لماذا يمكن لشهادتين من OpenVPN أن تتشاركا سياسة CCD واحدة

يمكن لـ CA أن توقّع شهادتين تحصلان على نفس OpenVPN الإعداد الخاص بالعميل، ولا شيء في أي من الشهادتين ينبّه أحدًا. الأرقام التسلسلية تختلف، والمفاتيح تختلف، والمواضيع الكاملة تختلف أيضًا بمجرد تغيّر وحدة تنظيمية. يحسم الخادم سياسة كل عميل عبر اسم واحد، وهذا الاسم هو الشيء الوحيد الذي يجب أن يكون فريدًا.

الخادم يحسم اسمًا لا رقمًا تسلسليًا

مع البحث العادي عن الشهادة، يأخذ الخادم الاسم الشائع من الشهادة المقدَّمة ويبحث عن مدخل في client-config-dir بهذا الاسم. لا يدخل الرقم التسلسلي في البحث أبدًا. شهادتان تختلفان في كل حقل عدا الاسم الشائع تنتهيان إلى الملف نفسه، فترث الاتصال الثاني العنوان الثابت والمسارات المدفوعة للجهاز الأول.

هكذا ينجح فحص التفرد على جانب CA بينما لا يزال VPN يتصادم. الفحصان يجيبان عن سؤالين مختلفين.

حدّد ما ينبغي أن يكون عليه الاسم الفعّال قبل توقيع أي شيء، وسجّله بجانب الجهاز أو الحساب الذي يخصه. سجل يضم الاسم والمالك والغرض وبصمة الشهادة يغطي معظم عمليات النشر. بدونه، يكون أرشيف الشهادات السجل الوحيد للاسم الذي يخص كل جهاز، ولا يستطيع ذلك الأرشيف التمييز بين بديل مصرّح به وجهاز ثانٍ يطالب باسم قائم. احجز الاسم عند التسجيل، تحت قفل إن أمكن لمشغّلين اثنين الإصدار في الوقت نفسه.

أي اسم تستخدمه عملية الربط فعليًا

البحث العادي عن الشهادة يستخدم الاسم الشائع. الخادم المهيّأ لربط اسم مستخدم موثّق يستخدم تلك القيمة بدلًا منه، ما يجعل الاسم الشائع للشهادة غير ذي صلة باختيار السياسة. اقرأ التهيئة الجارية لتعرف أي ربط سارٍ.

يمكن أن يكون الربطان موجودين في الوقت نفسه، وحينها تعتمد النتيجة على الترتيب الذي يحسمهما به الخادم. ربط اسم المستخدم الذي يرتد إلى الاسم الشائع سيقبل بهدوء شهادة لم يوافق عليها السجل قط. اكتب الاسم الفعّال بجانب الأمر الذي أنتجه حتى لا يضطر المشغّل التالي إلى إعادة اكتشاف الترتيب. اختبار اتصال واحد لكل ربط غير مكلف ويحسم المسألة.

أيًا كانت القيمة التي ينتجها الربط فهي القيمة التي يجب حجزها. حجز الأسماء الشائعة في CA بينما يعتمد الخادم على أسماء المستخدمين يحجز الشيء الخطأ.

يمكن لـ CA اثنتين أن توافقا على الاسم نفسه

يمكن لخدمة VPN أن تثق بأكثر من جهة إصدار، وكل جهة تحتفظ بفكرتها الخاصة عن الأسماء المحجوزة. يمكن لـ CA مستقلتين أن توافقا على الاسم الشائع نفسه لأجهزة مختلفة، ويقبل الخادم الشهادتين دون اعتراض. اجرد كل جهة في حزمة الثقة، لا الجهة التي تصدر منها عادة فحسب. يظهر العطل أول مرة تُستخدم فيها شهادة من الجهة الثانية.

ينطبق المنطق نفسه على CA تفرض تفرد الموضوع الكامل بدلًا من تفرد الاسم الشائع.

شهادتان تشتركان في اسم شائع وتختلفان في الوحدة التنظيمية لهما موضوعان مختلفان، فلا تبلغ CA عن تعارض بينما يرى الخادم اسمًا واحدًا. افحص الإعداد الذي تستخدمه أداة الإصدار فعليًا بدلًا من افتراض القيمة الافتراضية. إنّ معالجة unique_subject في وثائق openssl ca هي المفتاح ذو الصلة هناك، والغلافات حول تلك الأداة تعرضه عادة بدلًا من استبداله.

التجديد إعادة استخدام محجوزة لا تصادم

التجديد الذي يحتفظ بالاسم إعادة استخدام متعمدة، وينبغي للسجل أن يقول ذلك بكلمات صريحة. سجّل البصمة القديمة والجديدة تحت اسم واحد ليتمكن المراجع من التمييز بين بديل واستيلاء. خيار duplicate-cn في الخادم غير ذي صلة: فهو يحكم الجلسات المتزامنة لا التسجيل أو حجوزات الأسماء. حدّد مدة بقاء كل من بيانات الاعتماد ومتى يتوقف قبول القديمة.

قبل تسليم البديل، اقرأ ما تحتويه الشهادة فعليًا. سطر الموضوع هو الحقل الذي سيربطه الخادم، أيًا كان ما يوحي به اسم الملف.

openssl x509 -in device42.crt -noout -subject -serial -issuer

يحدد الإبطال عادة الشهادة تحت جهة إصدارها، فإحالة رقم تسلسلي واحد للتقاعد لا تمس بديلًا صادرًا بشكل صحيح من الجهة نفسها. هذا السلوك هو بالضبط ما يحتاجه تجديد نظيف، وهو أيضًا سبب عجز الإبطال عن تنظيف اسم يتشاركه جهازان. تحقق من اسم السياسة الفعّال والعنوان المخصص على اتصال اختباري قبل أن يرى المستخدم الجهاز. ثم أحل بيانات الاعتماد القديمة للتقاعد عن قصد وسجّل أنك فعلت ذلك.