CA மீண்டும் கட்டாமல் VPN வாடிக்கையாளரைச் சேர்த்தல்

மேலும் ஒரு மடிக்கணினிக்கு மேலும் ஒரு சான்றிதழ் தேவை, ஆனால் தேடல் முடிவுகளில் உள்ள முதல் பயிற்சி PKI கோப்பகத்தை அழிக்கும் கட்டளையுடன் தொடங்குகிறது. அந்தக் கட்டளை முதல் அமைப்புக்கானது, பதிவுக்கானது அல்ல, அதை இயக்கினால் CA, வழங்கல் வரலாறு மற்றும் பழைய வழங்குநரை நம்பிய ஒவ்வொரு வாடிக்கையாளர் சுயவிவரமும் இழக்கப்படும். முடிவு குறுகலானது: வழங்குநரிடம் இன்னும் பயன்படுத்தக்கூடிய நிலை உள்ளதா, புதிய சாதனம் உங்கள் பதிவுக் கொள்கையுடன் பொருந்துகிறதா? மூன்று நிபந்தனைகள் அதைத் தீர்மானிக்கின்றன, ஒன்று மட்டுமே மீள்கட்டுமானத்தை நியாயப்படுத்துகிறது.

மீள்கட்டுமானம் உண்மையில் அழிப்பது

PKI ஐ மீண்டும் தொடங்கினால் கோப்பகம் காலியான கட்டமைப்பால் மாற்றப்படும்: புதிய CA விசை மற்றும் சான்றிதழ், காலி வழங்கல் தரவுத்தளம் மற்றும் புதிய வரிசை எண் கணக்கி. வாடிக்கையாளர்கள் தாமாகவே பின்பற்றுவதில்லை; அவர்களின் சுயவிவரங்கள் பழைய CA ஐப் பிணைக்கின்றன, எனவே ஒவ்வொரு சாதனமும் மீண்டும் பதிவு செய்யப்பட வேண்டும், அணுக முடியாதவை கையால்.

மிக அமைதியான இழப்பு கணக்கியல். ரத்து செய்வது எந்த வரிசை எண்களை யாருக்கு வழங்கினீர்கள் என்பதை அறிவதைச் சார்ந்தது. குறியீட்டை அழித்தாலும் கையொப்பம் இடலாம், ஆனால் மீதமுள்ள சான்றிதழ்களில் எதை ரத்து செய்ய விரும்பினீர்கள் என்பதை உறுதியாகச் சொல்ல முடியாது. வழங்குநர் நிலை இல்லாத சான்றிதழ்களைக் கொண்ட CA கோப்பகம் தவறான பாதியை மீட்டெடுக்கும் காப்புப்பிரதி.

CA இன் தனிப்பட்ட விசையை இயங்கும் சேவையகத்தின் அருகில் நகலெடுப்பது நிராகரிக்க வேண்டிய மற்றொரு குறுக்குவழி: இணையத்திற்கு வெளியே இருக்க வேண்டிய கையொப்ப அதிகாரத்தை நம்பமுடியாத போக்குவரத்து உள்ள ஹோஸ்ட்டில் மற்றொரு கோப்பாக மாற்றுகிறது.

முதல் நிபந்தனை: வழங்குநர் நிலை இன்னும் அணுகக்கூடியதா

முடிவெடுக்கும் முன் சேவையகம் உண்மையில் நம்பும் கோப்பகத்தைக் கண்டறியுங்கள். சேவையகம் CA ஆக வழங்கும் சான்றிதழை PKI கோப்பகத்தில் உள்ளதுடன் விரல்ரேகை மூலம் ஒப்பிடுங்கள், கோப்பு பெயரால் அல்ல:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

ரேகைகள் பொருந்தினால் பதிவு கூட்டல் முறையிலானது, எதையும் மீண்டும் கட்ட வேண்டாம். வேறுபட்டால் சேவையகம் நம்பாத CA உடன் கையொப்பம் இடுகிறீர்கள்: சான்றிதழ் தூய்மையாக நிறுவப்பட்டு கைக்குலுக்கலில் தோல்வியடையும், அந்தப் பிழை மணிக்கணக்கில் வாடிக்கையாளர் பிழையாகத் தவறாகக் கண்டறியப்படுகிறது.

பின்னர் வழங்கல் நிலையைத் தேடுங்கள்: குறியீட்டுக் கோப்பு, வரிசைக் கணக்கி மற்றும் CRL எண் கோப்பு. குறியீடு இல்லாவிட்டாலும் விசை இருந்தால் வழங்கலாம், ஆனால் ரத்துகளைப் பதிவு செய்வதில் சிக்கல் வரும். அதை மாற்றப் பதிவில் குறிக்கவும், அடுத்த ரத்துக் கோரிக்கை அதை வெளிப்படுத்தும்.

இரண்டாவது நிபந்தனை: புதிய தனிப்பட்ட விசை யாரிடம் உள்ளது

இது பயனர்கள் உணரும் முடிவு, எனவே வெளிப்படையாக எடுங்கள். வாடிக்கையாளரால் உருவாக்கப்பட்டு கோரிக்கையாக அனுப்பப்படும் விசை தனிப்பட்ட பாதியை முதல் கட்டளையிலிருந்தே சாதனத்தில் வைத்திருக்கும், நிர்வாகி அதை ஒருபோதும் தொடுவதில்லை. சேவையகத்தில் உருவாக்கப்படும் விசை கருவிகள் இல்லாத சாதனங்களுக்கு எளிது, ஆனால் நிர்வாகியை ஒவ்வொரு விசையின் காவலராக்கி சேவையக ஊடுருவலின் தாக்கத்தை விரிவுபடுத்துகிறது.

இருக்கும் CA க்கு எதிராக Easy-RSA 3 உடன் கோரிக்கையை இறக்குமதி செய்து கையொப்பமிடுவது இரண்டு கட்டளைகள்:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

சான்றிதழ் வகையை வேண்டுமென்றே தேர்ந்தெடுங்கள். வாடிக்கையாளருக்குப் பதிலாக சேவையக சான்றிதழாகக் கையொப்பமிடப்பட்ட கோரிக்கை நன்றாகத் தெரியும் ஆனால் எதிர்முனை மறுக்கும் கோப்பைத் தரும், பிழைச் செய்தி காரணத்தை அரிதாகவே கூறும். openssl ca உடன் கையொப்பமிட்டால் அதே தேர்வு நீங்கள் வழங்கும் நீட்சிகளில் உள்ளது, இயல்புநிலை பிரிவில் அல்ல.

மூன்றாவது நிபந்தனை: சேவையகத்திற்கு சான்றிதழை விட அதிகம் தேவையா

சான்றிதழ் அங்கீகாரம் உள்ள சாதாரண OpenVPN சேவையகத்திற்கு சான்றிதழே பதிவு: பொதுப் பெயர் வாடிக்கையாளர் அடையாளம் ஆகும், எந்தக் கோப்பகமும், தள்ளப்படும் வழியும் சேமிப்பக முகவரியும் அந்தப் பெயரைச் சார்ந்தது. சான்றிதழைச் சேர்த்து உள்ளமைவை மறந்துவிட்டால் சுரங்கப்பாதை இணையும் ஆனால் தேவையான வழிகள் தோன்றா.

தளங்கள் இதை மாற்றுகின்றன. OpenVPN Access Server தனது சொந்த பயனர் தரவுத்தளத்தை வைத்திருக்கிறது, எனவே கையொப்பமிட்ட சான்றிதழ் கணக்கு அல்ல; கணக்கு இருக்க வேண்டும், அனுமதிக்கப்பட வேண்டும். பிற நுழைவாயில்கள் அடையாளச் சரத்தைக் குழுவுடன் இணைக்கின்றன. ஒரு சாதனத்தின் பதிவு பொதுவாக இரண்டு அமைப்புகளைத் தொடுகிறது, சான்றிதழ் முதல் ஒன்று மட்டுமே.

கூட்டல் நடைமுறையும் மீள்கட்டுமானம் எப்போது சரி

பாதிப்பில்லாமல் ஒரு சாதனத்தைச் சேர்க்கும் வரிசை: விரல்ரேகையால் வழங்குநரை உறுதிப்படுத்துங்கள், PKI கோப்பகத்தின் புதிய காப்புப்பிரதியை எடுங்கள், வாடிக்கையாளர் பங்கிற்கான கோரிக்கையை இறக்குமதி செய்து கையொப்பமிடுங்கள், அங்கீகரிக்கப்பட்ட பாதையில் சான்றிதழை அதன் சங்கிலியுடன் வழங்குங்கள், பயனர் இணைவதற்கு முன் சரிபாருங்கள்:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

நோக்க வரியில் SSL client காட்டப்பட வேண்டும். வழங்கலுக்குப் பின் CA காப்புப்பிரதியைப் புதுப்பித்து முடியுங்கள், ஏனெனில் புதிய வரிசை எண் பதிவதற்கு முன் எடுத்த பிரதி நீங்கள் இப்போது சேர்த்த சாதனம் இல்லாத நிலையை மீட்டெடுக்கும்.

மீள்கட்டுமானம் மூன்று நிலைகளில் சரி: CA விசை சமரசம் ஆனது, வழங்கல் நிலை மீட்க முடியாமல் போனது, அல்லது விசை படிமுறை அல்லது சான்றிதழ்க் கொள்கையை வேண்டுமென்றே மாற்றுகிறீர்கள். மூன்றும் ஒவ்வொரு வாடிக்கையாளருக்கும் மறுபதிவுத் திட்டம் தேவைப்படும் திட்டங்கள், ஒரு சாதனக் கோரிக்கையின் படிகள் அல்ல. எதுவும் பொருந்தாவிட்டால் கூட்டல் முறையில் பதிவு செய்யுங்கள்.