අවලංගු කළ VPN සහතිකය තවමත් සම්බන්ධ වේද? CRL බලාත්මක කිරීම පරීක්ෂා කරන්න
අවලංගු කළ සහතික CRL කිසිදා සත්යාපනය කරන්නා වෙත නොපැමිණෙන විට තවමත් සම්බන්ධ වේ. මෙම අනුපිළිවෙලින් නිකුත් කරන්නා, පූරණය කළ අනුක්රමික අංකය, නැවත පූරණය කිරීමේ හැසිරීම සහ සක්රිය සැසි පරීක්ෂා කරන්න.
ඔබ සහතිකය අවලංගු කළා, නව ලැයිස්තුවක් සාදා ගත්තා, නමුත් පැරණි පැතිකඩ තවමත් උමං මාර්ගයක් නංවයි. අවලංගු කිරීමම කැඩී නැත: CRL යනු අනුක්රමික අංකයක් තවදුරටත් වලංගු නොවන බවට අත්සන් කළ ප්රකාශයකි, සහ TLS අවසන් කරන සංරචකය එය නිවැරදි නිකුත් කරන්නා සඳහා පූරණය කළ පසුව, පිළිගැනීමේ තීරණය ගැනීමට පෙර පමණක් එය ප්රවේශය වෙනස් කරයි. එවැනි බොහෝ අවස්ථා එහිම ඇත, එබැවින් අවලංගු කිරීම සහ ප්රතික්ෂේප කිරීම වෙනස් කරුණු දෙකකි.
පහත පරීක්ෂණ පහ අනුපිළිවෙලින් කර පළමු අසාර්ථක එකේ නවතින්න, මන්ද සෑම ඊළඟ පරීක්ෂණයක්ම පෙර ඒවා සත්ය යැයි උපකල්පනය කරයි.
පිළිගැනීමේ තීරණය ගන්නේ කුමන සංරචකයදැයි පරීක්ෂා කරන්න
සේවාදායක සහතිකය සත්යාපනය කරන ක්රියාවලිය නම් කරන්න, මන්ද එම ක්රියාවලියට පමණක් ලැයිස්තුවක් බලාත්මක කළ හැක. OpenVPN සේවාදායකයේ එය ඩීමන්ම වේ, crl-verify සමඟ වින්යාස කර ඇත. ocserv හි එය ocserv.conf හි crl පේළියයි. strongSwan හි ආදාන වන්නේ පූරණය කළ CRL සහ strictcrlpolicy ය. VPN ඉදිරිපිට TLS අවසන් කරන ප්රොක්සියක් හෝ උපාංගයක් ද සැබෑ සත්යාපකයා විය හැක, එසේ නම් එහි පිටුපස ඇති ඩීමන් සේවාදායක සහතිකය කිසිදා නොදකී.
WireGuard වෙනත් කාණ්ඩයකට අයත් වේ. එයට සහතික නැත, අවලංගු කිරීමේ ලැයිස්තුවක් නැත; සමගියා වින්යාසයේ ඇති එහි පොදු යතුර මගින් පිළිගනු ලැබේ, එබැවින් ප්රවේශය අවසන් කිරීම යනු එම යතුර ඉවත් කිරීමයි. WireGuard පමණක් ඇති වින්යාසයක CRL සොයන්නේ නම්, එම යාන්ත්රණය එහි නැත.
සේවාදායක පැත්තේ උගුලෙන් ද ප්රවේශම් වන්න. සේවාදායකයේ සහතිකය නොකැමති නිසා සම්බන්ධ වීමට ප්රතික්ෂේප කරන සේවාදායකයා සේවාදායකයේ දාමය බලාත්මක කරයි, තමන්ගේම අක්තපත්ර අවලංගු නොකරයි. පරිශීලක සහතිකයක් අවලංගු වන්නේ එම පරිශීලක සහතිකය සත්යාපනය වන තැන පමණක් වන අතර එය සෑම විටම පාහේ සේවාදායක පැත්තයි.
ලැයිස්තුව කුමන නිකුත් කරන්නා සඳහා අත්සන් කර ඇත්දැයි පරීක්ෂා කරන්න
CRL එක් නිකුත් කරන CA එකකට පමණක් සීමා වේ. මූල සහ අතරමැදි CA ඇති විට පත්ර සහතික අතරමැදියෙන් පැමිණේ, එබැවින් වැදගත් ලැයිස්තුව අතරමැදියේ CRL ය; මූලයේ ලැයිස්තුව එම පත්ර ගැන කිසිවක් නොකියයි. වැරදි ගොනුවට යොමු වන සත්යාපකයා එය සතුටින් විග්රහ කරයි, ගැළපෙන සටහනක් සොයා නොගෙන සියල්ල පිළිගනී.
ඩීමන් ස්පර්ශ කිරීමට පෙර යුගලය තහවුරු කරන්න. සහතිකයේ ඇති නිකුත් කරන්නා ලැයිස්තුවේ subject සමඟ ගැළපිය යුතුය:
openssl x509 -in client.crt -noout -issuer -serial
openssl crl -in intermediate.crl -noout -issuer -lastupdate -nextupdateදෙකම එකම CA එකකින් පැමිණෙන විට, සහතිකය සඳහා මුද්රණය කළ අනුක්රමික අංකය ලැයිස්තුවේ පෙනිය යුතු අගයයි. ඒවා නොගැළපෙන්නේ නම්, ඔබ ළඟ වැරදි CRL හෝ එහි වැරදි පිටපතක් ඇත.
වලංගු භාවය එම පරීක්ෂණයටම අයත් වේ. අතීතයේ ඇති nextUpdate ලැයිස්තුව පැරණි කරයි, සහ සංවෘත ලෙස අසාර්ථක වන සත්යාපකයා එවිට අවලංගු කළ එකට පමණක් නොව සෑම සේවාදායකයකුම ප්රතික්ෂේප කරයි.
අනුක්රමික අංකය ඩීමන් පූරණය කළ පිටපතේ ඇත්දැයි පරීක්ෂා කරන්න
අවලංගු කිරීම CA දත්ත සමුදායට සටහනක් ලියයි, නැවත ජනනය නව ගොනුවක් ලියයි. දෙකෙන් කිසිවක් ආරම්භයේදී පැරණි පිටපත පූරණය කළ ක්රියාත්මක ඩීමන් කරා නොපැමිණේ. ලැයිස්තුව ඩම්ප් කර අනුක්රමික අංකය සොයන්න:
openssl crl -in intermediate.crl -noout -text | grep -i -A2 'Serial Number'
openssl ca -revoke client.crt
openssl ca -gencrl -out intermediate.crlපසුව ඔබේ ක්රියාත්මක කිරීම ගොනුව ගන්නා ආකාරය පරීක්ෂා කරන්න. OpenVPN crl-verify ට දුන් මාර්ගය ආරම්භයේදී එක් වරක් කියවයි, එබැවින් නව ලැයිස්තුවකට නැවත ආරම්භයක් හෝ නැවත ආරම්භ සංඥාවක් අවශ්ය වේ; එම විකල්පය නාමාවලියකට යොමු කළ විට සෑම සම්බන්ධතාවයකදීම නැවත කියවයි, එබැවින් නාමාවලි මාදිලිය ඇත. strongSwan තම අක්තපත්ර නැවත පූරණය කළ යුතුය, උදාහරණයක් ලෙස swanctl --load-creds සමඟ. ගොනුව තැටියේ නිවැරදි වීම සහ සත්යාපකයා එය භාවිතා කිරීම වෙනස් කරුණු දෙකකි.
නැති හෝ කල් ඉකුත් වූ ලැයිස්තුවක ප්රතිපත්තිය පරීක්ෂා කරන්න
මෙය බොහෝ වින්යාස කිසිදා පැහැදිලිව නොගන්නා තීරණයක් වන අතර, අවලංගු කිරීම ඔබ ආරක්ෂා කරයිද නැතහොත් සැමවිටම පිටතින් අගුළු දමයිද යන්න එය තීරණය කරයි. Fail-closed යනු භාවිතා කළ හැකි අවලංගු කිරීමේ තොරතුරු නොමැතිව ප්රතික්ෂේපය සිදුවීමයි; fail-open යනු සත්යාපකයා එය නොමැතිව ඉදිරියට යාමයි. strongSwan තේරීම strictcrlpolicy ලෙස ඉදිරිපත් කරයි. OpenVPN crl-verify සමඟ කියවිය නොහැකි හෝ විග්රහ කළ නොහැකි ගොනුවක ආරම්භ වීමට ප්රතික්ෂේප කරයි, සහ කල් ඉකුත් වූ ලැයිස්තුව නිහඬ පිළිගැනීමක් වෙනුවට කල් ඉකුත් වූ CRL පිළිබඳ TLS සත්යාපන දෝෂයක් ලෙස පෙනේ.
| State of the revocation data | Fail-closed result | Fail-open result |
|---|---|---|
| List missing or unreadable | Verification fails, so expect an outage | Every client connects, including the revoked one |
List past nextUpdate | Validation errors until a fresh list is deployed | Old status is trusted indefinitely |
| Revoked serial present in the loaded list | Handshake rejected for that certificate | Handshake rejected for that certificate |
ඔබ කුමන දිශාවක් තෝරා ගත්තත්, ස්වයංක්රීයකරණය තේරීමට වඩා වැදගත් වේ: CRL nextUpdate ට පෙර නැවත ජනනය කරන කාර්යය, සහ වින්යාස කළ පිටපත පැරණි වන විට ඇති අනතුරු ඇඟවීම, ප්රතිපත්ති දෙකම සිදුවීමක් වීමෙන් වළක්වයි. OCSP සමඟ මාර්ගගත පරීක්ෂාව නැවුම් බව ප්රතිචාර දෙන්නා වෙත ගෙන යයි, නමුත් එම නියමයම අදාළ වේ, මන්ද පිළිතුර පරීක්ෂා කිරීමට වින්යාස නොකළ සත්යාපකයා කිසිවක් වෙනස් නොකරයි.
සක්රිය සැසිය, පසුව යතුරේ පිටපත් පරීක්ෂා කරන්න
අවලංගු කිරීම සහතික සත්යාපනයේදී ඇගයේ, එය සම්බන්ධ වන විට සහ නැවත සාකච්ඡා කරන විට සිදු වේ. ස්ථාපිත සැසිය නැවත සාකච්ඡා කරන තෙක් පවතී, සහ OpenVPN හි පෙරනිමිය reneg-sec 3600 සමඟ පැයකට වරක් වේ. පුද්ගලයාට දැන්ම ජාලයෙන් බැහැර විය යුතු නම්, ලැයිස්තුව ප්රකාශයට පත් කිරීම සමඟ සැසිය ද අවසන් කරන්න, පසුව නැවත සම්බන්ධ වීම ප්රතික්ෂේප වන බව තහවුරු කරන්න.
අක්තපත්ර ඒවායේ පිටපත්වලින් වෙන් කරන්න. එක් ලැප්ටොප් එකක පැතිකඩක් මකා දැමීම එම පෞද්ගලික යතුරේ තවත් පිටපතක් සත්යාපනය වීම වළක්වන්නේ නැත; සෑම පිටපතක්ම නිෂ්ඵල කරන්නේ අවලංගු කිරීමයි, එය ද පෙර පරීක්ෂණ සත්ය වූ විට පමණි. ප්රතිස්ථාපන උපාංගයට තමන්ගේම සහතිකයක් දෙන්න, එකක් අනෙක ස්පර්ශ නොකර අවලංගු කළ හැකි වන පරිදි.
මෙය සම්පූර්ණයි කීමට පෙර: සත්යාපනය කරන සංරචකය හඳුනාගෙන ඇත, ලැයිස්තුවේ නිකුත් කරන්නා පත්රයේ නිකුත් කරන්නා සමඟ ගැළපේ, අවලංගු කළ අනුක්රමික අංකය ඩීමන් ඇත්තටම පූරණය කළ පිටපතේ ඇත, නැති හෝ කල් ඉකුත් වූ ලැයිස්තු ප්රතිපත්තිය චේතනාන්විත වන අතර අධීක්ෂණය වේ, සහ සක්රිය සැසිය බලා සිටීම වෙනුවට අවසන් කර ඇත. මේ සියල්ල පිටුපස ඇති ආකෘති RFC 5280 හි දක්වා ඇත.