OpenVPN سرٹیفکیٹ کی تجدید: سرٹیفکیٹ پہنچائیں، ٹائمر نہیں

تجدید کے دو ڈیزائن ڈیزائن کے جائزے میں ایک جیسے لگتے ہیں اور جنوری میں بالکل مختلف برتاؤ کرتے ہیں۔ پہلا ٹائمر چلاتا ہے، سرٹیفکیٹ دوبارہ جاری کرتا ہے اور فائلیں مشترکہ فولڈر میں ڈال دیتا ہے۔ دوسرا تجدید کو ترسیل کا مسئلہ سمجھتا ہے: کون مانگتا ہے، کیا اہلیت ثابت کرتا ہے، مواد آلے تک کیسے پہنچتا ہے اور کلائنٹ کو اسے استعمال کرنے پر کیا آمادہ کرتا ہے۔ صرف دوسرا ہی آف لائن لیپ ٹاپ، ریٹائرڈ اثاثے اور خاموشی سے ناکام ہونے والی ترسیل کا سامنا کر کے بچتا ہے۔

دونوں ڈیزائنوں کا موازنہ وہاں کریں جہاں وہ واقعی مختلف ہیں

ٹائمر والا ڈیزائن سرور کی طرف بہتر بناتا ہے۔ شیڈول شدہ کام CA کو بلاتا ہے، نیا سرٹیفکیٹ ظاہر ہوتا ہے اور آپریٹر کام مکمل سمجھتا ہے۔ جاری ہونے کے بعد جو کچھ ہوتا ہے وہ کسی اور کا مسئلہ ہے، جب تک کوئی آلہ جڑ نہ سکے اور میعاد ختم ہونے کی تاریخ وجہ نہ بتائے۔

ورک فلو ڈیزائن آخری میل کو بہتر بناتا ہے۔ یہ فرض کرتا ہے کہ جاری کرنا زنجیر کی ایک کڑی ہے اور ہر اگلا قدم آزادانہ طور پر ناکام ہو سکتا ہے۔ اسے بنانا زیادہ اور چلانا بہت کم مہنگا ہے، کیونکہ ناکامیاں میعاد ختم شدہ کلائنٹس کے بجائے ٹریک شدہ حالتوں کے طور پر ظاہر ہوتی ہیں۔

فرق کو نظر میں رکھنے کا ایک مفید طریقہ وہ ترتیب ہے جس کا نام ہر ڈیزائن کو واضح طور پر لینا ہوتا ہے۔

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

ونڈو کو خود سرٹیفکیٹ سے پہچانیں

اعتبار اس سرٹیفکیٹ سے پڑھیں جو کلائنٹ واقعی پیش کر رہا ہے، کسی کاپی شدہ فائل نام میں پیوست تاریخ سے نہیں۔ فائل نام سرکتے ہیں، اور جس فائل پر 2026 لکھا ہو اس میں مارچ میں ختم ہونے والا اسناد ہو سکتا ہے۔

سست صورتوں کے لیے ونڈو میں کچھ گنجائش رکھیں: ہفتوں تک آف لائن رہنے والے آلات، ایسی منظوریاں جن کے لیے کسی شخص کی ضرورت ہو، اور ایسے ترسیلی راستے جو کام کرنے سے پہلے ایک بار ناکام ہوں۔ کامیابی کی رپورٹ دینے والا ٹائمر صرف یہ ثابت کرتا ہے کہ ٹائمر چلا، اس سے زیادہ کچھ نہیں۔

کچھ بھی جاری ہونے سے پہلے درخواست کو مجاز کریں

موجودہ سرٹیفکیٹ قانونی تجدید کے طریقہ کار کا حصہ ہو سکتا ہے، لیکن اس کا موضوع متن اجازت کا فیصلہ نہیں ہے۔ جس سوال کا جواب دینا ہے وہ یہ ہے کہ کیا یہ اکاؤنٹ اور یہ آلہ اب بھی بیڑے میں شناخت کے حق دار ہیں، اور وہ جواب سرٹیفکیٹ میں نہیں بلکہ آپ کے اثاثہ ریکارڈ میں رہتا ہے۔

ریٹائرڈ لیپ ٹاپ جس کا شیڈول شدہ کام اب بھی چل رہا ہے اسے نیا حق نہیں ملنا چاہیے۔ RFC 7030 یہاں پڑھنے کے قابل ہے، کیونکہ یہ تصدیق شدہ دوبارہ رجسٹریشن کو سرور کی طرف کی اجازت اور پالیسی سے الگ کرتا ہے؛ یہ قرض لینے والا نمونہ ہے، یہ دعویٰ نہیں کہ OpenVPN یا EasyRSA وہ پروٹوکول مہیا کرتے ہیں۔

ترسیل، تیاری اور فعال کرنا الگ الگ مراحل کے طور پر

جاری کرنا شناخت، مقصد اور جاری کرنے کا تعلق محفوظ رکھتا ہے، اور نئی کلید جوڑی سے بنایا گیا متبادل بیکار ہے جب تک ملتی ہوئی کلید اس کے ساتھ سفر نہ کرے۔ جوڑی کو ایسے چینل سے پہنچائیں جس کے پیچھے رسائی کنٹرول کا ڈیزائن ہو، کیونکہ اندازہ نہ لگنے والا URL چھپانا ہے، کنٹرول نہیں۔

تیاری وہ جگہ ہے جہاں زیادہ تر آٹومیشن خاموشی سے ٹوٹتی ہے۔ درآمد شدہ پروفائل ایک جگہ رہ سکتا ہے جبکہ منتظم کہیں اور فائل اپ ڈیٹ کرتا ہے، اور کلائنٹ پرانا سرٹیفکیٹ پیش کرتا رہتا ہے جب تک کسی کی نظر نہ پڑے۔ جس راستے کو کلائنٹ پڑھتا ہے، جس اکاؤنٹ کو اس میں لکھنے کی اجازت ہے اور جو واقعہ دوبارہ لوڈ کرتا ہے، وہ لکھ لیں۔ پھر تصدیق کریں کہ متبادل وہی فائل ہے جو واقعی استعمال ہو رہی ہے، نہ کہ کوئی نقل جو اس کے پاس آئی۔

تصدیق کا مطلب ہے نئے مواد کے ساتھ نئی توثیق اور وہ ایپلیکیشن کی جانچ جس کی صارف کو ضرورت ہے۔ پہلے سے قائم سرنگ اب بھی پچھلے اسناد کی عکاسی کر سکتی ہے، اس لیے کھلا کنکشن کامیاب تجدید کا ثبوت نہیں۔

پہلے چھوٹی ہوئی ونڈو کی بحالی کا ڈیزائن کریں

جب لیپ ٹاپ رجسٹریشن سروس تک صرف VPN کے ذریعے پہنچتا ہے، تو میعاد ختم ہونا ایک چکر بناتا ہے: سرنگ میں داخل ہونے کے لیے آلے کو سرٹیفکیٹ چاہیے اور سرٹیفکیٹ لانے کے لیے سرنگ۔ پہلا شیڈول شدہ کام روانہ ہونے سے پہلے بینڈ سے باہر کا انتظام طے کریں، چاہے وہ الگ سے تصدیق شدہ رجسٹریشن اینڈ پوائنٹ ہو یا منتظم کی مدد سے دوبارہ رجسٹریشن۔

آپ جو بھی منتخب کریں، اسے درخواست دہندہ اور موجودہ حق کی تصدیق کرنی ہوگی۔ جو بھی مانگے اس سے میعاد ختم شدہ سرٹیفکیٹ قبول کرنے کے لیے سرور کنفیگر کرنا بحالی کا راستہ نہیں، یہ اس جانچ کی مستقل کمزوری ہے جس کا آپ نے باقی ڈیزائن سے دفاع کیا۔

آخر میں، تجدید اور تصادم کو الگ الگ طریقہ کار میں رکھیں۔ لیک ہوئی کلید کو منسوخی اور فعال سیشنوں پر ردعمل درکار ہے، اور میعاد ختم ہونے کی تاریخ بڑھانے میں ان میں سے کچھ نہیں۔ قبولیت کے امتحان میں آف لائن آلہ، ناکام ترسیل اور ریٹائرڈ اثاثہ شامل کریں، اور شیڈول فعال کرنے کے لیے تیار ہے۔