ஒரு பொதுப் பெயர், இரண்டு சான்றிதழ்கள்: அனுமதிப் பட்டியலா அல்லது ரத்தா?

அதே பொதுப் பெயரில் மடிக்கணினி சான்றிதழை மீண்டும் வழங்குவது மாற்றீடு போலத் தோன்றுகிறது, பழையது இறந்துவிட்டது என்று எல்லோரும் கருதுகிறார்கள். அது அல்ல. முந்தையது அதே அதிகாரத்தால் கையொப்பமிடப்பட்ட செல்லுபடியாகும் சான்றிதழாகவே இருக்கும், பெயரால் வாடிக்கையாளர்களை அனுமதிக்கும் எந்தக் கட்டுப்பாடும் அதைத் தொடர்ந்து அனுமதிக்கும். அடையாளச் சரிபார்ப்பை நற்சான்றுச் சரிபார்ப்பிலிருந்து பிரிப்பது வரிசை எண், திருத்தம் அங்கேயே இருக்க வேண்டும்.

சேவையகம் பயன்படுத்தும் பெயரிடும் கொள்கையிலிருந்து தொடங்குங்கள்

இரண்டு கட்டுப்பாடுகள் கலக்கப்படுகின்றன: வாடிக்கையாளர் தன்னை யார் என்று கூறுகிறாரோ அதன் அடிப்படையில் அனுமதிப்பது, மற்றும் ஒரு குறிப்பிட்ட சான்றிதழைச் சேவையிலிருந்து நீக்குவது. முதலாவது பெயர்ச் சரிபார்ப்பு, இரண்டாவது ரத்துச் சரிபார்ப்பு. அவை வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, ஒரு பயன்பாட்டில் ஒன்று மற்றொன்று இல்லாமல் இருக்கலாம்.

சேவையகக் கட்டமைப்பைப் படித்து எந்த அடையாள மூலம் பயன்பாட்டில் உள்ளது என்பதைக் குறிக்கவும். username-as-common-name அங்கீகரிக்கப்பட்ட பயனர்பெயரை வாடிக்கையாளர் சார்ந்த தேடல்களுக்கான பயனுள்ள பெயராக மாற்றுகிறது. அது இல்லாவிட்டால் சான்றிதழின் பொருளின் பொதுப் பெயர் பயன்படுத்தப்படும். பதில் எதுவாக இருந்தாலும், எந்த அனுமதிப் பட்டியலையும் தொடுவதற்கு முன் அதை எழுதி வையுங்கள்.

இரண்டு பாதைகளும் ஒரே சான்றிதழுக்கு வெவ்வேறு அனுமதிக்கப்பட்ட பெயர்களின் தொகுப்பைத் தருகின்றன. இங்கே ஊகிப்பது என்பது தவறான கோப்பைத் திருத்தி கட்டுப்பாடு வேலை செய்யவில்லை என்று முடிவெடுப்பதாகும்.

உண்மையில் வாடிக்கையாளரை அனுமதிப்பது எது என்று சரிபார்க்கவும்

பொருந்தும் கோப்புடன் இணைக்கப்பட்ட client-config-dir வாடிக்கையாளர் சார்ந்த விருப்பங்களை வழங்குகிறது; தனியாக அது அனுமதி விதி அல்ல. பெயரால் அனுமதிக்க ccd-exclusive தேவை, அது பொருந்தும் கோப்பு இல்லாத வாடிக்கையாளர்களை மறுக்கிறது. இயங்கும் பயன்பாட்டில் அதை இயக்கினால் கோப்பு இல்லாத பெயருள்ள அனைவரின் இணைப்பும் துண்டிக்கப்படும், எனவே எதையும் மாற்றும் முன் கோப்புகளை எண்ணுங்கள்.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

எண்ணிக்கையே சரிபார்ப்பு: அடைவுப் பட்டியலை நீங்கள் இணைக்க எதிர்பார்க்கும் அடையாளங்களுடன் ஒப்பிடுங்கள்.

பின்னர் ஒவ்வொரு கோப்புப் பெயரும் எழுத்து நிலை மற்றும் இடைவெளிகள் உட்பட பயனுள்ள அடையாளத்துடன் சரியாகப் பொருந்துகிறதா என்பதை உறுதிசெய்யுங்கள். office-laptop க்கான கோப்பு பொருள் Office-Laptop என்று படிக்கப்படும் சான்றிதழுக்கு எதையும் செய்யாது. இறுதியில் உள்ள இடைவெளிகளும் சாதாரண பட்டியலிலிருந்து மறைகின்றன, அதனால் இருப்பதாகத் தோன்றும் கோப்பு படிக்கப்படாமலே இருக்கும்.

நுழைவாயில் ஏற்றும் CRL ஐச் சரிபார்க்கவும்

CRL ரத்து செய்யப்பட்ட சான்றிதழ்களை வழங்குநர் மற்றும் வரிசை எண்ணால் பெயரிடுகிறது, அதுவே பெயர்ச் சரிபார்ப்பில் இல்லாத நுணுக்கம். இரண்டு சான்றிதழ்கள் பொதுப் பெயரைப் பகிர்ந்து வரிசை எண்ணில் வேறுபடலாம், வரிசை நிலைப் பட்டியல் மட்டுமே அவற்றை வேறுபடுத்தும்.

கோப்பை நம்புவதற்கு முன் கட்டமைக்கப்பட்ட பாதை, வழங்கிய தேதி மற்றும் அடுத்த புதுப்பிப்புப் புலத்தை உறுதிசெய்யுங்கள்.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

நீங்கள் வைத்திருக்க விரும்பும் சான்றிதழின் வரிசை எண்ணுடன் CRL இல் உள்ள வரிசை எண்ணை ஒப்பிடுங்கள். அந்த ஒப்பீடே முழுப் பரிசோதனை, ஒரு முறை கண்ணால் செய்வது யாரும் படிக்காத ஸ்கிரிப்ட்டை நம்புவதை விட மதிப்புமிக்கது. புதுப்பிக்கப்பட்ட CRL ஐ நுழைவாயில் ஏற்கனவே படிக்கும் பாதை வழியாகப் பரப்புங்கள். தவறான அடைவில் உள்ள CRL எதையும் அமல்படுத்தாது, எந்த வாடிக்கையாளர் பதிவும் அதைக் குறிப்பிடாது.

மாற்று வழங்கி, பின்னர் இரு முடிவுகளையும் நிரூபியுங்கள்

அதே பொதுப் பெயரில் மாற்றீட்டை வழங்கி, இரு வரிசை எண்களையும் பதிவுசெய்து, அதன் பின்னரே பழையதை ரத்து செய்யுங்கள். அந்த வரிசை மாற்றத்தைத் தயாரிக்கும் போது வேலை செய்யும் அடையாளத்தைக் கிடைக்கச் செய்கிறது.

முதலில் மாற்றீட்டைச் சோதியுங்கள்: அது அங்கீகரிக்கப்பட்டு அதன் பெயருக்கு உரிமையான அனைத்தையும் அடைய வேண்டும். பின்னர் பழைய சான்றிதழைச் சோதித்து அது மறுக்கப்படுவதை உறுதிசெய்யுங்கள், ஏனெனில் வெற்றிகரமான மாற்றீடு ரத்தைப் பற்றி எதுவும் சொல்லாது. இரண்டும் இன்னும் இணைந்தால், ரத்து உள்ளீடு படிக்கப்படவில்லை அல்லது பழைய வரிசை எண் ஒருபோதும் பட்டியலிடப்படவில்லை. எதுவும் இணையவில்லை என்றால், நீங்கள் நற்சான்றை அல்ல, அனுமதி விதியை உடைத்துள்ளீர்கள்.

ஏற்கனவே நிறுவப்பட்ட அமர்வுகள் தனி விஷயம், ஏனெனில் நுழைவாயில் செயலில் உள்ள இணைப்புகளைத் துண்டிக்கவும் கட்டமைக்கப்படாத வரை ரத்து புதிய அங்கீகாரங்களுக்கே பொருந்தும். யாருக்கும் வாக்குறுதி அளிக்கும் முன் உடனடி நீக்கம் தேவையா என்று முடிவு செய்யுங்கள்.

பெயர்ச் சரிபார்ப்பு ஒருபோதும் செய்ய முடியாதது

இந்த அடையாளம் இணையலாமா என்று அனுமதிப் பட்டியல் பதிலளிக்கிறது. அந்த அடையாளம் எந்தச் சான்றிதழைப் பயன்படுத்தியது என்று அது சொல்ல முடியாது, நற்சான்று செல்லுபடியாகவும் ரத்து செய்யப்படாமலும் இருக்கும் வரை பழைய நற்சான்றை அது அனுமதிக்கும். அந்த இடைவெளி ஒரு சம்பவத்தின் போது தெரியவரும், மாற்றீடு மாதங்களுக்கு முன் வழங்கப்பட்டு முந்தையது இன்னும் வேலை செய்யும்போது.

சான்றிதழ் நிலைக் கட்டுப்பாடு தேவைப்படுமிடத்தில், சான்றிதழைப் பெயரிடும் பொறிமுறையைப் பயன்படுத்துங்கள்: CRL பதிவுகள், அல்லது இயக்குபவர் பராமரிக்கும் கைரேகையைச் சரிபார்க்கும் சரிபார்ப்புக் கொக்கி. இரண்டுக்கும் பராமரிப்புச் செலவு உண்டு, இரண்டும் தாம் ஆய்வு செய்யும் பொருளைப் பற்றி நேர்மையானவை. OpenVPN 2.6 கையேடு படி crl-verify மற்றும் வாடிக்கையாளர் சார்ந்த அனுமதி தனித்தனி விருப்பங்களாகப் பதிவு செய்யப்பட்டுள்ளன, அதே காரணத்திற்காக.

எந்தக் கட்டுப்பாடு எந்த வேலையைச் செய்கிறது என்று எழுதி, பின்னர் எதிர்மறை நிலையைச் சோதியுங்கள். இணைப்பை மறுப்பதை நீங்கள் ஒருபோதும் பார்த்திராத ரத்து என்பது வேலை செய்யும் என்று நீங்கள் நம்பும் கட்டமைப்பாகும்.