سرٹیفکیٹس درست ہونے کے باوجود نئے VPN لاگ ان ناکام ہوتے ہیں: CRL چیک کریں

کچھ مہینے باقی رکھنے والے سرٹیفکیٹس اور فوراً ناکام ہونے والے لاگ ان دو مختلف گھڑیوں والی دو مختلف چیزوں کی طرف اشارہ کرتے ہیں۔ سرور کنکشن مسترد کر رہا ہے کیونکہ وہ جس منسوخ شدہ سرٹیفکیٹس کی فہرست سے رجوع کرتا ہے اپنی آخری تاریخ سے گزر چکی ہے، نہ کہ اس لیے کہ صارفین کے سرٹیفکیٹ پرانے ہو گئے ہیں۔ صارف کے سرٹیفکیٹ کی تجدید اس فہرست کے لیے کچھ نہیں کرتی۔

ان دو شیڈولز کو الگ کرنا ہی پوری تشخیص ہے، اور یہ بدل دیتا ہے کہ حل کیسی شکل کا ہونا چاہیے۔

دو گھڑیاں، اور ان میں سے صرف ایک سرٹیفکیٹ ہے

سرٹیفکیٹ اپنے ساتھ مدتِ اعتبار کی کھڑکی رکھتا ہے۔ منسوخ شدہ سرٹیفکیٹس کی فہرست اپنی کھڑکی، نیز ایک جاری کنندہ اور ایک دستخط رکھتی ہے، اور تصدیق کنندگان ایسی فہرست پر بھروسا کرنے سے انکار کرتے ہیں جس کی اگلی تازہ کاری کا وقت گزر چکا ہو۔ ایسا ہونے پر کلائنٹ بالکل درست سرٹیفکیٹ پیش کرتا ہے اور سرور پھر بھی فہرست کے بارے میں پیغام کے ساتھ کنکشن منقطع کر دیتا ہے۔ صارفین اس پیغام کو 'سرٹیفکیٹ کی میعاد ختم ہو گئی' کے طور پر پڑھتے ہیں، جس سے تجدید کی درخواست غلط جگہ چلی جاتی ہے۔

ان دو چیزوں کے مالک بھی مختلف ہیں: سرٹیفکیٹ اس CA سے آتا ہے جس نے اسے جاری کیا، جبکہ فہرست کا شیڈول کے مطابق اسی شخص کی طرف سے بنایا جاتا ہے جو اس CA کو چلاتا ہے۔ صارف اسے تازہ نہیں کر سکتا، اور سرٹیفکیٹس دوبارہ جاری کرنے سے اسے بڑھایا نہیں جا سکتا۔

وہ فہرست پڑھیں جو سروس واقعی لوڈ کرتی ہے

چل رہی ترتیب سے شروع کریں، نہ کہ اس فائل سے جس کی آپ توقع کرتے ہیں۔ crl-verify کا راستہ مطلق ہو سکتا ہے، پروفائل کے حوالے سے ہو سکتا ہے، یا تصویر میں جڑی ہوئی نقل ہو سکتا ہے، اور تصدیق کنندہ وہی نقل پڑھتا ہے۔ اسے وہیں openssl crl -in /etc/openvpn/crl.pem -noout -issuer -lastupdate -nextupdate کے ساتھ دیکھیں اور تاریخوں کا سرور کی گھڑی سے موازنہ کریں۔

پھر تصدیق کریں کہ فائل واقعی وہی ہے جو استعمال میں ہے: openssl crl -in /etc/openvpn/crl.pem -CAfile /etc/openvpn/ca.crt -noout کے ساتھ اس کے دستخط جانچیں، جو خاموشی سے فیلڈز چھاپنے کے بجائے تصدیق کا نتیجہ بتاتا ہے۔ کسی دوسری CA کے دستخط شدہ فہرست، یا دوسری ڈائریکٹری میں چھوڑی گئی پرانی نقل، بالکل اسی طرح ناکام ہوتی ہے جیسے میعاد ختم شدہ۔

دوبارہ بنائیں منسوخی کے ڈیٹا بیس سے، نہ کہ شروع سے

نئی فہرست CA کے موجودہ منسوخی ڈیٹا بیس سے، منظور شدہ دستخط کاری کے عمل کے ذریعے آئی چاہیے۔ خالی فہرست بنانا، یا انڈیکس کی پرانی بیک اپ سے دوبارہ بنانا، اس بیک اپ کے بعد شامل ہونے والی ہر شناخت کی منسوخی خاموشی سے کالعدم کر دیتا ہے۔ یہ لاگ ان کی بندش کو سیکیورٹی کی پسپائی میں بدل دیتا ہے، اور کوئی نہیں دیکھتا کیونکہ علامت غائب ہو جاتی ہے۔

بنانے کے مرحلے کو CA کے باقی اوزاروں کے ساتھ ورژن کنٹرول میں رکھیں، تاکہ وقفہ اور دستخط کی کلید یاد رکھنے کے بجائے دستاویزی ہوں۔ آپریشنز دستی میں ایک اندراج جو کمانڈ، دستخط کرنے والے اور اشاعت کے ہدف کا نام لے، کافی ہے۔ پھر ڈیوٹی پر کوئی بھی شخص یہ اندازہ لگائے بغیر دوبارہ بنا سکتا ہے کہ کون سی انڈیکس فائل مستند ہے۔ فہرست کا سیریل نمبر اور اگلی تازہ کاری کا وقت تعیناتی کے ریکارڈ کے ساتھ محفوظ کریں۔

وہیں تعینات کریں جہاں تصدیق کنندہ دیکھتا ہے

نئی فہرست کو اس راستے پر کاپی کریں جو سروس پڑھتی ہے، ملکیت اور موڈ ایسا مقرر کریں کہ سروس اکاؤنٹ اسے پڑھ سکے مگر دوسرے نہ پڑھ سکیں، اور دستاویزی رویے کے مطابق دوبارہ لوڈ یا دوبارہ شروع کریں۔ اگر پس منظر سروس فہرست کو آغاز پر کیش کرتی ہے، تو دوبارہ لوڈ کے بغیر فائل بدلنے سے چلتے ہوئے عمل کو کچھ بھی محسوس نہیں ہوگا۔ دوبارہ لوڈ کے بعد عمل جو ٹائم اسٹیمپ بتاتا ہے اس کی تصدیق کریں۔

اگر کئی سروسز کلائنٹس کی تصدیق کرتی ہیں تو ہر ایک پر تعینات کریں۔ ایک اینڈ پوائنٹ کو تازہ کرنا اور دوسرے کو پرانی نقل کے ساتھ چھوڑ دینا ایسی ناکامی پیدا کرتا ہے جو صرف ان صارفین کو نظر آتی ہے جو دوسرے پر پہنچتے ہیں۔ ان اینڈ پوائنٹس کی مختصر فہرست اسی آپریشنز دستی میں رکھیں۔ رول آؤٹ کے بعد، یہ فرض کرنے کے بجائے کہ نقل پہنچ گئی، ہر ایک کی بتائی گئی فہرست کی تاریخ چیک کریں۔

اگلی آخری تاریخ کو گزرنے سے پہلے نظر آنے والا بنائیں

طویل اشاعتی وقفہ اس واقعے کی تعدد کم کرتا ہے بغیر کوئی عمل بنائے۔ وقفہ آپریٹر کی پالیسی سے منتخب کریں، پھر تعینات فہرست کے اگلی تازہ کاری والے فیلڈ پر دوبارہ بنانے اور تعینات کرنے کے لیے کافی پیشگی وقت کے ساتھ الرٹ لگائیں۔ تعینات نقل پر الرٹ لگائیں، CA ہوسٹ پر نہیں، کیونکہ ناکام تعینات نقل ہی ہوتی ہے۔

تعیناتی کے بعد دونوں سمتیں جانچیں: مجاز صارف جڑتا ہے، اور معلوم منسوخ شناخت پھر بھی ناکام ہوتی ہے۔ دوسری جانچ ہی نامکمل دوبارہ بنانے کو پکڑتی ہے، اور اس کے لیے ایک ہی کمانڈ درکار ہے اس ٹیسٹ پروفائل کے خلاف جو آپ بالکل اسی مقصد کے لیے رکھتے ہیں۔