VPN சான்றிதழை அதன் அடையாளத்தை மாற்றாமல் புதுப்பித்தல்

அடையாளத்தை மாற்றும் சான்றிதழ் புதுப்பித்தல் புதுப்பித்தல் அல்ல, அது பராமரிப்பு டிக்கெட் அணிந்த இடமாற்றம். வாடிக்கையாளர் பெயர், சங்கிலி மற்றும் சில நேரங்களில் குறிப்பிட்ட திறவுகோலைச் சரிபார்க்கிறார், மூன்றும் காலாவதி தேதி மாறாமல் மாறலாம். மாற்றீட்டைக் கோருவதற்கு முன் வாடிக்கையாளர் உண்மையில் என்ன சரிபார்க்கிறார் என்பதை எழுதுங்கள்: ஹோஸ்ட் பெயர் அல்லது சக அடையாளம், சான்றிதழின் நோக்கம், திறவுகோல் கொள்கை மற்றும் வழங்கும் சங்கிலி. மாற்றீடு இவற்றில் எதை மாற்றுகிறது என்பதைப் பொறுத்து புதுப்பித்தல் வழக்கமானதா அல்லது ஒருங்கிணைந்ததா என்பது அமைகிறது.

மூன்று நிபந்தனைகள் புதுப்பித்தலின் வடிவத்தைத் தீர்மானிக்கின்றன

மூன்று நிபந்தனைகள்: ஏதேனும் இலையைப் பின் செய்கிறதா, சங்கிலி மாறுகிறதா, பெயரை வேறு யார் சரிபார்க்கிறார். CA-இன் வசதியிலிருந்து அல்ல, வாடிக்கையாளர் பக்கத்திலிருந்து பதிலளியுங்கள், ஏனெனில் இரவு மூன்று மணிக்குத் தோல்வியடைவது வாடிக்கையாளரே.

உங்களிடம் உள்ள சான்றிதழைப் பரிசோதிப்பதில் தொடங்குங்கள். openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName பொருள், வழங்குபவர், செல்லுபடியாகும் காலம் மற்றும் சான்றிதழ் உண்மையில் செல்லுபடியாகும் பெயர்களை அச்சிடுகிறது. அந்தக் கடைசிப் புலமே மிக முக்கியமானது மற்றும் அதிகம் கருதப்படுகிறது: வாடிக்கையாளர் நம்பும் SAN-ஐ விட்டுவிடும் புதுப்பித்தல் கோரிக்கை தொழில்நுட்ப ரீதியாக செல்லுபடியாகும் ஆனால் செயல்பாட்டு ரீதியாக தவறான சான்றிதழை உருவாக்குகிறது. பழைய சான்றிதழின் SAN பட்டியலை நினைவில் இருந்து மீண்டும் தட்டச்சு செய்யாமல் கோரிக்கையில் நகலெடுக்கவும்.

முதல் நிபந்தனை: ஏதேனும் இலையைப் பின் செய்கிறதா

வாடிக்கையாளர்கள் பராமரிக்கப்படும் CA-ஐ நம்பி பெயரைச் சரிபார்த்தால், புதிய திறவுகோலுடன் இலை புதுப்பித்தல் அவர்களுக்குத் தெரியாது. எந்த வாடிக்கையாளரும் இலை சான்றிதழ், அதன் கைரேகை அல்லது அதன் பொது திறவுகோலைப் பின் செய்தால், மாற்றீடு கடினமான மாற்றத்துடன் கூடிய ஒருங்கிணைந்த மாற்றமாகும், ஏனெனில் பழைய பின் புதிய சான்றிதழைச் சரிபார்க்க முடியாது.

எதையும் ஆர்டர் செய்வதற்கு முன் நீங்கள் எந்த நிலையில் இருக்கிறீர்கள் என்பதைக் கண்டறியுங்கள். யாரும் ஆவணப்படுத்தாத பின்னும் உடையும் போது பின் தான்.

இரண்டாவது நிபந்தனை: பின்களையும் சங்கிலியையும் ஒப்பிடுங்கள்

கைரேகைகள் பின்னைச் சரிபார்க்கக்கூடியதாக்குகின்றன: பழைய மற்றும் புதிய சான்றிதழில் openssl x509 -noout -fingerprint -sha256 -in server.crt, மற்றும் பொது திறவுகோல்களை ஒப்பிட openssl x509 -noout -pubkey. வாடிக்கையாளர் உள்ளமைவு, மொபைல் சுயவிவரம் அல்லது சாதனத்தின் நம்பிக்கைச் சேமிப்பகம் அந்த மதிப்புகளில் ஒன்றைக் கொண்டிருந்தால், உங்களிடம் பின் உள்ளது. மொபைல் VPN சுயவிவரங்கள் பொதுவான மறைவிடம், ஏனெனில் சுயவிவரம் ஒரு முறை விநியோகிக்கப்பட்டு மீண்டும் ஒருபோதும் பரிசோதிக்கப்படுவதில்லை.

மாற்றீடு அதே இடைத்தரகரிடமிருந்து வந்து, வாடிக்கையாளரிடம் ஏற்கனவே அது இருந்தால் அல்லது அதைப் பெற முடிந்தால், நம்பிக்கைப் பக்கத்தில் எதுவும் மாறாது. புதிய இடைத்தரகர், வேறு வழங்குபவர் அல்லது தவறான வரிசையில் வழங்கப்பட்ட சங்கிலி புதுப்பித்தலை நம்பிக்கை மாற்றமாக மாற்றுகின்றன, மேலும் தோல்வி காலாவதியான சான்றிதழைப் போலல்லாமல் அறியப்படாத வழங்குபவரைப் போலத் தெரிகிறது.

சேவையகம் உண்மையில் அனுப்பும் சங்கிலியை openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts உடன் சரிபார்த்து, openssl verify -CAfile ca.pem -untrusted chain.pem server.crt உடன் உள்நாட்டில் சரிபார்க்கவும். மாற்றத்திற்கு முன் இதைச் செய்வது பின்னர் ஒப்பிடுவதற்கான அடிப்படைக் கோட்டை உங்களுக்கு வழங்குகிறது.

மூன்றாவது நிபந்தனை: பெயரை வேறு யார் சரிபார்க்கிறார்

VPN ஒருங்கிணைப்பான், சுமை சமநிலைப்படுத்தி, கண்காணிப்பு ஆய்வு, RADIUS அல்லது SAML ஒருங்கிணைப்பு மற்றும் மொபைல் சுயவிவரம் ஒவ்வொன்றும் எதிர்பார்க்கப்படும் பெயர் அல்லது நம்பிக்கை நங்கூரத்தின் சொந்த நகலை வைத்திருக்கலாம். அந்த நகல்கள் வேறுபடும் தருணமே புதுப்பித்தல், ஏனெனில் சான்றிதழ் மாறுகிறது, நகல்கள் மாறுவதில்லை.

மாற்றத்திற்கு முன் ஒவ்வொரு நுகர்வோரையும் பட்டியலிட்டு, ஒவ்வொருவருக்கும் புதுப்பிப்பு தேவையா என்பதைத் தீர்மானிக்கவும். நீங்கள் மறப்பவரே உங்களை அழைப்பவர்.

நேரப் பொறியும் உள்ளது. காலாவதியுடன் செல்லுபடியாகும் தொடக்கத்தையும் பரிசோதிக்கவும், ஏனெனில் பின்னர் செயல்படுத்துவதற்குத் தயாராகும் சான்றிதழ் மிக முன்னதாக நிறுவப்பட்டால் நிராகரிக்கப்படுகிறது, மேலும் பிழை தயாரிப்புப் பிரச்சினையைப் போலல்லாமல் கடிகாரப் பிரச்சினையைப் போலத் தெரிகிறது. பயன்படுத்துவதற்கு முன் புதிய கோப்பில் openssl x509 -noout -dates இரு வினாடி சரிபார்ப்பு. ஆதரவான மீட்புப் பாதை மற்றும் அறியப்பட்ட நல்ல உள்ளமைவையும் வைத்திருங்கள், இதனால் தவறாகும் புதுப்பித்தலை முந்தைய சான்றிதழையும் திறவுகோலையும் மீட்டெடுப்பதன் மூலம் திருப்ப முடியும்.

பயன்படுத்துங்கள், புதிய அங்கீகாரத்துடன் சரிபார்க்கவும், பின்னர் நீக்கவும்

நிறுவப்பட்ட சுரங்கப்பாதை அது கட்டப்பட்டபோது நடந்த சரிபார்ப்பைப் பிரதிபலிக்கிறது, எனவே ஒவ்வொரு புதிய இணைப்பும் தோல்வியடையும் போது அது ஆரோக்கியமாகத் தெரியலாம். வாடிக்கையாளர்கள் பயன்படுத்தும் உண்மையான சேவைப் பெயரைப் பயன்படுத்தி புதிய அங்கீகாரத்துடன் சோதிக்கவும்.

பயனருக்கு முக்கியமான பயன்பாட்டு நிலைச் சரிபார்ப்பை முடிக்கவும், சங்கிலி வழங்கலை சேவையகத்தின் பார்வையில் இருந்து அல்ல, வாடிக்கையாளரின் பார்வையில் இருந்து உறுதிப்படுத்தவும். மாற்றத்தை அமைதியாக வைத்திருக்க பெயர் அல்லது சான்றிதழ் சரிபார்ப்புகளை அடக்க வேண்டாம்; அது தற்காலிக இணக்கப் பிரச்சினையை நிரந்தரமாக மாற்றுகிறது.

பயன்பாட்டில் இல்லாத பொருட்களை வரிசைப்படுத்தல் சரிபார்க்கப்பட்ட பிறகு மட்டுமே நீக்கவும், மேலும் சமரசம் செய்யப்பட்ட திறவுகோலை முற்றிலும் வேறு வழக்காகக் கருதவும்: புதுப்பித்தல் மட்டும் எதையும் ரத்து செய்யாது, எனவே பாதிக்கப்பட்ட அடையாளத்திற்கு வரிசைப்படுத்தலின் ரத்து மற்றும் அமர்வு நிர்வாக செயல்முறை தேவை. RFC 5280 இவை அனைத்திற்கும் அடிப்படையான சான்றிதழ் மற்றும் பாதைச் சரிபார்ப்பு விதிகளை வரையறுக்கிறது. வழக்கமான இலை புதுப்பித்தலை CA மாற்றீட்டிலிருந்து தனியாக வைத்திருங்கள், இதனால் வாடிக்கையாளர்கள் காரணமின்றி புதிய வழங்குபவரை நம்பச் சொல்லப்பட மாட்டார்கள்.