Dib u celinta shahaadada way fashilantaa: server-kaas goobtee ma gaaro

Shahaadaduhu waxay ku jiri karaan muddada ansaxnimada inta VPN weli soo sheegayo cilad aqoonsi, qofna wuxuu gunaanad ku gaaraa in shahaadada la celiyey. Taasi waa saddex xaqiiqo oo kala duwan. Xogta dib u celinta waa in ay soo qaaddo qalabka hubinta sameynaaya, iyada oo ka timid barta daabacaadda ee ku qoran shahaadada lafteeda. Marka qalabkaasi aanu gaarin barta, hubintu way fashilantaa sababo aan la xiriirin xaaladda shahaadada.

Hubiyuhu wuxuu leeyahay waddada soo qaadashada

Ku bilow aqoonsiga hubiyaha. Marka kombuyuutar gacan ah uu hubiyo shahaadada gateway-ga, kombuyuutarku waa kan soo qaata; marka gateway-gu uu hubiyo shahaadada macmiilka, gateway-gu ayaa sameeya. Adeegga aqoonsiga ee gadaasha wuxuu ku dari karaa hubiye saddexaad oo leh booskiisa shabakadeed. Mid kastaa wuxuu leeyahay waddo kala duwan oo internet-ka ah iyo habayn proxy oo kala duwan. Caddaynta laga ururiyey shaqada maamulaha waxba kama sheegto server ku jira DMZ.

Qor shahaadada, hubiyaha, waqtiga isku dayga iyo koodhka xaaladda saxda ah ka hor inta aadan wax beddelin.

Ka akhri barta daabacaadda shahaadada

Shahaadadu waxay sheegtaa halka xaaladdeedu ku taal. Akhri goobahaas halkii aad ka qiyaasi lahayd cinwaan CA.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

Fidinta koowaad waxay taxdaa barta qaybinta CRL, tan labaadna waxay taxdaa hababka gelitaanka macluumaadka soo saaraha, kuwaas oo ka hadli kara xaaladda OCSP iyo soo qaadashada shahaadada soo saaraha. Kuwani waa habab kala duwan, oo jawaab-bixiyaha OCSP ma aha fayl CRL. Server-ka daabacaaddu inta badan waa server web caadi ah ee ma aha mishiinka CA, sababtoo ah soo saare offline ah ayaa saxeexi kara CRL oo server kale qaybiyo. Sidaas darteed qaanuunka firewall-ka ee lagu tilmaamay gelitaanka CA aad buu u mugdi u yahay hirgelin ama dib u eegis.

Ka tijaabi soo qaadashada qalabka hubiya

Ku socodsii tijaabada soo qaadashada deegaanka dhab ahaan hubiya, iyada oo la adeegsanayo agab shahaado la ansixiyey oo aan fure gaar ah lahayn.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

Socodsiinta certutil waxay hubisaa silsiladda oo soo sheegtaa soo qaadashada URL ee guulaysatay ama fashilantay, halka wicitaanka curl uu tijaabiyo hal cinwaan daabacaad oo isla server-kaas ah oo uu soo celiyo koodh xaaladeed oo keliya. Soo qaadashada fashilantay oo ka timid cinwaan la gaari karo waxay tilmaamaysaa dhibaatooyin ku saabsan nuxurka ama saxeexa; cilad xiriir waxay tilmaamaysaa marinnada, DNS ama proxy. Kaydi labada natiijo, sababtoo ah hal soo qaadasho oo guulaysatay ma caddaynayso in silsiladda oo dhan la isticmaali karo. Beddel server-ka iyo waddada tusaalaha barta qaybinta laga helay shahaadada.

Kala sooc xogta maqan iyo xaaladda la celiyey

Afar natiijo ayaa dibadda isku eg: barta lama gaari karo, liiska wuu duugoobay, liiska waxaa saxeexay soo saare khaldan, ama shahaadada dhab ahaan waa la celiyey. Kaliya tan ugu dambeysa waa natiijada xaaladda, oo kaliya iyada ayaa qiil u ah ka qaadista gelitaanka. Kaydinta ayaa sawirka sii adkaysa, sababtoo ah xog hore loo soo qaaday waxay qarin kartaa waddo daabacaad oo jaban ilaa cusboonaysiinta xigta. Daminta hubinta dib u celinta, tirtirista shahaadooyin aan la xiriirin ama dib u bilowga gateway-gu dhammaantood waxay beddelaan ogaanshaha fal.

Ka dib hagaajinta, ku qas aqoonsi cusub oo xaqiiji in soo qaadashada xaaladda loogu talagalay ay guulaysato. Meesha aqoonsi tijaabo la kontoroolo uu jiro, xaqiiji in weli la diido, sababtoo ah helitaanka ka qaada hubinta ma aha hagaajin.