VPN ధృవపత్రాన్ని దాని గుర్తింపును మార్చకుండా పునరుద్ధరించడం

గుర్తింపును మార్చే ధృవపత్ర పునరుద్ధరణ పునరుద్ధరణ కాదు, అది నిర్వహణ టికెట్ ధరించిన వలస. క్లయింట్ పేరు, గొలుసు మరియు కొన్నిసార్లు నిర్దిష్ట కీని ధృవీకరిస్తుంది, మూడూ గడువు తేదీ మారకుండా మారవచ్చు. భర్తీని అభ్యర్థించే ముందు క్లయింట్ నిజంగా ఏమి తనిఖీ చేస్తుందో రాయండి: హోస్ట్ పేరు లేదా పీర్ గుర్తింపు, ధృవపత్రం యొక్క ఉద్దేశం, కీ విధానం మరియు జారీ చేసే గొలుసు. భర్తీ ఇవి ఏది మారుస్తుంది అనే దానిపై పునరుద్ధరణ సాధారణమా లేదా సమన్వయమా అనేది ఆధారపడి ఉంటుంది.

మూడు షరతులు పునరుద్ధరణ ఆకారాన్ని నిర్ణయిస్తాయి

మూడు షరతులు: ఏదైనా ఆకును పిన్ చేస్తుందా, గొలుసు మారుతుందా, పేరును ఇంకా ఎవరు ధృవీకరిస్తారు. CA సౌలభ్యం నుండి కాదు, క్లయింట్ వైపు నుండి సమాధానం ఇవ్వండి, ఎందుకంటే రాత్రి మూడు గంటలకు విఫలమయ్యేది క్లయింట్.

మీ దగ్గర ఉన్న ధృవపత్రాన్ని పరిశీలించడంతో ప్రారంభించండి. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName విషయం, జారీచేసినవారు, చెల్లుబాటు విండో మరియు ధృవపత్రం నిజంగా చెల్లుబాటు అయ్యే పేర్లను ముద్రిస్తుంది. ఆ చివరి ఫీల్డ్ అత్యంత ముఖ్యమైనది మరియు ఎక్కువగా ఊహించబడేది: క్లయింట్ ఆధారపడే SANని వదిలివేసే పునరుద్ధరణ అభ్యర్థన సాంకేతికంగా చెల్లుబాటు అయ్యే కానీ కార్యాచరణపరంగా తప్పు ధృవపత్రాన్ని ఇస్తుంది. పాత ధృవపత్రం నుండి SAN జాబితాను జ్ఞాపకం నుండి మళ్లీ టైప్ చేయకుండా అభ్యర్థనలోకి కాపీ చేయండి.

మొదటి షరతు: ఏదైనా ఆకును పిన్ చేస్తుందా

క్లయింట్లు నిర్వహించబడే CAని నమ్మి పేరును ధృవీకరిస్తే, కొత్త కీతో ఆకు పునరుద్ధరణ వారికి కనిపించదు. ఏదైనా క్లయింట్ ఆకు ధృవపత్రాన్ని, దాని వేలిముద్రను లేదా దాని పబ్లిక్ కీని పిన్ చేస్తే, భర్తీ కఠినమైన మార్పుతో కూడిన సమన్వయ మార్పు, ఎందుకంటే పాత పిన్ కొత్త ధృవపత్రాన్ని ధృవీకరించలేదు.

ఏదైనా ఆర్డర్ చేయడానికి ముందు మీరు ఏ సందర్భంలో ఉన్నారో తెలుసుకోండి. ఎవరూ డాక్యుమెంట్ చేయని పిన్ విరిగినప్పుడు కూడా పిన్.

రెండవ షరతు: పిన్లు మరియు గొలుసును పోల్చండి

వేలిముద్రలు పిన్ను తనిఖీ చేయదగినదిగా చేస్తాయి: పాత మరియు కొత్త ధృవపత్రంలో openssl x509 -noout -fingerprint -sha256 -in server.crt, మరియు పబ్లిక్ కీలను పోల్చడానికి openssl x509 -noout -pubkey. క్లయింట్ కాన్ఫిగరేషన్, మొబైల్ ప్రొఫైల్ లేదా పరికరం యొక్క నమ్మక నిల్వ ఆ విలువలలో ఒకటి కలిగి ఉంటే, మీకు పిన్ ఉంది. మొబైల్ VPN ప్రొఫైల్లు సాధారణ దాచుకునే ప్రదేశం, ఎందుకంటే ప్రొఫైల్ ఒకసారి పంపిణీ అవుతుంది మరియు మళ్లీ ఎప్పుడూ తనిఖీ చేయబడదు.

భర్తీ అదే మధ్యవర్తి నుండి వచ్చి, క్లయింట్ దానిని ఇప్పటికే కలిగి ఉంటే లేదా పొందగలిగితే, నమ్మకం వైపు ఏమీ మారదు. కొత్త మధ్యవర్తి, వేరే జారీచేసినవారు లేదా తప్పు క్రమంలో పంపిన గొలుసు పునరుద్ధరణను నమ్మకం మార్పుగా మారుస్తాయి, మరియు వైఫల్యం గడువు ముగిసిన ధృవపత్రం లాగా కాకుండా తెలియని జారీచేసినవారు లాగా కనిపిస్తుంది.

సర్వర్ నిజంగా పంపే గొలుసును openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts తో తనిఖీ చేయండి, మరియు openssl verify -CAfile ca.pem -untrusted chain.pem server.crt తో స్థానికంగా ధృవీకరించండి. మార్పుకు ముందు ఇలా చేయడం తర్వాత పోల్చడానికి మీకు ఆధార రేఖను ఇస్తుంది.

మూడవ షరతు: పేరును ఇంకా ఎవరు ధృవీకరిస్తారు

VPN కన్సంట్రేటర్, లోడ్ బ్యాలెన్సర్, మానిటరింగ్ ప్రోబ్, RADIUS లేదా SAML ఇంటిగ్రేషన్ మరియు మొబైల్ ప్రొఫైల్ ప్రతి ఒక్కటి ఆశించిన పేరు లేదా నమ్మక యాంకర్ యొక్క స్వంత కాపీని కలిగి ఉండవచ్చు. ఆ కాపీలు విడిపోయే క్షణమే పునరుద్ధరణ, ఎందుకంటే ధృవపత్రం మారుతుంది, కాపీలు మారవు.

మార్పుకు ముందు ప్రతి వినియోగదారుని జాబితా చేయండి మరియు ప్రతి ఒక్కరికి నవీకరణ అవసరమా అని నిర్ణయించండి. మీరు మరచిపోయేదే మిమ్మల్ని పిలుస్తుంది.

సమయ ఉచ్చు కూడా ఉంది. గడువుతో పాటు చెల్లుబాటు ప్రారంభాన్ని కూడా పరిశీలించండి, ఎందుకంటే తర్వాత యాక్టివేషన్ కోసం సిద్ధం చేసిన ధృవపత్రం చాలా తొందరగా ఇన్స్టాల్ చేస్తే తిరస్కరించబడుతుంది, మరియు లోపం సిద్ధత సమస్యలా కాకుండా గడియార సమస్యలా కనిపిస్తుంది. మోహరించడానికి ముందు కొత్త ఫైల్పై openssl x509 -noout -dates రెండు సెకన్ల తనిఖీ. మద్దతు ఉన్న రికవరీ మార్గం మరియు తెలిసిన మంచి కాన్ఫిగరేషన్ను కూడా ఉంచండి, తద్వారా తప్పు జరిగిన పునరుద్ధరణ మునుపటి ధృవపత్రం మరియు కీని పునరుద్ధరించడం ద్వారా తిరిగి మార్చబడుతుంది.

మోహరించండి, కొత్త ప్రామాణీకరణతో ధృవీకరించండి, ఆపై తొలగించండి

స్థాపించిన టన్నెల్ అది నిర్మించినప్పుడు జరిగిన ధృవీకరణను ప్రతిబింబిస్తుంది, కాబట్టి ప్రతి కొత్త కనెక్షన్ విఫలమైనప్పుడు కూడా అది ఆరోగ్యంగా కనిపించవచ్చు. క్లయింట్లు ఉపయోగించే నిజమైన సేవా పేరును ఉపయోగించి కొత్త ప్రామాణీకరణతో పరీక్షించండి.

వినియోగదారుకు ముఖ్యమైన అప్లికేషన్ స్థాయి తనిఖీని పూర్తి చేయండి, మరియు గొలుసు పంపిణీని సర్వర్ దృష్టికోణం నుండి కాకుండా క్లయింట్ దృష్టికోణం నుండి నిర్ధారించండి. మార్పును నిశ్శబ్దంగా ఉంచడానికి పేరు లేదా ధృవపత్ర తనిఖీలను అణచివేయవద్దు; అది తాత్కాలిక అనుకూలత సమస్యను శాశ్వతంగా మారుస్తుంది.

పాతబడిన పదార్థాన్ని మోహరింపు ధృవీకరించిన తర్వాత మాత్రమే తొలగించండి, మరియు రాజీ పడిన కీని పూర్తిగా వేరే కేసుగా పరిగణించండి: పునరుద్ధరణ ఒక్కటే ఏదీ రద్దు చేయదు, కాబట్టి ప్రభావిత గుర్తింపుకు మోహరింపు యొక్క రద్దు మరియు సెషన్ నిర్వహణ ప్రక్రియ అవసరం. RFC 5280 ఇవన్నింటికీ అంతర్లీనంగా ఉన్న ధృవపత్రం మరియు మార్గ ధృవీకరణ నియమాలను నిర్వచిస్తుంది. సాధారణ ఆకు పునరుద్ధరణను CA భర్తీ నుండి వేరుగా ఉంచండి, తద్వారా క్లయింట్లను కారణం లేకుండా కొత్త జారీచేసినవారిని నమ్మమని అడగరు.