سرٹیفکیٹ Windows میں نظر آتا ہے مگر OpenVPN اس کی کلید استعمال نہیں کر سکتا

سرٹیفکیٹ Windows کے سرٹیفکیٹ دیکھنے والے میں نظر آتا ہے، اور پھر بھی کلائنٹ اسے استعمال نہیں کر سکتا۔ سرٹیفکیٹ دیکھنا صرف یہ ثابت کرتا ہے کہ کسی اسٹور میں ایک عوامی شے موجود ہے۔ یہ ثابت نہیں کرتا کہ رابطہ عمل مطابق نجی کلید تلاش کر سکتا ہے یا اسے استعمال کرنے کی اجازت رکھتا ہے۔

تین اشیاء کا باہم میل ہونا ضروری ہے۔ منتخب سرٹیفکیٹ، اس کے پیچھے موجود نجی کلید اور وہ اکاؤنٹ جس کے تحت کلائنٹ چلتا ہے الگ الگ چیزیں ہیں، اور ہر ایک خود بخود ناکام ہو سکتی ہے۔

تین اشیاء، تین جواب

Windows پر OpenVPN کا کمیونٹی نسخہ CryptoAPI اسٹور کے انتخاب کنندہ کی دستاویز کرتا ہے، cryptoapicert، جو انگوٹھے کا نشان لیتا ہے۔ قدر کو وہی سرٹیفکیٹ بتانا چاہیے جو آپ واقعی استعمال کرنا چاہتے ہیں، ملتے جلتے نام والا کوئی دوسرا نہیں۔ OpenVPN پر مبنی دیگر ایپلیکیشنز کا درآمدی ماڈل بالکل مختلف ہو سکتا ہے، اس لیے یہ انتخاب کنندہ صرف اسی بلڈ کے لیے ثبوت ہے جو اسے دستاویز کرتا ہے۔ نیچے کچھ بھی ڈیبگ کرنے سے پہلے تصدیق کریں کہ آپ کا کلائنٹ یہ طریقہ کار نافذ کرتا ہے۔

اگر بلڈ اس انتخاب کنندہ کی حمایت نہیں کرتا تو حل دوسرا پروفائل فارمیٹ ہے، دوسرا سرٹیفکیٹ نہیں۔

کیا انتخاب کنندہ درست شناخت تک پہنچاتا ہے

عوامی سرٹیفکیٹ اس کی نجی کلید کے بغیر درآمد کیا جا سکتا ہے۔ دیکھنے والا دونوں حالتوں میں اسے دکھاتا ہے، اور اسی لیے یہ خرابی ایسی لگتی ہے جیسے کلائنٹ واضح طور پر موجود سرٹیفکیٹ کو نظر انداز کر رہا ہو۔ کلید کا ربط جانچیں، صرف اندراج کی موجودگی نہیں۔

تجدید شدہ سرٹیفکیٹ دوسرا جال لگاتا ہے۔ دونوں اندراج اسٹور میں رہ سکتے ہیں جبکہ پروفائل اب بھی پرانا انگوٹھے کا نشان بتاتا ہے، اور کلائنٹ وہی شناخت منتخب کرتا رہتا ہے جسے آپ ریٹائر کرنا چاہتے تھے۔

اجازتیں دیکھنے سے پہلے جانچیں کہ انتخاب کنندہ کس شناخت تک پہنچاتا ہے۔ غلط انگوٹھے کا نشان غائب کلید کی طرح ہی ناکام ہوتا ہے۔

کیا یہ اکاؤنٹ کلید استعمال کر سکتا ہے

کلید تک رسائی ہر اکاؤنٹ کے لیے الگ ہے۔ سروس، شیڈول شدہ کام اور تعاملی ڈیسک ٹاپ سیشن کے اسٹور کے بارے میں نظریے اور نجی کلید استعمال کرنے کی اجازتیں مختلف ہو سکتی ہیں۔ سرٹیفکیٹ کا آپ کے اپنے سیشن میں نظر آنا سروس اکاؤنٹ کے بارے میں کچھ نہیں کہتا۔

ہارڈویئر سے معاون کلید کو اس کے فراہم کنندہ اور تصدیق کے ایک مرحلے کی ضرورت ہو سکتی ہے۔ جو سروس کوئی اشارہ نہیں دکھا سکتی، وہ کلید کو سادہ فائل میں برآمد کر کے نہیں بچ سکتی۔

کچھ بھی بدلنے سے پہلے مقامی خرابی پڑھیں۔ انتخاب کی ناکامی، دستخط کی ناکامی اور سرور کا انکار تین مختلف نتائج ہیں۔ صرف پہلے دو مقامی ہیں۔ تیسرے کا مطلب ہے کہ کلید کام کر گئی اور سرور نے سرٹیفکیٹ کے خلاف فیصلہ کیا۔

مقامی استعمال سرور کی قبولیت نہیں ہے

مقامی کامیابی اجازت نہیں ہے۔ کلائنٹ کے اپنی کلید سے دستخط کرنے کے بعد بھی سرور جاری کنندہ، مدتِ اعتبار، کردار اور اپنی رسائی پالیسی کا جائزہ لیتا ہے۔ اسی CA کا دوسرا سرٹیفکیٹ خود بخود وہی VPN حقوق نہیں رکھتا۔

سرور کو اعتماد کا سلسلہ درکار ہے، کلائنٹ کی نجی کلید کی نقل نہیں۔ کلید سرور کو بھیجنا کبھی تصدیق کے مسئلے کا حل نہیں ہوتا۔

خرابی کو ترتیب سے نمٹائیں

خرابی کا عین متن محفوظ رکھیں۔ کلید کی اجازت نہ ہونا CA کی تبدیلی میں نہیں بدلنا چاہیے، اور سرور کا انکار اسٹور کی مرمت میں نہیں بدلنا چاہیے۔ ہر ایک کے اپنے شواہد ہیں۔

اسی ترتیب سے کام کریں جس میں خرابی ظاہر ہوتی ہے: انتخاب کنندہ، کلید، اکاؤنٹ، پھر سرور کی پالیسی۔ کمیونٹی کلائنٹ حوالہ آپ کے چلائے جانے والے نسخے کے لیے Windows اسٹور کے انتخاب کنندہ کی دستاویز کرتا ہے۔