Ma lumay shahaadada macmiilka? Ku buri lambarka taxanaha, ma aha magaca

Faylka shahaadada macmiilkaaga waa lumay, jawaabta degdegga ahna waa in magaca la buriyo oo mid cusub la soo saaro. Jawaabtaas waxay ka dhigtaa shahaadada asalka ah mid ansax ah, sababtoo ah burburintu waxay ku shaqaysaa lambar taxane ah ee ma aha calaamad. CA waxay ugu dhowdahay inay weli haysato nuqul ka mid ah wixii ay soo saartay, helista nuqulkaasna waa hawsha oo dhan.

Fayl lumid ma aha diiwaanka CA lumid

Easy-RSA PKI waxay haysaa shahaadada dadweynaha ee ay soo saartay, noocyada hadda jirana waxay sidoo kale keydiyaan nuqulo taxane ahaan galka certs_by_serial ee PKI. Furaha gaarka ah looma baahna in wax la buriyo. Waxa muhiimka ah waa shahaadada saxda ah ee CA saxeexday, oo CA horeba u haysataa.

Ka shaqee nuqul kayd ah oo PKI sax ah, oo la socoto maamulka leh. Burburintu waa hawl la baari karo, ma aha dayactir lagu sameeyo kaydka wax soo saarka habeenbadhka.

Nuqul ka mid ah shahaadada dadweynaha ee gudaha macmiilka ayaa sidoo kale shaqaynaysa, haddii hirgelinta mid haysato.

Marka hore akhri soo saaraha iyo taxanaha

Baadh PEM la soo celiyey oo qor soo saaraha, lambarka taxanaha, mawduuca iyo muddada ansaxnimada. Lambarka taxanaha waa mid gaar ah gudaha baaxadda hal soo saare, ma aha dhammaan CA-yada deegaankaaga, markaa soo saaruhu waa qayb ka mid ah aqoonsiga. Haddii dhowr shahaado ay wadaagaan mawduuc, lambarrada taxanaha ayaa kala sooca.

Isbarbardhig qiimayaasha diiwaannada CA iyo qalabka ama qofka aad aaminsan tahay inuu haysto shahaadada.

Magac caadi ah waa dib loo isticmaali karaa, sida caadiga ahna waa la sameeyaa. Ha go'aansanin shahaadooyinka la celinayo ilaa lambarrada taxanaha la qoro.

Sababta burburinta shahaadada cusub aanay waxba qaban

Soo saarista beddel isla magaca caadiga ah waxay abuurtaa shahaadad labaad oo lambar taxane ah oo kale. Burburinta beddelka waxay celisaa tan cusub oo ka tagtaa tan asalka ah mid ansax ah ilaa ay dhacdo. Marka laga eego CA, kuwani waa laba shay oo madaxbannaan, CRL-na waxay taxdaa lambarro taxane ah ee ma aha magacyo. Diiwaanka CA wuxuu hayaa hal saf shahaad kasta oo la soo saaray sababtaas awgeed.

Jahwareerkaas oo kale wuxuu abuuraa khaladka lidka ah: tirtirista faylka macmiilka iyo malo in CA ay illowday. Tirtirista macmiilka ma aha dhacdo burburin, shahaadaduna waxay sii shaqaynaysaa qof kasta oo nuqul haysta.

Labada khaladba waxay ka yimaadaan in magaca loo arko aqoonsi.

Buri shahaadada uu lambarka taxanaha magacaabo

Aqoonso shayga ka hor intaadan taaban CA: openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates wuxuu daabacaa afarta qiime hal mar, taxanahana waa waxa aad la barbardhigto kaydka CA. Easy-RSA waxay kaydkaas ku haysaa pki/certs_by_serial hoostiisa, hal fayl magac kasta oo taxane ah. Amarka burburintu wuxuu qaataa magac caadi ah ee ma aha taxane, markaa koobi faylka kaydsan pki/issued/<common-name>.crt oo u ogolow magaca inuu tilmaamo shayga aad aqoonsatay. Ka socodsii easyrsa revoke <common-name> galka PKI, ka dibna hubi in safka u dhigma ee index.txt uu u rogmaday R. Taxanuhu waa habka aad shayga u dooratay, ma aha dood amarku aqbali karo.

openssl x509 -in recovered-client.pem -noout -issuer -serial -subject -dates
cp pki/certs_by_serial/A1B2C3D4.pem pki/issued/client-01.crt
./easyrsa revoke client-01
grep -n client-01 pki/index.txt
./easyrsa gen-crl

Haddii index.txt aanu tusin R, istaag oo akhri khaladka ka hor intaadan abuurin CRL, sababtoo ah CRL laga dhisay diiwaan weli ansax ah waxba ma celiyo. Kaliya ka dib markii safka rogmado ayaa aad socodsii easyrsa gen-crl oo u gudubtaa qaybinta faylka.

Ku daabac CRL meesha dhab ahaan lagu dhaqangaliyo

Abuur CRL cusub iyada oo loo marayo socodka shaqada la taageeray ee PKI, ka dibna ku daabac qaybiye kasta oo dhaqangeliya burburinta soo saarahaan.

Fayl cusboonaysiin ah oo CA dul yaal waxba ma beddelo, sababtoo ah VPN waxay go'aanka ku dhammeysaa qaybiyeheeda. Hubi soo saaraha CRL, muddada ansaxnimada iyo taxanaha la buriyey, oo xaqiiji in adeeggu faylka dib u rarto ee aanu keydin kan hore. Milkiilaha iyo wadadu waxay muhiim u yihiin sida waxa ku jira: CRL uu daemon-ku aanu akhrin karin waa mid aan ka duwanayn maqnaanshaha CRL. Ikhtiyaarka crl-verify ee OpenVPN wuxuu magacaabaa faylka daemon-ku akhriyo, markaa hubi wadadaas iyo milkiilaha faylka ee habaynta serverka.

Ku xaqiiji isku day isku xirid dhab ah, ma aha shaabadda waqtiga faylka.

Ogow goorta CRL uu yahay qalab khaldan

Haddii furaha gaarka ah ee soo saaraha aan la aaminin, celinta taxanaha la yaqaan ma joojin karto qof aan loo fasixin inuu saxeexo shahaadooyin cusub. Taasi waa kala-guurka aaminnada soo saaraha, oo macneheedu yahay CA cusub iyo qorshe qaybin, ma aha gelitaan kale oo CRL ah. Helista marin uu maamule hore lahaa laftiisu ma aha caddayn in furaha si xun loo isticmaalay, markaa hel xaqiiqooyinka ka hor intaadan dib u dhisin aaminnada.

Tafatirka gacanta ee kaydka soo saarista si loo rogo xaraf xaalad ah ma beddelo burburin la saxeexday, wuxuuna CRL uga tago mid aan waafaqsanayn diiwaannada.

Hayso taxanaha, CRL iyo tallaabada qaybinta hal qoraal, baaritaanka xigana wuxuu noqon doonaa akhris. Mashruuca Easy-RSA wuxuu diiwaangeliyaa amarrada la taageeray ee nooca aad rakibtay, waana interface-ka kaliya ee mudan in la raaco.