VPN සහතිකයේ අනන්‍යතාවය නොවෙනස්ව එය අලුත් කිරීම
අලුත් කිරීමක් සේවාලාභියා දැනටමත් විශ්වාස කරන නම්, අරමුණු සහ දාමය රඳවා ගනී. එය සාමාන්‍ය දෙයක්ද සම්බන්ධීකෘත විශ්වාස වෙනසක්ද යන්න කොන්දේසි තුනක් තීරණය කරයි.
අනන්‍යතාවය වෙනස් කරන සහතික අලුත් කිරීම අලුත් කිරීමක් නොවේ, එය නඩත්තු ටිකට් ඇඳගත් සංක්‍රමණයකි. සේවාලාභියා නමක්, දාමයක් සහ සමහර විට නිශ්චිත යතුරක් සත්‍යාපනය කරයි, තුනම කල් ඉකුත් වන දිනය නොවෙනස්ව වෙනස් විය හැක. ප්‍රතිස්ථාපනයක් ඉල්ලීමට පෙර සේවාලාභියා ඇත්තටම පරීක්ෂා කරන්නේ කුමක්දැයි ලියන්න: සත්කාරක නාමය හෝ සම සමාන අනන්‍යතාවය, සහතිකයේ අරමුණ, යතුරු ප්‍රතිපත්තිය සහ නිකුත් කරන දාමය. ප්‍රතිස්ථාපනය ඉන් කුමක් වෙනස් කරයිද යන්න මත අලුත් කිරීම සාමාන්‍ය හෝ සම්බන්ධීකෘත වේ.
කොන්දේසි තුනක් අලුත් කිරීමේ හැඩය තීරණය කරයි
කොන්දේසි තුන නම්: යමක් පත්‍රය ඇමිණුම් කරන්නේද, දාමය වෙනස් වන්නේද, සහ නම තවත් කවුද සත්‍යාපනය කරන්නේ. CA හි පහසුවෙන් නොව සේවාලාභියාගේ පැත්තෙන් පිළිතුරු දෙන්න, මන්ද රාත්‍රී තුනට අසමත් වන්නේ සේවාලාභියා ය.
ඔබ සතු සහතිකය පරීක්ෂා කිරීමෙන් ආරම්භ කරන්න. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName විෂයය, නිකුත් කරන්නා, වලංගුතා කවුළුව සහ සහතිකය ඇත්තටම වලංගු වන නම් මුද්‍රණය කරයි. එම අවසාන ක්ෂේත්‍රය වඩාත් වැදගත් වන අතර වඩාත්ම උපකල්පනය කෙරේ: සේවාලාභියා රඳා සිටින SAN එකක් අතහැර දමන අලුත් කිරීමේ ඉල්ලීමක් තාක්ෂණිකව වලංගු නමුත් ක්‍රියාකාරීව වැරදි සහතිකයක් නිපදවයි. පැරණි සහතිකයේ SAN ලැයිස්තුව මතකයෙන් නැවත ටයිප් කරනවාට වඩා ඉල්ලීමට පිටපත් කරන්න.
පළමු කොන්දේසිය: යමක් පත්‍රය ඇමිණුම් කරන්නේද
සේවාලාභීන් නඩත්තු කරන CA එකක් විශ්වාස කර නම සත්‍යාපනය කරන්නේ නම්, නව යතුරක් සහිත පත්‍ර අලුත් කිරීම ඔවුන්ට නොපෙනේ. ඕනෑම සේවාලාභියෙක් පත්‍ර සහතිකය, එහි ඇඟිලි සලකුණ හෝ එහි පොදු යතුර ඇමිණුම් කරන්නේ නම්, ප්‍රතිස්ථාපනය දෘඩ සංක්‍රමණයක් සහිත සම්බන්ධීකෘත වෙනසකි, මන්ද පැරණි ඇමිණුමට නව සහතිකය සත්‍යාපනය කළ නොහැක.
යමක් ඇණවුම් කිරීමට පෙර ඔබ කුමන අවස්ථාවේද සිටින්නේදැයි සොයා ගන්න. කිසිවෙකු ලේඛනගත නොකළ ඇමිණුමක් කැඩී යන විටත් ඇමිණුමක්මය.
දෙවන කොන්දේසිය: ඇමිණුම් සහ දාමය සසඳන්න
ඇඟිලි සලකුණු ඇමිණුම පරීක්ෂා කළ හැකි කරයි: පැරණි සහ නව සහතිකයේ openssl x509 -noout -fingerprint -sha256 -in server.crt, සහ පොදු යතුරු සංසන්දනය කිරීමට openssl x509 -noout -pubkey. සේවාලාභී වින්‍යාසය, ජංගම පැතිකඩක් හෝ උපාංගයක විශ්වාස ගබඩාවක් එම අගයන්ගෙන් එකක් හෝ අඩංගු නම්, ඔබට ඇමිණුමක් ඇත. ජංගම VPN පැතිකඩ සුලභ සැඟවුම් ස්ථානයකි, මන්ද පැතිකඩ එක් වරක් බෙදාහැර ඉන්පසු කිසිදා පරීක්ෂා නොකෙරේ.
ප්‍රතිස්ථාපනය එකම අතරමැදියෙන් පැමිණෙන අතර සේවාලාභියාට දැනටමත් එය තිබේ නම් හෝ එය ලබා ගත හැකි නම්, විශ්වාස පැත්තේ කිසිවක් වෙනස් නොවේ. නව අතරමැදියක්, වෙනත් නිකුත් කරන්නෙක් හෝ වැරදි අනුපිළිවෙලින් භාර දුන් දාමයක් අලුත් කිරීම විශ්වාස වෙනසක් බවට පත් කරයි, සහ අසාර්ථකත්වය කල් ඉකුත් වූ සහතිකයක් මෙන් නොව නාඳුනන නිකුත් කරන්නෙකු මෙන් පෙනේ.
සේවාදායකය ඇත්තටම යවන දාමය openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts සමඟ පරීක්ෂා කරන්න, සහ openssl verify -CAfile ca.pem -untrusted chain.pem server.crt සමඟ දේශීයව සත්‍යාපනය කරන්න. වෙනසට පෙර එය කිරීම පසුව සංසන්දනය කිරීමට ඔබට මූලික රේඛාවක් ලබා දෙයි.
තෙවන කොන්දේසිය: නම තවත් කවුද සත්‍යාපනය කරන්නේ
VPN සාන්ද්‍රකය, භාර සමතුලිත කරන්නා, නිරීක්ෂණ පරීක්ෂාව, RADIUS හෝ SAML ඒකාබද්ධ කිරීම සහ ජංගම පැතිකඩක් එක් එක් අපේක්ෂිත නාමයේ හෝ විශ්වාස නැංගුරමේ තමන්ගේම පිටපතක් තබා ගත හැක. එම පිටපත් අපසරනය වන මොහොත අලුත් කිරීමයි, මන්ද සහතිකය වෙනස් වන අතර පිටපත් වෙනස් නොවේ.
වෙනසට පෙර සෑම පාරිභෝගිකයෙකුම ලැයිස්තුගත කර එක් එක් අයට යාවත්කාලීනයක් අවශ්‍යදැයි තීරණය කරන්න. ඔබට අමතක වන එකා ඔබට කතා කරන්නේ ඔහුය.
කාල උගුලක් ද ඇත. කල් ඉකුත් වීම සමඟම වලංගුතා ආරම්භය ද පරීක්ෂා කරන්න, මන්ද පසුව සක්‍රිය කිරීම සඳහා සූදානම් කළ සහතිකයක් ඉතා ඉක්මනින් ස්ථාපනය කළහොත් ප්‍රතික්ෂේප වේ, සහ දෝෂය සූදානම් කිරීමේ ගැටලුවක් මෙන් නොව ඔරලෝසු ගැටලුවක් මෙන් පෙනේ. නව ගොනුවේ openssl x509 -noout -dates යෙදවීමට පෙර තත්පර දෙකක පරීක්ෂාවකි. ආධාරක ප්‍රතිසාධන මාර්ගයක් සහ දන්නා හොඳ වින්‍යාසයක් ද තබා ගන්න, එවිට වැරදී යන අලුත් කිරීමක් පෙර සහතිකය සහ යතුර ප්‍රතිස්ථාපනය කිරීමෙන් ආපසු හැරවිය හැක.
යොදවන්න, නව සත්‍යාපනයකින් සත්‍යාපනය කරන්න, පසුව ඉවත් කරන්න
ස්ථාපිත උමගක් එය ගොඩනැගූ විට සිදු වූ සත්‍යාපනය පිළිබිඹු කරයි, එබැවින් සෑම නව සම්බන්ධතාවයක්ම අසමත් වන අතර එය නිරෝගී ලෙස පෙනිය හැක. සේවාලාභීන් භාවිතා කරන සැබෑ සේවා නාමය භාවිතා කරමින් නව සත්‍යාපනයකින් පරීක්ෂා කරන්න.
පරිශීලකයාට වැදගත් යෙදුම් මට්ටමේ පරීක්ෂාව සම්පූර්ණ කරන්න, සහ දාමය බෙදාහැරීම සේවාදායකයාගේ දෘෂ්ටිකෝණයෙන් නොව සේවාලාභියාගේ දෘෂ්ටිකෝණයෙන් තහවුරු කරන්න. සංක්‍රමණය නිශ්ශබ්දව තබා ගැනීමට නාම හෝ සහතික පරීක්ෂා මර්දනය නොකරන්න; එය තාවකාලික ගැළපුම් ගැටලුවක් ස්ථිර ගැටලුවක් බවට පත් කරයි.
යල්පැන ගිය ද්‍රව්‍ය යෙදවීම සත්‍යාපනය වූ පසුව පමණක් ඉවත් කරන්න, සහ හානියට පත් යතුරක් සම්පූර්ණයෙන්ම වෙනස් අවස්ථාවක් ලෙස සලකන්න: අලුත් කිරීම පමණක් කිසිවක් අවලංගු නොකරයි, එබැවින් බලපෑමට ලක් වූ අනන්‍යතාවයට යෙදවීමේ අවලංගු කිරීම් සහ සැසි කළමනාකරණ ක්‍රියාවලිය අවශ්‍යය. RFC 5280 මේ සියල්ලට යටින් ඇති සහතික සහ මාර්ග සත්‍යාපන නීති නිර්වචනය කරයි. සාමාන්‍ය පත්‍ර අලුත් කිරීම CA ප්‍රතිස්ථාපනයෙන් වෙන් කර තබන්න, එවිට සේවාලාභීන්ට හේතුවක් නොමැතිව නව නිකුත් කරන්නෙකු විශ්වාස කරන ලෙස ඉල්ලා නොසිටී.