Een algemene naam, twee sertifikate: toelatingslys of herroep?

Om ’n skootrekenaarsertifikaat onder dieselfde algemene naam weer uit te reik, voel soos ’n vervanging, en almal aanvaar die ou een is dood. Dit is nie. Die voorganger bly ’n geldige sertifikaat wat deur dieselfde owerheid onderteken is, en enige beheer wat kliënte op naam toelaat, sal dit aanhou toelaat. Wat ’n identiteitskontrole van ’n geloofsbriefkontrole skei, is die reeksnommer, en dit is waar die regstelling hoort.

Begin by die naambeleid wat die bediener gebruik

Twee beheermaatreëls word verwar: om ’n kliënt toe te laat op grond van wie hy voorgee om te wees, en om een spesifieke sertifikaat uit diens te verwyder. Die eerste is ’n naamkontrole, die tweede is ’n herroepingskontrole. Hulle beantwoord verskillende vrae, en ’n ontplooiing kan die een hê sonder die ander.

Lees die bedienerkonfigurasie en let op watter identiteitsbron in werking is. username-as-common-name maak die geauthentiseerde gebruikersnaam die effektiewe naam vir kliëntspesifieke opsoeke. Sonder dit word die onderwerp se algemene naam uit die sertifikaat gebruik. Wat die antwoord ook al is, skryf dit neer voordat jy enige toelatingslys aanraak.

Die twee paaie lewer ’n ander stel toegelate name vir dieselfde sertifikaat. Om hier te raai beteken om die verkeerde lêer te wysig en tot die gevolgtrekking te kom dat die beheer nie werk nie.

Kontroleer wat ’n kliënt werklik toelaat

’n client-config-dir met ’n ooreenstemmende lêer verskaf opsies per kliënt; op sigself is dit nie ’n toelatingsreël nie. Toelating op naam vereis ccd-exclusive, wat kliënte weier wat geen ooreenstemmende lêer het nie. Om dit op ’n lewendige ontplooiing te aktiveer, ontkoppel almal wie se naam geen lêer het nie, so tel die lêers voordat jy enigiets omdraai.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Die telling is die kontrole: vergelyk die gidslys met die identiteite wat jy verwag om te verbind.

Bevestig dan dat elke lêernaam presies met die effektiewe identiteit ooreenstem, insluitend hoofletters en spasiëring. ’n Lêer vir office-laptop doen niks vir ’n sertifikaat waarvan die onderwerp Office-Laptop lees nie. Agterste witruimte versteek ook vir ’n gewone lys, en dit is hoe ’n lêer wat teenwoordig lyk, ongelees bly.

Kontroleer die CRL wat die poort laai

’n CRL noem herroepte sertifikate per uitreiker en reeksnommer, wat die granulariteit is wat ’n naamkontrole kort. Twee sertifikate kan ’n algemene naam deel en in reeksnommer verskil, en slegs ’n lys op reeksnommervlak skei hulle.

Bevestig die gekonfigureerde pad, die uitreikdatum en die volgende-opdatering-veld voordat jy die lêer hoegenaamd vertrou.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Vergelyk die reeksnommer in die CRL met die reeksnommer op die sertifikaat wat jy van plan is om te hou. Daardie vergelyking is die hele toets, en om dit een keer met die oog te doen is meer werd as om ’n script te vertrou wat niemand gelees het nie. Versprei die bygewerkte CRL deur die pad wat die poort reeds lees. ’n CRL in die verkeerde gids dwing niks af nie, en geen kliëntlog sal dit noem nie.

Vervang, en bewys dan albei uitkomste

Reik die vervanging onder dieselfde algemene naam uit, teken albei reeksnommers aan, en herroep eers daarna die ou een. Daardie volgorde hou ’n werkende identiteit beskikbaar terwyl jy die verandering voorberei.

Toets eers die vervanging: dit moet authentiseer en bereik waartoe sy naam geregtig is. Toets dan die ou sertifikaat en bevestig dat dit geweier word, want ’n suksesvolle vervanging sê niks oor herroeping nie. As albei steeds verbind, word die herroepingsinvoer nie gelees nie of die ou reeksnommer is nooit gelys nie. As nie een verbind nie, het jy die toelatingsreël eerder as die geloofsbrief gebreek.

Sessies wat reeds gevestig is, is ’n aparte saak, want herroeping geld vir nuwe authentiserings tensy die poort ook gekonfigureer is om lewende verbindings te laat val. Besluit of onmiddellike verwydering nodig is voordat jy dit aan iemand belowe.

Wat ’n naamkontrole nooit kan doen nie

’n Toelatingslys beantwoord of hierdie identiteit mag verbind. Dit kan nie sê watter sertifikaat daardie identiteit gebruik het nie, en dit sal ’n ouer geloofsbrief toelaat solank die geloofsbrief geldig en onherroepe bly. Daardie gaping kom na vore tydens ’n voorval, wanneer die vervanging maande gelede uitgereik is en die voorganger steeds werk.

Waar beheer op sertifikaatvlak vereis word, gebruik ’n meganisme wat die sertifikaat benoem: CRL-inskrywings, of ’n verifikasiehaak wat ’n vingerafdruk nagaan wat die operateur onderhou. Albei kos instandhouding, en albei is eerlik oor die objek wat hulle ondersoek. Die OpenVPN 2.6-handleiding dokumenteer crl-verify en kliëntspesifieke toelating as aparte opsies om daardie rede.

Skryf neer watter beheer watter taak doen, en toets dan die negatiewe geval. ’n Herroeping wat jy nog nooit ’n verbinding sien weier het nie, is ’n konfigurasie waarvan jy hoop dit werk.