AWS Client VPN: کلائنٹ سرٹیفکیٹ کون سا CA جاری کرے؟
موجودہ CA، خود ساختہ جاری کنندہ اور AWS Private CA کام کو مختلف طریقے سے تقسیم کرتے ہیں۔ لانچ سے پہلے طے کریں کہ کلائنٹ سرٹیفکیٹ کون منظور کرتا ہے، تجدید کرتا ہے اور منسوخ کرتا ہے۔
AWS Client VPN پر سرٹیفکیٹ کا سوال مصنوعات کے سوال کے طور پر پوچھا جاتا ہے، جبکہ حقیقت میں یہ آپریشن کا سوال ہے۔ عام تین ترتیبوں میں سے کوئی بھی کام کرنے والا ٹنل برقرار رکھے گا: موجودہ تنظیمی CA، مخصوص خود ساختہ جاری کنندہ، یا AWS Private CA۔ یہ اس بات میں مختلف ہیں کہ ڈیوائس کون منظور کرتا ہے، دستخط کی کلید کس کے پاس رہتی ہے، اور نامناسب وقت پر لیپ ٹاپ گم ہونے پر کون جواب دیتا ہے۔ وہ آپشن چنیں جس کے مالک کا نام آپ بتا سکیں۔
AWS سرٹیفکیٹ کی بنیاد پر تصدیق کے لیے Private CA لازمی نہیں کرتا۔ ACM میں سرور سرٹیفکیٹ رکھنا تعیناتی کا مرحلہ ہے، رجسٹریشن کا عمل نہیں۔
وہ تین شرطیں جو اسے طے کرتی ہیں
تین شرطیں آپشنز کو واضح طور پر الگ کرتی ہیں: کیا منظور شدہ ڈیوائس رجسٹریشن کا عمل پہلے سے موجود ہے، کیا آپ بیک اپ اور نامزد مالک کے ساتھ دستخط کی کلید چلا سکتے ہیں، اور منسوخی آخری نقطے تک کیسے پہنچتی ہے۔ ہر ایک ہاں یا ناں کے قریب ہے، اور پہلی ناں عام طور پر ساخت کا تعین کرتی ہے۔
انہیں ترتیب سے دیکھیں۔ سیدھا لاگت کے موازنے کی طرف چھلانگ لگانا ہی وہ طریقہ ہے جس سے ٹیمیں منظم CA کے ساتھ رہ جاتی ہیں اور کسی کو معلوم نہیں ہوتا کہ اگلا لیپ ٹاپ سرٹیفکیٹ کون جاری کرے گا۔
| Option | You still own | Fits when |
|---|---|---|
| Existing organizational CA | Enrollment, approvals, revocation list | A device process already exists |
| Self-run issuer | Signing-key custody, backups, revocation list | You can staff key custody |
| AWS Private CA | Policy, permissions, certificate delivery | Your PKI already lives in AWS |
پہلی شرط: کیا رجسٹریشن پہلے سے ہے؟
اگر آپ کا ادارہ پہلے سے منظور شدہ ڈیوائس رجسٹریشن راستے والا CA چلاتا ہے، تو وہاں سے Client VPN کلائنٹ سرٹیفکیٹ جاری کرنا سب سے چھوٹا راستہ ہے۔ منظوریاں، عمل اور اثاثہ جات کے ریکارڈ پہلے سے وہاں ہیں۔ اس درجہ بندی کے تحت مخصوص ماتحت جاری کنندہ عام مقصد والے جاری کنندہ CA سے عام طور پر بہتر ہوتا ہے، کیونکہ یہ VPN کو اپنی اعتماد کی حد اور اپنی منسوخی کی فہرست دیتا ہے۔ وہ فہرست درجہ بندی کے باقی حصے سے الگ رکھیں تاکہ کوئی VPN واقعہ پورے PKI میں تبدیلی نہ تھوپے۔
اگر ایسا عمل نہیں ہے، تو اصل سوال یہ ہے کہ کیا آپ ایک بنانا چاہتے ہیں۔ CA شروع کرنا آسان ہے اور بری طرح رکھنا مہنگا۔
دوسری شرط: کیا آپ دستخط کی کلید چلا سکتے ہیں؟
خود ساختہ جاری کنندہ دستاویزی درآمد ماڈل کے ساتھ کام کرتا ہے، اور EasyRSA یا چھوٹا داخلی آلہ مواد بنا سکتا ہے۔ کمانڈ چلانا مشکل حصہ نہیں ہے۔ مشکل حصہ دستخط کی کلید کے آف لائن بیک اپ، ایسا بازیابی راستہ جسے کسی نے واقعی جانچا ہو، ایسا مالک جو چھٹی پر نہ ہو، اور یہ اصول کہ کلید کبھی کلائنٹ بنڈل یا کنفیگریشن ایکسپورٹ میں نہ پہنچے۔ پہلا سرٹیفکیٹ جاری ہونے سے پہلے اسے طریقہ کار کے طور پر لکھیں، پہلے واقعے کے بعد نہیں۔
AWS Private CA اس نگہداشت کو منظم سروس میں منتقل کرتا ہے۔ یہ رجسٹریشن پالیسی، منظوری کے مرحلے یا ڈیوائس تک سرٹیفکیٹ کی ترسیل کو منتقل نہیں کرتا۔
تیسری شرط: منسوخی کیسے آتی ہے؟
Client VPN وہ کلائنٹ سرٹیفکیٹ منسوخی فہرست استعمال کرتا ہے جو آپ آخری نقطے میں درآمد کرتے ہیں، جیسا کہ سرٹیفکیٹ لائف سائیکل گائیڈ میں بیان کیا گیا ہے۔ آپ کے PKI میں کہیں اور CRL شائع کرنا اسے سروس میں نہیں دھکیلتا۔ درآمد ایک الگ، شیڈول شدہ کارروائی ہے، اور میعاد ختم شدہ فہرست خاموشی سے خراب ہونے کے بجائے کنکشن روک دیتی ہے۔ تجدید کو سرٹیفکیٹس کے اسی کیلنڈر پر رکھیں۔
اس سے تجدید مالک والی نگرانی کی شے بن جاتی ہے، لانچ پر ختم ہونے والا کام نہیں۔ میکانزم کی واقعی ضرورت سے پہلے ایک آزمائشی سرٹیفکیٹ شروع سے آخر تک منسوخ کریں۔
جو کوئی آپشن ختم نہیں کرتا
ہر آپشن کو اب بھی ہر خودمختار طور پر منظم ڈیوائس کے لیے الگ کلائنٹ سرٹیفکیٹ اور کلید درکار ہے۔ جو ٹیوٹوریل سب کو ایک ہی شناخت دیتا ہے وہ ٹیوٹوریل کی شارٹ کٹ ہے، اور یہ انتخابی منسوخی کو بھی ناممکن بنا دیتا ہے۔
ACM میں درآمد شدہ سرور سرٹیفکیٹس میں منظم تجدید نہیں ہے، اس لیے مالک کو متبادل حاصل کرنا، اسے دوبارہ درآمد کرنا اور پھر تصدیق کرنا ہوتی ہے کہ آخری نقطے نے اسے اپنایا ہے۔ سرور سرٹیفکیٹ کی تجدید لیپ ٹاپس پر پہلے سے موجود کلائنٹ اسناد کی تجدید نہیں کرتی۔ یہ الگ کیلنڈروں والے الگ لائف سائیکل ہیں۔
کچھ جاری کرنے سے پہلے جانچیں کہ سروس کون سی کلید اقسام اور ایکسٹینشن قبول کرتی ہے۔ CA کا کسی الگورتھم کی حمایت کرنا یہ معنی نہیں رکھتا کہ آخری نقطہ اسے قبول کرے گا۔
لانچ سے پہلے اپنے منتخب کردہ ورک فلو سے ایک تجدید اور ایک کلائنٹ ہٹانا چلائیں، اور لکھیں کہ کون سی اسناد بدلیں، کون سی آخری نقطہ کی ترتیب بدلی اور فعال سیشن کے ساتھ کیا ہوا۔ اگر وہ مشق واضح مالک کے بغیر ختم ہو، تو جاری کنندہ کا انتخاب مکمل نہیں ہوا۔