சான்றிதழ் ரத்து தோல்வியடைகிறது: எந்த ஹோஸ்ட் எதை அடைய முடியாது

சான்றிதழ்கள் தங்கள் செல்லுபடியாகும் காலத்திற்குள் இருக்கலாம், ஆனால் VPN இன்னும் அங்கீகார தோல்வியைப் புகாரளிக்கிறது, ஒருவர் சான்றிதழ் ரத்து செய்யப்பட்டதாக முடிவு செய்கிறார். அவை மூன்று வேறுபட்ட உண்மைகள். ரத்து தரவை சரிபார்ப்பைச் செய்யும் சாதனமே சான்றிதழின் உள்ளே குறிப்பிடப்பட்ட வெளியீட்டுப் புள்ளியிலிருந்து பெற வேண்டும். அந்தச் சாதனம் புள்ளியை அடைய முடியாதபோது, சான்றிதழின் நிலைக்குத் தொடர்பில்லாத காரணங்களால் சரிபார்ப்பு தோல்வியடைகிறது.

பெறும் பாதையின் பொறுப்பு சரிபார்ப்பானிடம் உள்ளது

முதலில் சரிபார்க்கும் தரப்பை அடையாளம் காணுங்கள். மடிக்கணினி நுழைவாயிலின் சான்றிதழைச் சரிபார்க்கும்போது மடிக்கணினியே தரவைப் பெறுகிறது; நுழைவாயில் வாடிக்கையாளர் சான்றிதழைச் சரிபார்க்கும்போது நுழைவாயிலே பெறுகிறது. பின்தள அங்கீகாரச் சேவை தனது சொந்த வலைப்பின்னல் நிலையுடன் மூன்றாவது சரிபார்ப்பையும் சேர்க்கலாம். ஒவ்வொன்றுக்கும் இணையத்திற்கு வேறு பாதையும் வேறு ப்ராக்ஸி அமைப்பும் உள்ளன. நிர்வாகியின் பணிநிலையத்தில் சேகரிக்கப்பட்ட சான்றுகள் DMZ-க்குள் உள்ள சேவையகத்தைப் பற்றி எதுவும் கூறுவதில்லை.

எதையும் மாற்றுவதற்கு முன் சான்றிதழ், சரிபார்ப்பான், முயற்சியின் நேரம் மற்றும் சரியான நிலைக் குறியீட்டை எழுதுங்கள்.

சான்றிதழிலிருந்து வெளியீட்டுப் புள்ளியைப் படியுங்கள்

சான்றிதழ் அதன் நிலை எங்கே உள்ளது என்பதைக் குறிப்பிடுகிறது. CA முகவரியை ஊகிப்பதற்குப் பதிலாக அந்தப் புலங்களைப் படியுங்கள்.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

முதல் நீட்டிப்பு CRL விநியோகப் புள்ளிகளைப் பட்டியலிடுகிறது, இரண்டாவது வழங்குநர் தகவல் அணுகல் முறைகளைப் பட்டியலிடுகிறது, அவை OCSP நிலை மற்றும் வழங்குநர் சான்றிதழ் பெறுதலை உள்ளடக்கலாம். இவை வேறுபட்ட வழிமுறைகள், OCSP பதிலளிப்பான் CRL கோப்பு அல்ல. வெளியீட்டு ஹோஸ்ட் பெரும்பாலும் சாதாரண வலைச் சேவையகம், CA இயந்திரம் அல்ல, ஏனெனில் இணைப்பில்லாத வழங்குநர் ஒரு CRL-ஐக் கையொப்பமிட்டு மற்றொரு சேவையகம் அதை விநியோகிக்கலாம். எனவே CA-க்கான அணுகல் என விவரிக்கப்படும் ஃபயர்வால் விதி செயல்படுத்தவோ மதிப்பாய்வு செய்யவோ மிகவும் தெளிவற்றது.

சரிபார்க்கும் சாதனத்திலிருந்து பெறுதலைச் சோதியுங்கள்

உண்மையில் சரிபார்ப்பைச் செய்யும் சூழலில், அங்கீகரிக்கப்பட்ட சான்றிதழ்ப் பொருட்களுடன் தனிப்பட்ட விசைகள் இல்லாமல் பெறுதல் சோதனையை இயக்குங்கள்.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil இயக்கமானது சங்கிலியைச் சரிபார்த்து எந்த URL பெறுதல்கள் வெற்றியடைந்தன அல்லது தோல்வியடைந்தன என்பதைப் புகாரளிக்கிறது, ஆனால் curl அழைப்பு அதே ஹோஸ்டிலிருந்து ஒரு வெளியீட்டு முகவரியைச் சோதித்து நிலைக் குறியீட்டை மட்டும் திருப்பித் தருகிறது. அடையக்கூடிய முகவரியிலிருந்து பெறுதல் தோல்வியடைவது உள்ளடக்கம் அல்லது கையொப்பச் சிக்கலைக் காட்டுகிறது; இணைப்புப் பிழை வழித்தடம், DNS அல்லது ப்ராக்ஸியைக் காட்டுகிறது. இரண்டு முடிவுகளையும் வைத்திருங்கள், ஏனெனில் ஒரு வெற்றிகரமான பெறுதல் முழுச் சங்கிலியும் பயன்படுத்தக்கூடியது என்பதை நிரூபிக்காது. மாதிரி ஹோஸ்டையும் பாதையையும் சான்றிதழில் கண்டறியப்பட்ட விநியோகப் புள்ளியால் மாற்றுங்கள்.

காணாமல் போன தரவை ரத்து நிலையிலிருந்து பிரிக்கவும்

வெளியிலிருந்து நான்கு முடிவுகள் ஒரே மாதிரி தெரிகின்றன: புள்ளியை அடைய முடியவில்லை, பட்டியல் பழையது, பட்டியல் தவறான வழங்குநரால் கையொப்பமிடப்பட்டது, அல்லது சான்றிதழ் உண்மையிலேயே ரத்து செய்யப்பட்டது. கடைசியானது மட்டுமே நிலை முடிவு, அதுவே அணுகலை நீக்குவதை நியாயப்படுத்துகிறது. தற்காலிகச் சேமிப்பு படத்தை மேலும் சிக்கலாக்குகிறது, ஏனெனில் முன்னர் பெற்ற தரவு அடுத்த புதுப்பிப்பு வரை உடைந்த வெளியீட்டுப் பாதையை மறைக்கலாம். ரத்து சரிபார்ப்பை முடக்குவது, தொடர்பில்லாத சான்றிதழ்களை நீக்குவது அல்லது நுழைவாயிலை மீண்டும் இயக்குவது ஆகியவை கண்டறிதலுக்குப் பதிலாக செயல்பாட்டை வைக்கின்றன.

சரிசெய்தலுக்குப் பிறகு புதிய அங்கீகாரத்தை கட்டாயப்படுத்தி, எதிர்பார்க்கப்பட்ட நிலைப் பெறுதல் வெற்றியடைவதை உறுதிப்படுத்துங்கள். கட்டுப்படுத்தப்பட்ட சோதனை அடையாளம் உள்ள இடத்தில், அது இன்னும் நிராகரிக்கப்படுவதை உறுதிப்படுத்துங்கள், ஏனெனில் சரிபார்ப்பை நீக்கும் கிடைக்கும் தன்மை பழுது அல்ல.