ప్రమాణపత్ర రద్దు విఫలమవుతుంది: ఏ హోస్ట్ ఏమి చేరుకోలేదు

ప్రమాణపత్రాలు తమ చెల్లుబాటు కాలంలో ఉండవచ్చు, అయినా VPN ఇంకా ప్రామాణీకరణ వైఫల్యాన్ని నివేదిస్తుంది, మరియు ఎవరో ప్రమాణపత్రం రద్దు అయిందని నిర్ణయించుకుంటారు. అవి మూడు వేర్వేరు వాస్తవాలు. రద్దు డేటాను ధృవీకరణ చేసే పరికరమే ప్రమాణపత్రం లోపల పేర్కొన్న ప్రచురణ పాయింట్ నుండి తీసుకోవాలి. ఆ పరికరం పాయింట్‌ను చేరుకోలేకపోతే, ప్రమాణపత్రం స్థితికి సంబంధం లేని కారణాల వల్ల తనిఖీ విఫలమవుతుంది.

తీసుకునే మార్గం ధృవీకరణ చేతిలో ఉంటుంది

మొదట ధృవీకరించే పక్షాన్ని గుర్తించండి. ల్యాప్‌టాప్ గేట్‌వే ప్రమాణపత్రాన్ని తనిఖీ చేసినప్పుడు ల్యాప్‌టాప్ డేటాను తీసుకుంటుంది; గేట్‌వే క్లయింట్ ప్రమాణపత్రాన్ని తనిఖీ చేసినప్పుడు గేట్‌వే తీసుకుంటుంది. బ్యాకెండ్ ప్రామాణీకరణ సేవ తన స్వంత నెట్‌వర్క్ స్థానంతో మూడవ ధృవీకరణను జోడించవచ్చు. ప్రతి ఒక్కటి ఇంటర్నెట్‌కు వేరే మార్గం మరియు వేరే ప్రాక్సీ కాన్ఫిగరేషన్ కలిగి ఉంటుంది. నిర్వాహకుడి వర్క్‌స్టేషన్‌లో సేకరించిన ఆధారాలు DMZ లోపల ఉన్న సర్వర్ గురించి ఏమీ చెప్పవు.

ఏదైనా మార్చే ముందు ప్రమాణపత్రం, ధృవీకరణ, ప్రయత్న సమయం మరియు ఖచ్చితమైన స్థితి కోడ్‌ను రాయండి.

ప్రమాణపత్రం నుండి ప్రచురణ పాయింట్‌ను చదవండి

ప్రమాణపత్రం దాని స్థితి ఎక్కడ ఉందో చెబుతుంది. CA చిరునామాను ఊహించే బదులు ఆ ఫీల్డ్‌లను చదవండి.

openssl x509 -in gateway.cer -noout -text | grep -A3 "CRL Distribution Points"
openssl x509 -in gateway.cer -noout -text | grep -A2 "Authority Information Access"

మొదటి పొడిగింపు CRL పంపిణీ పాయింట్లను జాబితా చేస్తుంది, రెండవది జారీ చేసిన వారి సమాచార ప్రాప్యత పద్ధతులను జాబితా చేస్తుంది, అవి OCSP స్థితి మరియు జారీ ప్రమాణపత్రాన్ని తీసుకోవడాన్ని కవర్ చేయవచ్చు. ఇవి వేర్వేరు యంత్రాంగాలు, మరియు OCSP ప్రతిస్పందకుడు CRL ఫైల్ కాదు. ప్రచురణ హోస్ట్ తరచుగా సాధారణ వెబ్ సర్వర్, CA యంత్రం కాదు, ఎందుకంటే ఆఫ్‌లైన్ జారీదారు ఒక CRL పై సంతకం చేసి మరో సర్వర్ దానిని పంపిణీ చేయవచ్చు. అందువల్ల CAకు ప్రాప్యత అని వివరించిన ఫైర్‌వాల్ నియమం అమలు చేయడానికి లేదా సమీక్షించడానికి చాలా అస్పష్టంగా ఉంటుంది.

ధృవీకరించే పరికరం నుండి తీసుకోవడాన్ని పరీక్షించండి

నిజంగా ధృవీకరణ చేసే వాతావరణంలో, ఆమోదించిన ప్రమాణపత్ర సామగ్రితో మరియు ప్రైవేట్ కీలు లేకుండా తీసుకునే పరీక్షను నడపండి.

certutil -urlfetch -verify .\client-test.cer
curl -sS -o /dev/null -w "%{http_code}\n" http://crl.example.com/ca.crl

certutil నడపడం గొలుసును ధృవీకరించి ఏ URL తీసుకోళ్లు విజయవంతమయ్యాయో లేదా విఫలమయ్యాయో నివేదిస్తుంది, అయితే curl పిలుపు అదే హోస్ట్ నుండి ఒక ప్రచురణ చిరునామాను పరీక్షించి స్థితి కోడ్‌ను మాత్రమే తిరిగి ఇస్తుంది. చేరుకోగల చిరునామా నుండి తీసుకోవడం విఫలం కావడం కంటెంట్ లేదా సంతకం సమస్యలను సూచిస్తుంది; కనెక్షన్ లోపం రూటింగ్, DNS లేదా ప్రాక్సీని సూచిస్తుంది. రెండు ఫలితాలను ఉంచండి, ఎందుకంటే ఒక విజయవంతమైన తీసుకోళ్లు మొత్తం గొలుసు ఉపయోగించదగినదని నిరూపించదు. నమూనా హోస్ట్ మరియు మార్గాన్ని ప్రమాణపత్రంలో కనుగొన్న పంపిణీ పాయింట్‌తో భర్తీ చేయండి.

లేని డేటాను రద్దు స్థితి నుండి వేరు చేయండి

బయటి నుండి నాలుగు ఫలితాలు ఒకేలా కనిపిస్తాయి: పాయింట్ చేరుకోలేము, జాబితా పాతది, జాబితా తప్పు జారీదారు సంతకం చేసింది, లేదా ప్రమాణపత్రం నిజంగా రద్దు అయింది. చివరిది మాత్రమే స్థితి ఫలితం, మరియు అది మాత్రమే ప్రాప్యతను తొలగించడాన్ని సమర్థిస్తుంది. కాషింగ్ చిత్రాన్ని మరింత క్లిష్టతరం చేస్తుంది, ఎందుకంటే ముందుగా తీసుకున్న డేటా తదుపరి రిఫ్రెష్ వరకు పాడైన ప్రచురణ మార్గాన్ని దాచగలదు. రద్దు తనిఖీని నిలిపివేయడం, సంబంధం లేని ప్రమాణపత్రాలను తొలగించడం లేదా గేట్‌వేను రీబూట్ చేయడం అన్నీ నిర్ధారణకు బదులు కార్యకలాపాన్ని పెడతాయి.

పరిష్కారం తర్వాత కొత్త ప్రామాణీకరణను బలవంతంగా చేసి, ఉద్దేశించిన స్థితి తీసుకోవడం విజయవంతమవుతుందని నిర్ధారించండి. నియంత్రిత పరీక్ష గుర్తింపు ఉన్న చోట, అది ఇప్పటికీ తిరస్కరించబడుతుందని నిర్ధారించండి, ఎందుకంటే తనిఖీని తొలగించే లభ్యత మరమ్మతు కాదు.