, තවත් අය CA එකක් මත පමණක් රඳා පවතී. සෑම අවස්ථාවකම ප්‍රතිසංස්කරණය වෙනස් ය, එබැවින් පළමුව යාන්ත්‍රණය හඳුනා ගන්න.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

පළමු විධානය සාම්ප්‍රදායික පැතිකඩක පින් එකක් පෙන්වයි; දෙවැන්න අන්ත ලක්ෂ්‍යය දැන් සැබවින්ම සපයන ඇඟිලි සලකුණ පෙන්වයි. ඒ දෙක වෙනස් නම්, අනුමාන නොකර දෝෂය සොයාගෙන ඇත. නව අගය පැමිණිලි කරන සෑම සේවාලාභියෙකුටම අලවන්න එපා. නිකුත් කරන්නා හේතුවෙන් ප්‍රතික්ෂේප කරන සේවාලාභියා දිගටම ප්‍රතික්ෂේප කරනු ඇත, ගැටලුව ඇඟිලි සලකුණ වූයේ නැති විටද එය එසේ වූ බව ඔබ ඔබටම උගන්වනු ඇත.

සෑම බැකෙන්ඩ් එකක්ම සපයන සහතිකය සසඳන්න

කඩින් කඩ එන ප්‍රතිඵල සාමාන්‍යයෙන් එකකට වඩා අන්ත ලක්ෂ්‍ය අදහස් කරයි, එක් නෝඩයකට යොදන ලද අලුත් කිරීම අනෙක් ඒවා පැරණි වස්තුව ඉදිරිපත් කිරීමට ඉතිරි කරයි. සෑම බැකෙන්ඩ් එකක්ම හවුල් නාමයෙන් නොව ලිපිනයෙන් සසඳන්න.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

එක් නෝඩයක් පසුගාමී වන තටාකයක්, දෙවන උත්සාහයේදී සම්බන්ධ වී පළමු උත්සාහයේදී අසාර්ථක වන සේවාලාභියා පැහැදිලි කරයි. පරිශීලකයින් පැමිණිලි කරන අතරතුර සමත් වන අධීක්ෂණ පරීක්ෂාව ද එය පැහැදිලි කරයි. පළමුව පසුගාමීත්වය නිවැරදි කරන්න. සෑම නෝඩයක්ම නව සහතිකය සපයීමට පෙර විශ්වාස වින්‍යාසය රෝල් කිරීම කිසිවක් ක්‍රියා නොකරන කවුළුවක් ඇති කරයි, පසුව රෝල් කිරීම සේවාලාභීන් අනපේක්ෂිත ලෙස අසාර්ථක වීමට ඉතිරි කරයි.

කළමනාකෘත මාර්ගයෙන් විශ්වාසය වෙනස් කරන්න

කොතැනකවත් පිළිගැනීමට පෙර දැනටමත් විශ්වාසදායක පරිපාලන නාලිකාවක් හරහා ප්‍රතිස්ථාපනය තහවුරු කරන්න. විශ්වාසදායක කල් ඉකුත්වීමේ දිනයක් අයිතිය පිළිබඳ සාක්ෂියක් නොවේ. කළමනාකෘත වින්‍යාසය එය හිමි ක්‍රියාවලිය හරහා යාවත්කාලීන කරන්න, පිළිගත හැකි අනන්‍යතාවන්ගේ සැලසුම් කළ ඡේදනයක් සමඟ, සහ යෙදවීමට අවශ්‍ය නම් සත්‍යාපනය රඳවා ගන්න. නම් පරීක්ෂාවක් නොමැති පින් එකක් එය ප්‍රතිස්ථාපනය කළ CA විශ්වාසයට වඩා දුර්වල සැලසුමකි.

පසුව සෑම සේවාලාභියෙකු සඳහාම සත්‍යාපනය කරන්න, සම්බන්ධ වන්න, ඔහු පිළිගත් අනන්‍යතාව තහවුරු කරන්න, දැන් ඔහු විශ්වාස කරන සහතික අනුවාදය සටහන් කරන්න. එක් වරක් ප්‍රතික්ෂේප කළ අනතුරු ඇඟවීමක් ඊළඟ අලුත් කිරීමේදී නැවත පැමිණීමේ පුරුද්දක් ඇත.