పునరుద్ధరించిన VPN సర్టిఫికెట్: కొన్ని క్లయింట్లు ఇప్పటికీ దాన్ని తిరస్కరిస్తున్నాయి

పునరుద్ధరణ తర్వాత సగం వాతావరణం తిరిగి కనెక్ట్ అవుతుంది మరియు మూడు పరికరాలు తిరస్కరిస్తాయి, ప్రతి ఒక్కటి గేట్వే గుర్తింపు గురించి హెచ్చరికతో. పునరుద్ధరణ స్వయంగా సాధారణ పని. ఆ మూడు పరికరాలు పట్టుకున్నది పాత వస్తువుకు పిన్, మరియు పిన్ అనేది CA జాబితా, పేరు తనిఖీ లేదా ట్రస్ట్ స్టోర్ ఎంట్రీ కాదు. ఏదైనా క్లయింట్ను తాకే ముందు మూడు యంత్రాంగాలను పోల్చండి.

ఒక పునరుద్ధరణ, రెండు ప్రవర్తనలు

తిరిగి కనెక్ట్ అయ్యే క్లయింట్లకు ఇంకా పాస్ అయ్యే విశ్వాస నిర్ణయం ఉంది, తిరస్కరించే వారికి కొత్త సర్టిఫికెట్ నెరవేర్చని అవసరం ఉంది. ఆ వ్యత్యాసం సమాచారం, శబ్దం కాదు. విఫలమైన క్లయింట్ సందేశాన్ని ఖచ్చితంగా చదవండి. పేరు సరిపోలకపోవడం, తెలియని జారీదారు మరియు మారిన వేలిముద్ర మూడు వేర్వేరు తీర్పులు, చివరిది మాత్రమే పిన్ను సూచిస్తుంది.

విఫలమైన క్లయింట్ ఏ ప్రొఫైల్ను ఎంచుకుందో కూడా తనిఖీ చేయండి. తన స్వంత స్టోర్లో నివసించే దిగుమతి చేసిన ప్రతి, నిర్వాహకుడు అసలు ఫైల్ను వేరే చోట సవరించినప్పుడు మారదు.

పునరుద్ధరణ తేదీని మాత్రమే కాదు, వస్తువును భర్తీ చేస్తుంది

వేలిముద్ర ఎన్కోడ్ చేసిన సర్టిఫికెట్ కంటెంట్ను గుర్తిస్తుంది. పునరుద్ధరణ కొత్త సర్టిఫికెట్ను సృష్టిస్తుంది, కాబట్టి విషయం పేరు మరియు పబ్లిక్ కీ ఒకేలా ఉన్నప్పటికీ వేలిముద్ర మారుతుంది. CAను విశ్వసించి పేరును ధృవీకరించే క్లయింట్లకు ఇది ఆశించినది మరియు హానికరం కాదు. సరిగ్గా ఒక సర్టిఫికెట్ను అంగీకరించేలా కాన్ఫిగర్ చేయబడిన క్లయింట్కు ఇది ప్రాణాంతకం, మరియు దాని ట్రస్ట్ స్టోర్ కొత్త జారీదారును ఎప్పుడూ పొందని క్లయింట్కు కూడా ఇది ప్రాణాంతకం.

openssl x509 -in server.pem -noout -subject -issuer -dates -fingerprint -sha256
openssl x509 -in server.pem -noout -pubkey | openssl sha256

రెండవ పంక్తి మరో ప్రశ్నకు సమాధానం ఇస్తుంది, కీ జోడి బతికిందా అని. కీని తిరిగి ఉపయోగించే పునరుద్ధరణ ఆ విలువను ఉంచి సర్టిఫికెట్ను మాత్రమే మారుస్తుంది, ఏమీ మారలేదని నిర్వాహకుడు భావించే సందర్భం అదే. అమలు చేసిన సర్టిఫికెట్ను పరిశీలించండి, బిల్డ్ హోస్ట్లో ఉన్నది కాదు. నిల్వలో ఫైల్ను పోల్చడం ఏమి సృష్టించబడిందో రుజువు చేస్తుంది, శ్రోత ఇప్పుడు ఏమి అందిస్తున్నాడో కాదు.

క్లయింట్ ఏమి పిన్ చేస్తుందో చదవండి

కొన్ని క్లయింట్లు తమ ప్రొఫైల్లో వేలిముద్రను ఉంచి ప్రతి కనెక్షన్లో పోలుస్తాయి. మరికొన్ని దాన్ని ప్లాట్ఫారమ్ ట్రస్ట్ స్టోర్లో నిల్వ చేస్తాయి, ఇంకొన్ని CAపై మాత్రమే ఆధారపడతాయి. ప్రతి సందర్భంలో మరమ్మత్తు భిన్నంగా ఉంటుంది, కాబట్టి మొదట యంత్రాంగాన్ని గుర్తించండి.

grep -n 'peer-fingerprint' /etc/openvpn/client/*.conf
openssl s_client -connect gw.lab.example.net:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -fingerprint -sha256

మొదటి ఆదేశం సాంప్రదాయ ప్రొఫైల్లో పిన్ను చూపిస్తుంది; రెండవది ఎండ్పాయింట్ ఇప్పుడు నిజంగా అందిస్తున్న వేలిముద్రను చూపిస్తుంది. అవి రెండూ భిన్నంగా ఉంటే, ఊహించకుండానే మీరు లోపాన్ని కనుగొన్నారు. కొత్త విలువను ఫిర్యాదు చేసే ప్రతి క్లయింట్లో అతికించవద్దు. జారీదారు కారణంగా తిరస్కరించే క్లయింట్ తిరస్కరిస్తూనే ఉంటుంది, సమస్య వేలిముద్ర కాకపోయినా అదే అని మీరు మిమ్మల్ని మీరు ఒప్పించుకుంటారు.

ప్రతి బ్యాకెండ్ అందించే సర్టిఫికెట్ను పోల్చండి

అడపాదడపా వచ్చే ఫలితాలు సాధారణంగా ఒకటి కంటే ఎక్కువ ఎండ్పాయింట్లను సూచిస్తాయి, ఒక నోడ్పై వర్తించిన పునరుద్ధరణ మిగిలినవి పాత వస్తువును అందించేలా వదిలివేస్తుంది. ప్రతి బ్యాకెండ్ను పంచుకున్న పేరుతో కాదు, చిరునామాతో పోల్చండి.

for h in 10.30.0.11 10.30.0.12; do echo "$h"; openssl s_client -connect $h:443 -servername gw.lab.example.net < /dev/null 2>&1 | openssl x509 -noout -subject -dates -fingerprint -sha256; done

ఒక నోడ్ వెనుకబడిన పూల్, రెండవ ప్రయత్నంలో కనెక్ట్ అయి మొదటి ప్రయత్నంలో విఫలమయ్యే క్లయింట్ను వివరిస్తుంది. వినియోగదారులు ఫిర్యాదు చేస్తున్నప్పుడు పాస్ అయ్యే పర్యవేక్షణ తనిఖీని కూడా ఇది వివరిస్తుంది. మొదట వెనుకబడటాన్ని సరిచేయండి. ప్రతి నోడ్ కొత్త సర్టిఫికెట్ను అందించే ముందు విశ్వాస కాన్ఫిగరేషన్ను రోల్ చేయడం ఏమీ పనిచేయని విండోను సృష్టిస్తుంది, తర్వాత రోల్ చేయడం క్లయింట్లను అనూహ్యంగా విఫలమయ్యేలా వదిలివేస్తుంది.

నిర్వహిత మార్గం ద్వారా విశ్వాసాన్ని మార్చండి

ఎక్కడైనా అంగీకరించే ముందు ఇప్పటికే విశ్వసనీయమైన పరిపాలనా ఛానెల్ ద్వారా భర్తీని నిర్ధారించండి. నమ్మదగిన గడువు తేదీ యాజమాన్యానికి రుజువు కాదు. నిర్వహిత కాన్ఫిగరేషన్ను దాన్ని కలిగి ఉన్న ప్రక్రియ ద్వారా నవీకరించండి, ఆమోదయోగ్యమైన గుర్తింపుల ప్రణాళికాబద్ధమైన అతివ్యాప్తితో, మరియు మోహరింపు కోరే పేరు ధృవీకరణను ఉంచండి. పేరు తనిఖీ లేని పిన్, అది భర్తీ చేసిన CA విశ్వాసం కంటే బలహీనమైన రూపకల్పన.

తర్వాత ప్రతి క్లయింట్కు ధృవీకరించండి, కనెక్ట్ అవ్వండి, అది అంగీకరించిన గుర్తింపును నిర్ధారించండి, ఇప్పుడు అది విశ్వసించే సర్టిఫికెట్ వెర్షన్ను గుర్తించండి. ఒకసారి తిరస్కరించిన హెచ్చరిక తదుపరి పునరుద్ధరణలో తిరిగి వచ్చే అలవాటు ఉంది.