OpenVPN client-config-dir: lêernaam teenoor sertifikaat-CN

Twee name is in die spel voordat ’n kliënt ooit konnekteer: die lêernaam op die skootrekenaar (nuc.ovpn) en die identiteit wat die bediener uit die geloofsbrief aflei. ’n client-config-dir-soektog gebruik die tweede een. Om die profiel op die kliënt te hernoem, of .conf by die bediener se lêer te voeg, verander niks aan watter lêer die bediener oopmaak nie.

Die nuttige vergelyking is nie “watter naam het ek gebruik nie”, maar “watter reël die bediener toepas”, want sertifikaat-verifikasie en gebruikersnaam/wagwoord-verifikasie kan verskillende effektiewe name uit dieselfde aanmelding lewer.

Profielnaam teenoor sertifikaat se common name

Met die verstek sertifikaat-gebaseerde opstelling neem die bediener die X.509 common name en soek ’n lêer met presies daardie naam binne client-config-dir. ’n Profiel genaamd nuc.ovpn waarvan die sertifikaat tester sê, wys na /etc/openvpn/server/ccd/tester. Die kliënt se lêernaam kom nooit in die berekening nie. Dis die eerste plek waar ’n wanverhouding wegkruip.

’n Gids vol noukeurig benoemde profiele kan dus elke keer misluk. Die lêer word nie volgens onderwerp, e-posadres of die naam wat in ’n GUI gewys word, gepas nie; dit word volgens die common name-string gepas.

Op ’n hooflettersensitiewe lêerstelsel is Tester en tester twee verskillende lêers, en net een word ooit oopgemaak. Kyk na die common name van die sertifikaat wat die kliënt werklik voorlê, nie na ’n afskrif in jou notas nie.

username-as-common-name keer die reël om

Wanneer die bediener gebruikersnaam/wagwoord-verifikasie met username-as-common-name laat loop, vervang die geverifieerde gebruikersnaam die sertifikaat se common name vir hierdie soektog.

Vergelyk die twee gevalle direk: by sertifikaat-identiteit volg die lêer die sertifikaat en is ’n wagwoordverandering irrelevant; by gebruikersnaam-identiteit volg die lêer die aanmeldnaam en is die heruitreiking van die sertifikaat irrelevant. Watter veld die bediener ook al vervang, dit is die een om teen te hernoem. ’n Heruitgereikte sertifikaat met ’n nuwe CN verander die soekteiken stilweg, en die ou CCD-lêer bly op die skyf lyk korrek.

Gemengde konfigurasies bestaan, en dis waar die meeste verwarring begin. As een diensblok die vervanging aan skakel en ’n ander nie, hang die effektiewe naam daarvan af watter instansie die verbinding hanteer het. Bevestig die aktiewe konfigurasie eerder as om aan te neem die globale lêer geld. Die opstroom server-options-verwysing dokumenteer die soektog na die genoemde lêer en die opsionele terugval.

Wat die bediener lees, en wat hy stilweg oorslaan

Twee klein verskille bepaal of ’n lêer gekies word. Die eerste is ’n bygevoegde uitbreiding. Die tweede is ’n los karakter in die naam.

OpenVPN voeg nie .conf by die naam wat hy soek nie, so tester.conf pas nie by tester nie. ’n Redigeerder wat uitbreidings wegsteek, kan ’n lêer laat wat in ’n lys korrek lyk en nooit pas nie.

Wanneer geen passende lêer bestaan nie, kan die bediener terugval op ’n lêer genaamd DEFAULT. Dat sekere instellings opdaag, is dus nie bewys dat die per-kliënt-lêer gebruik is nie. Vergelyk die toegewysde adres of gestuurde roetes met wat die per-kliënt-lêer sou lewer. Toestemmings is die derde filter, want die bediener maak die lêer oop nadat hy voorregte laat vaar het; ’n root-dop wat dit kan lees, bewys niks.

’n Korrekte lêernaam bevestig nie die inhoud nie

Keuse en inhoud is aparte foute. Sodra die regte lêer oopgemaak is, moet sy opdragte steeds vir daardie kliënt geldig wees.

ifconfig-push moet ’n adres toeken wat die topologie werklik kan gebruik, en iroute maak net sin vir ’n gerouteerde subnet agter daardie kliënt.

Een identiteit, verskeie toestelle

Twee skootrekenaars wat dieselfde common name voorlê, kies dieselfde lêer en ontvang dieselfde kliëntspesifieke instellings. As jy aparte adresse of aparte herroeping nodig het, het jy aparte identiteite nodig, nie twee kopieë van een lêer nie.

Die vergelyking is tussen die deel van ’n identiteit en die uitreiking van een sertifikaat per toestel. Deel is eenvoudiger om te administreer en growwer om te herroep, terwyl sertifikate per toestel meer opstelling kos en jou ’n skoon eenheid gee om te deaktiveer.