ఒకే సాధారణ పేరు, రెండు సర్టిఫికెట్లు: అనుమతి జాబితా లేక రద్దు?

అదే సాధారణ పేరుతో ల్యాప్టాప్ సర్టిఫికెట్ తిరిగి జారీ చేయడం భర్తీలా అనిపిస్తుంది, పాతది చనిపోయిందని అందరూ భావిస్తారు. అలా కాదు. మునుపటి సర్టిఫికెట్ అదే అధికారం సంతకం చేసిన చెల్లుబాటు సర్టిఫికెట్గానే ఉంటుంది, పేరు ద్వారా క్లయింట్లను అనుమతించే ఏ నియంత్రణ అయినా దాన్ని అనుమతిస్తూనే ఉంటుంది. గుర్తింపు తనిఖీని ఆధారాల తనిఖీ నుండి వేరు చేసేది సీరియల్ నంబర్, మరియు సరిదిద్దడం అక్కడే ఉండాలి.

సర్వర్ ఉపయోగించే పేరు పెట్టే విధానంతో ప్రారంభించండి

రెండు నియంత్రణలు కలిసిపోతాయి: క్లయింట్ తాను ఎవరని చెప్పుకుంటున్నాడో దాని ఆధారంగా అనుమతించడం, మరియు ఒక నిర్దిష్ట సర్టిఫికెట్ను సేవ నుండి తొలగించడం. మొదటిది పేరు తనిఖీ, రెండవది రద్దు తనిఖీ. అవి వేర్వేరు ప్రశ్నలకు సమాధానమిస్తాయి, ఒక అమరికలో ఒకటి మరొకటి లేకుండా ఉండవచ్చు.

సర్వర్ కాన్ఫిగరేషన్ చదివి ఏ గుర్తింపు మూలం వాడుకలో ఉందో గమనించండి. username-as-common-name ప్రామాణీకృత వినియోగదారు పేరును క్లయింట్-నిర్దిష్ట శోధనలకు ప్రభావవంతమైన పేరుగా మారుస్తుంది. అది లేకపోతే సర్టిఫికెట్ లోని విషయ సాధారణ పేరు ఉపయోగించబడుతుంది. సమాధానం ఏదైనా, ఏదైనా అనుమతి జాబితాను తాకే ముందు దాన్ని రాసుకోండి.

రెండు మార్గాలు ఒకే సర్టిఫికెట్కు వేర్వేరు అనుమత పేర్ల సమితిని ఇస్తాయి. ఇక్కడ ఊహించడం అంటే తప్పు ఫైల్ను సవరించి నియంత్రణ పనిచేయదని నిర్ణయించుకోవడం.

క్లయింట్ను నిజంగా ఏది అనుమతిస్తుందో తనిఖీ చేయండి

సరిపోలే ఫైల్ ఉన్న client-config-dir క్లయింట్-నిర్దిష్ట ఎంపికలను అందిస్తుంది; ఒంటరిగా అది ప్రవేశ నియమం కాదు. పేరు ద్వారా ప్రవేశానికి ccd-exclusive అవసరం, అది సరిపోలే ఫైల్ లేని క్లయింట్లను తిరస్కరిస్తుంది. నడుస్తున్న అమరికలో దాన్ని ఆన్ చేస్తే ఫైల్ లేని పేరు ఉన్న వారందరి కనెక్షన్ తెగిపోతుంది, కాబట్టి ఏదైనా మార్చే ముందు ఫైళ్లను లెక్కించండి.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

లెక్కింపే తనిఖీ: డైరెక్టరీ జాబితాను మీరు కనెక్ట్ అవుతాయని ఆశించే గుర్తింపులతో పోల్చండి.

తర్వాత ప్రతి ఫైల్ పేరు అక్షరాల పరిమాణం మరియు ఖాళీలతో సహా ప్రభావవంతమైన గుర్తింపుతో సరిగ్గా సరిపోతుందో నిర్ధారించండి. office-laptop కోసం ఫైల్ విషయం Office-Laptop అని చదివే సర్టిఫికెట్కు ఏమీ చేయదు. చివర్లోని ఖాళీలు కూడా సాధారణ జాబితా నుండి దాక్కుంటాయి, అందుకే ఉన్నట్టు కనిపించే ఫైల్ చదవబడకుండా మిగిలిపోతుంది.

గేట్వే లోడ్ చేసే CRL తనిఖీ చేయండి

CRL రద్దు చేసిన సర్టిఫికెట్లను జారీచేసినవారు మరియు సీరియల్ నంబర్ ద్వారా పేర్కొంటుంది, అదే పేరు తనిఖీకి లేని సూక్ష్మత. రెండు సర్టిఫికెట్లు సాధారణ పేరును పంచుకోవచ్చు మరియు సీరియల్ నంబర్లో భిన్నంగా ఉండవచ్చు, సీరియల్ స్థాయి జాబితా మాత్రమే వాటిని వేరు చేస్తుంది.

ఫైల్ను నమ్మే ముందు కాన్ఫిగర్ చేసిన మార్గం, జారీ తేదీ మరియు తదుపరి నవీకరణ ఫీల్డ్ను నిర్ధారించండి.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

మీరు ఉంచుకోవాలనుకునే సర్టిఫికెట్లోని సీరియల్ నంబర్తో CRL లోని సీరియల్ నంబర్ను పోల్చండి. ఆ పోలికే మొత్తం పరీక్ష, ఒకసారి కళ్లతో చేయడం ఎవరూ చదవని స్క్రిప్ట్ను నమ్మడం కంటే విలువైనది. నవీకరించిన CRL ను గేట్వే ఇప్పటికే చదివే మార్గం ద్వారా పంపిణీ చేయండి. తప్పు డైరెక్టరీలో ఉన్న CRL ఏదీ అమలు చేయదు, ఏ క్లయింట్ లాగ్ దాన్ని ప్రస్తావించదు.

భర్తీ చేయండి, తర్వాత రెండు ఫలితాలను నిరూపించండి

అదే సాధారణ పేరుతో భర్తీని జారీ చేయండి, రెండు సీరియల్ నంబర్లను నమోదు చేయండి, తర్వాతే పాతదాన్ని రద్దు చేయండి. ఆ క్రమం మార్పును సిద్ధం చేస్తున్నప్పుడు పనిచేసే గుర్తింపును అందుబాటులో ఉంచుతుంది.

మొదట భర్తీని పరీక్షించండి: అది ప్రామాణీకరించబడి దాని పేరుకు హక్కున్న అన్నిటినీ చేరుకోవాలి. తర్వాత పాత సర్టిఫికెట్ను పరీక్షించి అది తిరస్కరించబడుతుందని నిర్ధారించండి, ఎందుకంటే విజయవంతమైన భర్తీ రద్దు గురించి ఏమీ చెప్పదు. రెండూ ఇంకా కనెక్ట్ అయితే, రద్దు ఇన్పుట్ చదవబడటం లేదు లేదా పాత సీరియల్ నంబర్ ఎప్పుడూ జాబితా చేయబడలేదు. ఏదీ కనెక్ట్ కాకపోతే, మీరు ఆధారాలను కాదు, ప్రవేశ నియమాన్ని పాడు చేశారు.

ఇప్పటికే ఏర్పాటైన సెషన్లు వేరే విషయం, ఎందుకంటే గేట్వే సక్రియ కనెక్షన్లను కత్తిరించడానికి కూడా కాన్ఫిగర్ చేయకపోతే రద్దు కొత్త ప్రామాణీకరణలకే వర్తిస్తుంది. ఎవరికైనా మాట ఇచ్చే ముందు తక్షణ తొలగింపు అవసరమా అని నిర్ణయించండి.

పేరు తనిఖీ ఎప్పటికీ చేయలేనిది

ఈ గుర్తింపు కనెక్ట్ కాగలదా అని అనుమతి జాబితా సమాధానమిస్తుంది. ఆ గుర్తింపు ఏ సర్టిఫికెట్ ఉపయోగించిందో చెప్పలేదు, ఆధారాలు చెల్లుబాటులో ఉండి రద్దు కాకుండా ఉన్నంత కాలం పాత ఆధారాలను అనుమతిస్తుంది. ఆ అంతరం సంఘటన సమయంలో బయటపడుతుంది, భర్తీ నెలల క్రితం జారీ అయి మునుపటిది ఇంకా పనిచేస్తున్నప్పుడు.

సర్టిఫికెట్ స్థాయి నియంత్రణ అవసరమైన చోట, సర్టిఫికెట్ను పేర్కొనే యంత్రాంగాన్ని ఉపయోగించండి: CRL నమోదులు, లేదా ఆపరేటర్ నిర్వహించే వేలిముద్రను తనిఖీ చేసే ధృవీకరణ హుక్. రెండింటికీ నిర్వహణ ఖర్చు ఉంది, రెండూ తాము పరిశీలించే వస్తువు గురించి నిజాయితీగా ఉంటాయి. OpenVPN 2.6 చేతిపుస్తకం ప్రకారం crl-verify మరియు క్లయింట్-నిర్దిష్ట ప్రవేశం వేర్వేరు ఎంపికలుగా నమోదు చేయబడ్డాయి, అదే కారణం కోసం.

ఏ నియంత్రణ ఏ పని చేస్తుందో రాయండి, తర్వాత ప్రతికూల సందర్భాన్ని పరీక్షించండి. కనెక్షన్ను తిరస్కరించడం మీరు ఎప్పుడూ చూడని రద్దు అనేది పనిచేస్తుందని మీరు ఆశించే అమరిక.