మీ VPN క్లయింట్ సర్టిఫికెట్ను నమ్మే ముందు ఏమి తనిఖీ చేస్తుంది

మీ VPN క్లయింట్ సర్టిఫికెట్ను ధృవీకరించలేకపోయామని చెబుతుంది, మరియు సంభాషణ అక్కడే ఆగిపోతుంది. ఫైల్ ఉంది, సర్వర్ నడుస్తోంది, అదే ప్రొఫైల్ గత నెల మరో ల్యాప్టాప్లో పనిచేసింది. ఆ ఒక-వరుస హెచ్చరిక కింద క్లయింట్ పీర్ సర్టిఫికెట్ను నాలుగు ద్వారాల గుండా పంపింది: మీరు కాన్ఫిగర్ చేసిన సర్టిఫికెట్ అథారిటీ సంతకం మార్గానికి హామీ ఇస్తుంది, ఆ మార్గం అథారిటీని చేరుతుంది, పీర్ పేరు మీరు అడిగినదే, మరియు సర్టిఫికెట్ ఇప్పుడు ఈ ఉద్దేశానికి ఉపయోగించదగినది. మూసివేయబడిన ద్వారాన్ని కనుగొనండి, మరమ్మతు సాధారణంగా ఒక ఫైల్; ఆ అడుగును దాటవేస్తే మధ్యాహ్నం మొత్తం బండిల్లను మళ్లీ దిగుమతి చేస్తారు.

ప్రొఫైల్ను సవరించే ముందు సంభాషణను చదవండి

సర్టిఫికెట్ లోపాల పదాలను కింది లైబ్రరీ రూపొందిస్తుంది, మీరు ఇన్స్టాల్ చేసిన VPN ఉత్పత్తి కాదు, కాబట్టి ఖచ్చితమైన స్ట్రింగ్ మీ మొదటి సాక్ష్యం. «స్థానిక జారీదారు సర్టిఫికెట్ పొందలేము» మార్గాన్ని లేదా నమ్మక యాంకర్ను సూచిస్తుంది. «సర్టిఫికెట్ గడువు ముగిసింది లేదా ఇంకా చెల్లదు» సమయాన్ని సూచిస్తుంది. «మద్దతు లేని సర్టిఫికెట్ ఉద్దేశం» విస్తరించిన కీ వినియోగాన్ని సూచిస్తుంది. పేరు సరిపోకపోవడం ఏ పేరు కావాలో చెబుతుంది. నాలుగింటిలో ఏదీ క్లయింట్ను మళ్లీ ఇన్స్టాల్ చేయడం వల్ల సరిచేయబడదు.

ఏదైనా మార్చే ముందు లాగ్ స్థాయిని పెంచండి. OpenVPN --verb 4 తో నడిపినప్పుడు చేతిపిల్ల సుత్తి చుట్టూ ధృవీకరణ వైఫల్యాన్ని నివేదిస్తుంది, strongSwan తన గుర్తింపు మరియు గొలుసు నిర్ణయాలను charon లాగ్లో రాస్తుంది. తర్వాత మీరు ఏ సర్టిఫికెట్ను పరిశీలిస్తున్నారో నిర్ధారించండి, ఎందుకంటే ప్రజలు సాధారణంగా డిస్క్లోని ఫైల్ను పరీక్షిస్తారు కానీ ప్రొఫైల్ పాత కాపీని లోపల ఉంచుతుంది. ప్రొఫైల్ PEM బ్లాక్లను లోపల ఉంచినప్పుడు, లోపల ఉంచిన సర్టిఫికెటే పరీక్షించబడుతుంది.

సర్టిఫికెట్ అథారిటీ గుర్తింపులపై సంతకం చేస్తుంది, అనుమతులపై కాదు

అథారిటీ ఒక పేరు మరియు ఒక సంతకం కీని కలిగి ఉంటుంది. అది తన విధానం ప్రకారం పబ్లిక్ కీని ఆ పేరుకు కట్టే సర్టిఫికెట్లను జారీ చేస్తుంది, చెల్లుబాటు విండో మరియు వినియోగ పరిమితులు జోడించబడతాయి. మీ క్లయింట్కు జారీదారును గుర్తించడానికి అథారిటీ సర్టిఫికెట్ మాత్రమే అవసరం; దానికి సంతకం కీ ఎప్పటికీ అవసరం లేదు, ఆ కీని క్లయింట్లకు పంపడం అమలు నమ్మే ఏ గుర్తింపునైనా సృష్టించే సామర్థ్యాన్ని వారికి ఇస్తుంది.

అథారిటీని నమ్మడం అది సంతకం చేసిన ప్రతి సర్టిఫికెట్ను అభ్యర్థిగా చేస్తుంది, సరైన పీర్గా కాదు. అదే అంతర్గత CA యొక్క వెబ్ సర్వర్ సర్టిఫికెట్ కూడా అభ్యర్థి. అందుకే పేరు మరియు ఉద్దేశ ద్వారాలు ఉన్నాయి, అందుకే రాజీపడిన CA కీ ఏ ఒక్క సర్వర్ కంటే ముఖ్యం: అది అథారిటీ ఎప్పుడైనా జారీ చేసిన ప్రతి గుర్తింపును చేరుతుంది. ప్రతి పరికరానికి ప్రత్యేక క్లయింట్ సర్టిఫికెట్లు ఇవ్వండి, తద్వారా పోయిన ల్యాప్టాప్ మొత్తం అమలు కీ మార్పిడి కాదు, ఒక రద్దు అవుతుంది.

క్లయింట్ నిర్మించడానికి ప్రయత్నిస్తున్న మార్గాన్ని మళ్లీ నిర్మించండి

మార్గం పీర్ సర్టిఫికెట్ నుండి ప్రారంభమై సున్నా లేదా అంతకంటే ఎక్కువ మధ్యవర్తి సర్టిఫికెట్ల గుండా మీ నమ్మక నిల్వలోని మూలాన్ని చేరుతుంది. తప్పిపోయిన మధ్యవర్తి సర్టిఫికెట్ అత్యంత సాధారణ గొలుసు వైఫల్యం, మరియు క్లయింట్ వైపు నుండి అది నమ్మలేని మూలం లాగానే కనిపిస్తుంది. మొదట ఆకును చదవండి, తర్వాత మీరు పంపబోయే పదార్థం నుండి OpenSSL మార్గాన్ని నిర్మించనివ్వండి.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

సున్నా నిష్క్రమణ స్థితి అంటే ఆ ఫైల్ల నుండి మార్గం నిర్మించబడింది; వైఫల్యం చేరుకోలేని సర్టిఫికెట్ను పేర్కొంటుంది. openssl verify విజయవంతమైనా క్లయింట్ ఇంకా నిరాకరిస్తే, తేడా సర్వర్ వాస్తవంగా ఏమి పంపుతుంది లేదా ప్రొఫైల్ ఏ నమ్మక ఫైల్ను లోడ్ చేస్తుంది అనేదానిలో ఉంటుంది. OpenVPN లో మధ్యవర్తి సర్టిఫికెట్లు సర్వర్ సర్టిఫికెట్ ఫైల్తో పాటు వెళ్లవచ్చు లేదా --extra-certs తో విడిగా ఇవ్వవచ్చు, ఒకే విషయ పేరు కింద రాసిన రెండు మూలాలున్న బండిల్ మీ క్లయింట్లలో ఒకదాన్ని తప్పు శాఖలోకి పంపుతుంది.

పేరు మరియు ఉద్దేశం వేర్వేరు ద్వారాలు

గొలుసు నిర్మాణం పేరు మీదేనా అని ఎప్పుడూ అడగదు. ప్రొఫైల్ --verify-x509-name సెట్ చేసినప్పుడు మాత్రమే OpenVPN దాన్ని తనిఖీ చేస్తుంది, మరియు సాధారణ పేరును మాత్రమే సరిపోల్చే పాత అలవాటు గుర్తింపులు subjectAltName లో నివసించే సర్టిఫికెట్లపై విరిగిపోతుంది. IKEv2 అమలులు కాన్ఫిగర్ చేసిన గుర్తింపును SAN నమోదులతో లేదా విశిష్ట పేరుతో సరిపోలుస్తాయి, క్లయింట్ను బట్టి, మరియు వైల్డ్కార్డ్ లేదా %any విలువ మీరు ఉందనుకున్న పోలికను నిశ్శబ్దంగా ఆఫ్ చేస్తుంది.

తర్వాత సమయం మరియు ఉద్దేశం వస్తాయి. గడియారం కొన్ని గంటలు ముందుండే ల్యాప్టాప్ ఇంకా చెల్లని సర్టిఫికెట్ను తిరస్కరిస్తుంది, మరియు గడువు ముగిసిన మధ్యవర్తి సర్టిఫికెట్ ఆకు చెల్లుబాటులో ఉన్నప్పటికీ మార్గాన్ని విఫలం చేస్తుంది. ఉద్దేశ వైఫల్యాలు విస్తరించిన కీ వినియోగంలో serverAuth లేని సర్టిఫికెట్ నుండి లేదా చేతిపిల్ల సుత్తి సంతకాన్ని అనుమతించని keyUsage నుండి వస్తాయి, దాన్ని OpenSSL మద్దతు లేని సర్టిఫికెట్ ఉద్దేశంగా నివేదిస్తుంది. సరైన టెంప్లేట్ నుండి మళ్లీ జారీ చేయండి; ఆ సందేశంలో ధృవీకరణను ఆఫ్ చేయడానికి ఏ కారణం లేదు.

రద్దు ఎవరైనా దాన్ని కాన్ఫిగర్ చేస్తేనే పనిచేస్తుంది

CRL లేదా OCSP ప్రతిస్పందన స్వయంచాలకంగా సంప్రదించబడదు. OpenVPN సర్వర్లో క్లయింట్ సర్టిఫికెట్లు జాబితాతో --crl-verify ఒకదాన్ని సూచిస్తేనే పోల్చబడతాయి. సర్వర్ సర్టిఫికెట్ యొక్క క్లయింట్-వైపు తనిఖీ అమలుపై ఆధారపడి ఉంటుంది మరియు తరచుగా ఉండదు. strongSwan పీర్ కోసం CRL చూసే ముందు తన రద్దు ప్లగిన్ మరియు విధానం అవసరం.

అదే మీరు చివరికి పొందే టికెట్ను వివరిస్తుంది: రద్దు చేసిన క్లయింట్ సర్టిఫికెట్ ఇంకా కనెక్ట్ అవుతుంది, మరియు అందరూ రద్దు పాడైందని నిర్ధారణకు వస్తారు. ఏదీ తనిఖీ చేయడం లేదు. CRL ప్రచురించి రిఫ్రెష్ చేయండి, లేదా క్లయింట్ సర్టిఫికెట్లను పాత రద్దు కొద్దికాలం మాత్రమే ముఖ్యమయ్యేంత స్వల్పాయుష్కంగా ఉంచండి, మరియు సంఘటన సమయంలో అవసరమయ్యే ముందు ప్రయోగశాల సర్టిఫికెట్పై రద్దు మార్గాన్ని సాధన చేయండి.

ధృవీకరణను ఆన్లో ఉంచే మరమ్మతు క్రమం

ఫైళ్లను తాకే ముందు లక్షణం ప్రకారం క్రమబద్ధీకరించండి, ఎందుకంటే పట్టికలోని ప్రతి వరుస మిమ్మల్ని వేరే వస్తువుకు పంపుతుంది.

జాబితాను ఒకే పర్యాయంలో పూర్తి చేయండి: ప్రొఫైల్ లోడ్ చేసే ఫైల్ను నిర్ధారించండి, మార్గాన్ని మీరే నిర్మించండి, సర్వర్ మధ్యవర్తి సర్టిఫికెట్ను పంపుతుందో లేదో తనిఖీ చేయండి, గడియారాన్ని పోల్చండి, SAN చదవండి, EKU చదవండి, తర్వాత మళ్లీ కనెక్ట్ అయ్యి అదే లాగ్ లైన్ మాయమవడం చూడండి. పరికరానికి CA అస్సలు ఇవ్వలేకపోతే, పిన్నింగ్ నిజాయితీ ప్రత్యామ్నాయం, ఎందుకంటే OpenVPN 2.6 --peer-fingerprint ను అంగీకరించి తనిఖీని తొలగించడం బదులు నమ్మకాన్ని ఒక కీకి సంకోచిస్తుంది. ఈ క్షేత్రాలలో ప్రతిదాని అర్థానికి RFC 5280 సూచన.