دو OpenVPN سرٹیفکیٹ ایک ہی CCD پالیسی کیوں شیئر کر سکتے ہیں

ایک CA دو سرٹیفکیٹ پر دستخط کر سکتا ہے جنہیں وہی OpenVPN کلائنٹ مخصوص ترتیب ملتی ہے، اور دونوں میں سے کسی سرٹیفکیٹ میں کچھ بھی کسی کو خبردار نہیں کرتا۔ سیریل نمبر مختلف ہیں، چابیاں مختلف ہیں، اور تنظیمی اکائی بدلتے ہی مکمل موضوعات بھی مختلف ہو جاتے ہیں۔ سرور ایک نام کے ذریعے ہر کلائنٹ کی پالیسی طے کرتا ہے، اور وہی نام واحد چیز ہے جسے منفرد ہونا چاہیے۔

سرور نام طے کرتا ہے، سیریل نمبر نہیں

عام سرٹیفکیٹ تلاش میں سرور پیش کردہ سرٹیفکیٹ سے عام نام لیتا ہے اور اسی نام کی client-config-dir اندراج تلاش کرتا ہے۔ سیریل نمبر کبھی تلاش میں داخل نہیں ہوتا۔ عام نام کے علاوہ ہر فیلڈ میں مختلف دو سرٹیفکیٹ ایک ہی فائل میں پہنچتے ہیں، اس لیے دوسرا کنکشن پہلے آلے کا مقررہ پتہ اور بھیجے گئے راستے ورثے میں لیتا ہے۔

اسی طرح CA کی طرف کی انفرادیت کی جانچ پاس ہوتی ہے جبکہ VPN اب بھی ٹکراتا ہے۔ دونوں جانچیں مختلف سوالات کا جواب دیتی ہیں۔

کچھ بھی دستخط کرنے سے پہلے طے کریں کہ مؤثر نام کیا ہونا چاہیے، اور اسے اس آلے یا اکاؤنٹ کے پاس درج کریں جس کا وہ ہے۔ نام، مالک، مقصد اور سرٹیفکیٹ فنگر پرنٹ کا رجسٹر زیادہ تر تعیناتیوں کا احاطہ کرتا ہے۔ اس کے بغیر سرٹیفکیٹ آرکائیو ہی یہ واحد ریکارڈ ہے کہ کون سا نام کس آلے کا ہے، اور وہ آرکائیو مجاز تبدیلی کو موجودہ نام پر دعویٰ کرنے والے دوسرے آلے سے الگ نہیں کر سکتا۔ نام کو اندراج کے وقت محفوظ کریں، اگر دو آپریٹر ایک ساتھ جاری کر سکتے ہیں تو تالے کے تحت۔

نقشہ بندی واقعی کون سا نام استعمال کرتی ہے

عام سرٹیفکیٹ تلاش عام نام استعمال کرتی ہے۔ تصدیق شدہ صارف نام نقشہ کرنے کے لیے ترتیب دیا گیا سرور اس کے بجائے وہی قدر استعمال کرتا ہے، جس سے پالیسی انتخاب کے لیے سرٹیفکیٹ کا عام نام غیر متعلق ہو جاتا ہے۔ کون سی نقشہ بندی نافذ ہے یہ دیکھنے کے لیے چلتی ترتیب پڑھیں۔

دونوں نقشہ بندیاں ایک ساتھ ہو سکتی ہیں، اور پھر نتیجہ اس ترتیب پر منحصر ہے جس میں سرور انہیں طے کرتا ہے۔ عام نام کی طرف واپس گرنے والی صارف نام نقشہ بندی خاموشی سے ایسا سرٹیفکیٹ قبول کر لے گی جسے رجسٹر نے کبھی منظور نہیں کیا۔ مؤثر نام کو اس حکم کے پاس لکھیں جس نے اسے پیدا کیا، تاکہ اگلے آپریٹر کو ترتیب دوبارہ دریافت نہ کرنا پڑے۔ ہر نقشہ بندی کے لیے ایک کنکشن جانچنا سستا ہے اور سوال طے کر دیتا ہے۔

نقشہ بندی جو بھی پیدا کرے، وہی محفوظ کرنے کی قدر ہے۔ CA میں عام نام محفوظ کرنا جبکہ سرور صارف ناموں پر ٹکا ہوا ہے، غلط چیز محفوظ کرنا ہے۔

دو CA ایک ہی نام منظور کر سکتے ہیں

ایک VPN سروس ایک سے زیادہ جاری کرنے والے اتھارٹی پر بھروسا کر سکتی ہے، اور ہر اتھارٹی کے پاس اس بارے میں اپنا تصور ہے کہ کون سے نام لیے جا چکے ہیں۔ دو خودمختار CA مختلف آلوں کے لیے ایک ہی عام نام دونوں منظور کر سکتے ہیں، اور سرور بغیر شکایت دونوں سرٹیفکیٹ قبول کرتا ہے۔ بھروسا بنڈل میں ہر اتھارٹی کی فہرست بنائیں، صرف اس کی نہیں جس سے آپ عموماً جاری کرتے ہیں۔ ناکامی پہلی بار ظاہر ہوتی ہے جب دوسری اتھارٹی کا سرٹیفکیٹ استعمال ہوتا ہے۔

یہی استدلال اس CA پر بھی لاگو ہوتا ہے جو عام نام کی انفرادیت کے بجائے مکمل موضوع کی انفرادیت نافذ کرتی ہے۔

عام نام شیئر کرنے والے مگر تنظیمی اکائی میں مختلف دو سرٹیفکیٹ کے موضوعات مختلف ہوتے ہیں، اس لیے CA کوئی تضاد نہیں بتاتی جبکہ سرور ایک نام دیکھتا ہے۔ طے شدہ قدر فرض کرنے کے بجائے وہ ترتیب جانچیں جو آپ کا جاری کرنے والا اوزار واقعی استعمال کرتا ہے۔ openssl ca دستاویز میں unique_subject کی سنبھال وہاں کا متعلقہ کنٹرول ہے، اور اس اوزار کے گرد لپٹے ریپر عموماً اسے بدلنے کے بجائے ظاہر کرتے ہیں۔

تجدید محفوظ دوبارہ استعمال ہے، ٹکراؤ نہیں

نام برقرار رکھنے والی تجدید جان بوجھ کر دوبارہ استعمال ہے، اور رجسٹر کو یہ سادہ الفاظ میں کہنا چاہیے۔ پرانا فنگر پرنٹ اور نیا ایک ہی نام کے تحت درج کریں تاکہ جائزہ لینے والا تبدیلی کو قبضے سے الگ پہچان سکے۔ سرور کا duplicate-cn اختیار اس سے متعلق نہیں: وہ بیک وقت سیشن کنٹرول کرتا ہے، اندراج یا نام محفوظ کرنا نہیں۔ طے کریں کہ دونوں اسناد کتنی دیر رہ سکتی ہیں اور پرانی کب قبول ہونا بند ہوتی ہے۔

تبدیلی سونپنے سے پہلے پڑھیں کہ سرٹیفکیٹ میں واقعی کیا ہے۔ موضوع کی سطر وہی فیلڈ ہے جسے سرور نقشہ بنائے گا، فائل کا نام جو بھی تجویز کرے۔

openssl x509 -in device42.crt -noout -subject -serial -issuer

منسوخی عموماً سرٹیفکیٹ کو اس کے جاری کنندہ کے تحت شناخت کرتی ہے، اس لیے ایک سیریل نمبر کو ریٹائر کرنا اسی اتھارٹی کے درست جاری کردہ متبادل کو متاثر نہیں کرتا۔ یہی رویہ ایک صاف تجدید کو درکار ہے، اور یہی وجہ ہے کہ منسوخی دو آلوں کا مشترکہ نام صاف نہیں کر سکتی۔ صارف کے آلہ دیکھنے سے پہلے آزمائشی کنکشن پر مؤثر پالیسی نام اور مختص پتہ تصدیق کریں۔ پھر پرانی سند جان بوجھ کر ریٹائر کریں اور درج کریں کہ آپ نے ایسا کیا۔