AWS Client VPN: சேவையகச் சான்றிதழும் வாடிக்கையாளர் சான்றிதழின் பங்கும்
இறுதி முனையின் சேவையகச் சான்றிதழ் சேவையை நிரூபிக்கிறது. இருபுறச் சான்றளிப்பு சேவையகத்தின் விசையைப் பங்கிடாமல் ஒவ்வொரு வாடிக்கையாளரின் அடையாளத்தையும் CA மீதான நம்பிக்கையையும் சேர்க்கிறது.
Client VPN இறுதி முனைக்கு எப்போதும் TLS சேவையகச் சான்றிதழ் தேவை. வாடிக்கையாளர் இணையும்போது நிர்வகிக்கப்படும் இறுதி முனை வெளிப்படுத்தும் அடையாளம் அதுவே. இருபுறச் சான்றளிப்பைப் பயன்படுத்தும்போது தனி வாடிக்கையாளர்கள் வெளிப்படுத்தும் சான்றிதழ்களிலிருந்து இது வேறு பொருள். இவை இரண்டையும் குழப்புவதே, மற்றபடி சரியான ACM அமைப்பு முதல் இணைப்பிலேயே தோல்வியடைவதற்கான மிகப் பொதுவான காரணம்.
கீழே கன்சோலிலிருந்து வெளியே நோக்கி, ஒரு இணைப்பு உண்மையில் செல்லும் வரிசையிலேயே ஒரு சுற்று உள்ளது.
இரண்டு பங்குகள், ஒரு இறுதி முனை
இறுதி முனையிடம் சேவையக அடையாளம் உள்ளது, விரும்பினால் வாடிக்கையாளர் அடையாளங்களைச் சரிபார்க்கும் வழியும் உள்ளது. இவை தனித்தனியாக அமைக்கப்படுகின்றன. ஒன்று வாடிக்கையாளர் சேவையை நம்பலாமா என்பதைத் தீர்மானிக்கிறது; மற்றொன்று சேவை வாடிக்கையாளரை ஏற்கிறதா என்பதைத் தீர்மானிக்கிறது.
| Material | Purpose | Where it lives |
|---|---|---|
| Server certificate and private key | The managed endpoint proves its TLS identity | ACM, in the endpoint's Region |
| Client certificate and matching key | An individual client proves its identity | On the device |
| CA trust material | The verifier checks the issuer chain | Selected for the client role |
அட்டவணையை ஒரு சான்றிதழாக அல்ல, மூன்று தனித்துவமான தேவைகளாகப் படியுங்கள். சேவையகச் சான்றிதழும் அதன் தனிச் சாவியும் சேவையிடமே இருக்கும். வாடிக்கையாளர் சான்றிதழும் அதனுடன் பொருந்தும் தனிச் சாவியும் சாதனத்தில் இருக்கும். CA பொருள் என்பது சரிபார்ப்பவர் சங்கிலியைச் சரிபார்க்கப் பயன்படுத்துவது. மடிக்கணினியில் எப்போதும் நடுவரி மட்டுமே வரும்.
ACM சேவையகச் சான்றிதழ் என்ன செய்கிறது
இறுதி முனையை உருவாக்கும்போது சேவையகச் சான்றிதழ் ACM இல் இறுதி முனை உள்ள அதே பிராந்தியத்தில் கிடைக்க வேண்டும். கன்சோல் ARN கேட்கிறது, அந்த ARN அங்கேயே தீர்க்கப்பட வேண்டும். ACM டொமைன் சரிபார்ப்புடன் பெற்ற சான்றிதழையோ, சாவி மற்றும் சங்கிலியுடன் இறக்குமதி செய்ததையோ வைத்திருக்கலாம். இரண்டும் இந்தப் பங்கில் செயல்படும்; வேறுபாடு புதுப்பித்தல் மற்றும் தனிச் சாவி யாரிடம் உள்ளது என்பதில் உள்ளது.
சான்றிதழை யார் புதுப்பிக்க முடியோ அவர்களுக்குப் பொருந்தும் பெறுதல் வழியைத் தேர்ந்தெடுங்கள், தற்செயலாக செல்லுபடியாகத் தோன்றும் கோப்பை உருவாக்கிய வழியை அல்ல.
இருபுறச் சான்றளிப்பு என்ன சேர்க்கிறது
சான்றிதழ் அடிப்படையிலான வாடிக்கையாளர் சான்றளிப்பைத் தேர்ந்தெடுப்பது இரண்டாவது கேள்வியைச் சேர்க்கிறது: எந்த வாடிக்கையாளர்கள் இணையவே முடியும். ஒவ்வொரு வாடிக்கையாளரும் தன் சான்றிதழை வெளிப்படுத்தி, பொருந்தும் தனிச் சாவி தன்னிடம் உள்ளதை நிரூபிக்கிறார். தனித்தனி அடையாளங்களே பின்னர் தேர்ந்தெடுத்து ரத்து செய்வதைச் சாத்தியமாக்குகின்றன. ஒரு வாடிக்கையாளர் சாவியை ஒவ்வொரு சாதனத்திற்கும் நகலெடுப்பது அந்தப் பண்பை அமைதியாக விட்டுவிடுகிறது, சேவையகச் சான்றிதழ் நேர்த்தியாகப் பெற்றிருந்தாலும்.
இறுதி முனையின் சான்றளிப்பு முறை ஒரு தேர்வே, பொதுவான கட்டாயமல்ல.
Active Directory மற்றும் கூட்டாட்சி சான்றளிப்பு அதே கேள்விக்கு வேறு வழிகளில் பதில் தருகின்றன. இருபுறச் சான்றிதழ் செய்முறை அந்தப் பயன்படுத்தல்களுக்குத் தானாகவே உள்நுழைவு வடிவமைப்பாகாது, பயனரை எப்படி உள்ளே அனுமதித்தாலும் சேவையகத்தின் TLS சரிபார்ப்பு அப்படியே இருக்கும்.
ஒரே CA ARN சாவிப் பங்கீடு ஏன் இல்லை
AWS ஆவணப்படுத்துவது என்னவென்றால், சேவையக மற்றும் வாடிக்கையாளர் சான்றிதழ்களை ஒரே CA வழங்கும்போது, சேவையகச் சான்றிதழின் ARN வாடிக்கையாளர் சான்றிதழைத் தேர்ந்தெடுக்கவும் பயன்படுத்தலாம். அந்த வாக்கியம் இறுதி முனை சரிபார்ப்பின்போது நம்பும் சங்கிலியைப் பற்றியது. அது வாடிக்கையாளர்களைச் சேவையகத்தின் தனிச் சாவியைப் பயன்படுத்தச் சொல்லவில்லை. மடிக்கணினிக்கு இன்னும் அதன் சொந்த வாடிக்கையாளர் சான்றிதழும் சொந்தப் பொருந்தும் சாவியும் தேவை.
வாடிக்கையாளரின் CA வேறு வழங்குநராக இருக்கும்போது, ஆவணப்படுத்தப்பட்ட வழி அந்த CA வை ACM இல் இறக்குமதி செய்து வாடிக்கையாளர் பங்கிற்கு அதைத் தேர்ந்தெடுப்பதே.
தோல்வியை ஒரு நிலைக்கே திருப்புங்கள்
எதையும் மாற்றும் முன் எந்த நிலை தோல்வியடைகிறது என்பதைத் தீர்மானியுங்கள். வாடிக்கையாளர் இறுதி முனையை நிராகரித்தால், சந்தேகத்திற்குரியது சேவையகத்தின் ARN அல்லது அதன் சங்கிலி. இறுதி முனை வாடிக்கையாளரை நிராகரித்தால், வாடிக்கையாளர் சான்றிதழ், அதன் வழங்குநர், தேர்ந்த சான்றளிப்பு முறை ஆகியவற்றைப் பாருங்கள். சுரங்கப்பாதை எழுந்து போக்குவரத்து இன்னும் தோல்வியடைந்தால், நீங்கள் சான்றிதழ்களைத் தாண்டிவிட்டீர்கள்.
ஒரு நேரத்தில் ஒரு பொருளை மட்டும் மாற்றுங்கள், ஏனெனில் இரு முனைகளையும் ஒரே நேரத்தில் மாற்றுவது நீங்கள் தொடங்கிய அதே தெளிவின்மையை மீண்டும் உருவாக்கும்.
அந்தக் குறிப்பிட்ட பங்கிற்கான சேவையின் ஆதரவு சாவி வழிமுறைகளையும் தேவையான நீட்சிகளையும் சரிபார்க்கவும். பொது வலைத்தளத்தைத் திருப்திப்படுத்தும் சான்றிதழ் Client VPN இன் அனைத்து அடையாளத் தேவைகளும் பூர்த்தியானதற்கான சான்று அல்ல.
எந்தப் புலம் எந்த ARN வைத்துள்ளது, எந்த CA வாடிக்கையாளர் சான்றிதழை வழங்கியது, இறுதி முனை உண்மையில் எந்தச் சான்றளிப்பு முறையைப் பயன்படுத்துகிறது என்பதை எழுதுங்கள். மூன்று வரிப் பதிவு அடுத்த புதுப்பித்தலை விசாரணைக்குப் பதிலாக ஒரு வேலையாக மாற்றும்.