ధృవపత్రాలు చెల్లుబాటులో ఉన్నప్పుడు కొత్త VPN లాగిన్లు విఫలమవుతాయి: CRL తనిఖీ చేయండి

నెలలు మిగిలిన ధృవపత్రాలు మరియు వెంటనే విఫలమయ్యే లాగిన్లు వేర్వేరు గడియారాలతో ఉన్న రెండు వేర్వేరు వస్తువులను సూచిస్తాయి. సర్వర్ కనెక్షన్లను తిరస్కరిస్తోంది, ఎందుకంటే అది సంప్రదించే రద్దు చేయబడిన ధృవపత్రాల జాబితా దాని స్వంత గడువు తేదీని దాటిపోయింది, వినియోగదారుల ధృవపత్రాలు పాతబడటం వల్ల కాదు. వినియోగదారు ధృవపత్రాన్ని పునరుద్ధరించడం ఆ జాబితాకు ఏమీ చేయదు.

ఆ రెండు షెడ్యూల్లను వేరు చేయడమే మొత్తం నిర్ధారణ, మరియు అది పరిష్కారం ఎలా ఉండాలో మారుస్తుంది.

రెండు గడియారాలు, వాటిలో ఒకటి మాత్రమే ధృవపత్రం

ఒక ధృవపత్రం చెల్లుబాటు వ్యవధిని కలిగి ఉంటుంది. రద్దు చేయబడిన ధృవపత్రాల జాబితా దాని స్వంత వ్యవధిని, అదనంగా జారీ చేసినవారిని మరియు సంతకాన్ని కలిగి ఉంటుంది, తదుపరి నవీకరణ సమయం దాటిపోయిన జాబితాను నమ్మడానికి ధృవీకర్తలు నిరాకరిస్తారు. అది జరిగినప్పుడు, క్లయింట్ పూర్తిగా చెల్లుబాటు అయ్యే ధృవపత్రాన్ని సమర్పిస్తాడు, అయినప్పటికీ సర్వర్ జాబితా గురించి సందేశంతో కనెక్షన్ను వదిలివేస్తుంది. వినియోగదారులు ఆ సందేశాన్ని 'ధృవపత్రం గడువు ముగిసింది' అని చదువుతారు, ఇది పునరుద్ధరణ అభ్యర్థనను తప్పు ప్రదేశానికి పంపుతుంది.

ఆ రెండు వస్తువులకు వేర్వేరు యజమానులు కూడా ఉన్నారు: ధృవపత్రం దానిని జారీ చేసిన CA నుండి వస్తుంది, అయితే జాబితాను ఆ CA నిర్వహించే వారు షెడ్యూల్ ప్రకారం సృష్టిస్తారు. వినియోగదారు దాన్ని రిఫ్రెష్ చేయలేరు, ధృవపత్రాలను మళ్లీ జారీ చేయడం దానిని పొడిగించలేదు.

సేవ వాస్తవంగా లోడ్ చేసే జాబితాను చదవండి

మీరు ఆశించే ఫైల్ నుండి కాదు, నడుస్తున్న కాన్ఫిగరేషన్ నుండి ప్రారంభించండి. crl-verify మార్గం సంపూర్ణంగా, ప్రొఫైల్కు సాపేక్షంగా, లేదా ఇమేజ్లో పొదిగిన నకలుగా ఉండవచ్చు, ధృవీకర్త ఆ నకలును చదువుతాడు. openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate తో దాన్ని అక్కడే పరిశీలించి, తేదీలను సర్వర్ గడియారంతో పోల్చండి.

ఆపై ఆ ఫైల్ నిజంగా వాడుకలో ఉన్నదేనని నిర్ధారించండి: openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout తో దాని సంతకాన్ని తనిఖీ చేయండి, అది ఫీల్డ్లను నిశ్శబ్దంగా ముద్రించడం బదులు ధృవీకరణ ఫలితాన్ని నివేదిస్తుంది. వేరే CA సంతకం చేసిన జాబితా, లేదా రెండవ డైరెక్టరీలో మిగిలిన పాత నకలు, గడువు ముగిసిన దానిలాగే విఫలమవుతుంది.

మొదటి నుండి కాదు, రద్దు డేటాబేస్ నుండి మళ్లీ సృష్టించండి

కొత్త జాబితా CA యొక్క ప్రస్తుత రద్దు డేటాబేస్ నుండి, ఆమోదించబడిన సంతకం ప్రక్రియ ద్వారా రావాలి. ఖాళీ జాబితాను సృష్టించడం, లేదా సూచిక యొక్క పాత బ్యాకప్ నుండి మళ్లీ సృష్టించడం, ఆ బ్యాకప్ తర్వాత జోడించిన ప్రతి గుర్తింపు రద్దును నిశ్శబ్దంగా రద్దు చేస్తుంది. అది లాగిన్ అంతరాయాన్ని భద్రతా క్షీణతగా మారుస్తుంది, లక్షణం మాయమవడంతో ఎవరూ గమనించరు.

సృష్టించే దశను మిగతా CA సాధనాలతో పాటు వెర్షన్ నియంత్రణలో ఉంచండి, తద్వారా విరామం మరియు సంతకం కీ గుర్తుంచుకోవడం బదులు డాక్యుమెంట్ చేయబడతాయి. ఆదేశాన్ని, సంతకం చేసేవారిని మరియు ప్రచురణ లక్ష్యాన్ని పేర్కొనే ఆపరేషన్ మాన్యువల్ నమోదు సరిపోతుంది. డ్యూటీలో ఉన్న ఎవరైనా ఏ సూచిక ఫైల్ అధికారికమో ఊహించకుండా మళ్లీ సృష్టించగలరు. జాబితా క్రమ సంఖ్యను మరియు తదుపరి నవీకరణ సమయాన్ని అమరిక రికార్డుతో పాటు నిల్వ చేయండి.

ధృవీకర్త చూసే చోట అమర్చండి

కొత్త జాబితాను సేవ చదివే మార్గానికి కాపీ చేయండి, సేవ ఖాతా చదవగలిగేలా కానీ ఇతరులు చదవలేని విధంగా యాజమాన్యాన్ని మరియు మోడ్ను సెట్ చేయండి, ఆపై డాక్యుమెంట్ చేసిన ప్రవర్తన ప్రకారం మళ్లీ లోడ్ చేయండి లేదా పునఃప్రారంభించండి. నేపథ్య సేవ ప్రారంభంలో జాబితాను కాష్ చేస్తే, మళ్లీ లోడ్ చేయకుండా ఫైల్ను భర్తీ చేయడం నడుస్తున్న ప్రక్రియ గమనించే ఏదీ మార్చదు. మళ్లీ లోడ్ చేసిన తర్వాత ప్రక్రియ నివేదించే టైమ్స్టాంప్ను నిర్ధారించండి.

అనేక సేవలు క్లయింట్లను ధృవీకరిస్తే, వాటిలో ప్రతిదానికీ అమర్చండి. ఒక ఎండ్పాయింట్ను నవీకరించి మరొకదాన్ని పాత నకలుతో వదిలేయడం, రెండవదానికి చేరే వినియోగదారులకు మాత్రమే కనిపించే వైఫల్యాన్ని సృష్టిస్తుంది. ఆ ఎండ్పాయింట్ల చిన్న జాబితాను అదే ఆపరేషన్ మాన్యువల్లో ఉంచండి. ప్రారంభించిన తర్వాత, నకలు చేరిందని ఊహించడం బదులు ప్రతిదీ నివేదించే జాబితా తేదీని తనిఖీ చేయండి.

తదుపరి గడువు గడవకముందే కనిపించేలా చేయండి

ఎక్కువ ప్రచురణ విరామం ప్రక్రియను సృష్టించకుండా ఈ సంఘటన పౌనఃపున్యాన్ని తగ్గిస్తుంది. నిర్వాహకుని విధానం నుండి విరామాన్ని ఎంచుకోండి, ఆపై మళ్లీ సృష్టించి అమర్చడానికి సరిపోయే ముందస్తు సమయంతో అమర్చిన జాబితా యొక్క తదుపరి నవీకరణ ఫీల్డ్పై హెచ్చరికలు సెట్ చేయండి. అమర్చిన నకలుపై హెచ్చరికలు పెట్టండి, CA సర్వర్పై కాదు, ఎందుకంటే విఫలమయ్యేది అమర్చిన నకలే.

అమర్చిన తర్వాత రెండు దిశలను ధృవీకరించండి: అనుమతించిన వినియోగదారు కనెక్ట్ అవుతాడు, మరియు తెలిసిన రద్దు చేయబడిన గుర్తింపు ఇప్పటికీ విఫలమవుతుంది. రెండవ తనిఖీ అసంపూర్ణ పునఃసృష్టిని పట్టుకుంటుంది, మరియు ఇది ఈ ప్రయోజనం కోసమే మీరు ఉంచే పరీక్ష ప్రొఫైల్కు వ్యతిరేకంగా ఒక ఆదేశం మాత్రమే తీసుకుంటుంది.