Bir ümumi ad, iki sertifikat: icazə siyahısı, yoxsa ləğv?

Eyni ümumi ad altında noutbuk sertifikatının yenidən verilməsi dəyişdirmə kimi görünür və hamı köhnənin öldüyünü güman edir. Belə deyil. Sələf eyni orqan tərəfindən imzalanmış etibarlı sertifikat olaraq qalır və müştəriləri adla qəbul edən istənilən nəzarət onu qəbul etməyə davam edəcək. Kimlik yoxlamasını etimad yoxlamasından ayıran şey seriya nömrəsidir və düzəliş məhz orada olmalıdır.

Serverin istifadə etdiyi adlandırma siyasətindən başlayın

İki nəzarət qarışdırılır: müştərini özünü təqdim etdiyi şəxs olduğuna görə qəbul etmək və konkret bir sertifikatı xidmətdən çıxarmaq. Birincisi ad yoxlaması, ikincisi ləğvetmə yoxlamasıdır. Fərqli suallara cavab verirlər və bir quraşdırma birini digəri olmadan da yaşaya bilər.

Server konfiqurasiyasını oxuyun və hansı kimlik mənbəyinin işlədiyini qeyd edin. username-as-common-name autentifikasiya olunmuş istifadəçi adını müştəriyə xas axtarışlar üçün effektiv ad edir. Bu olmadan sertifikatdan subyektin ümumi adı istifadə olunur. Cavab nə olursa olsun, hər hansı icazə siyahısına toxunmazdan əvvəl onu yazın.

İki yol eyni sertifikat üçün fərqli icazəli adlar toplusu yaradır. Burada təxmin etmək səhv faylı redaktə edib nəzarətin işləmədiyi qənaətinə gəlmək deməkdir.

Müştərini həqiqətən nəyin qəbul etdiyini yoxlayın

Uyğun faylı olan client-config-dir hər müştəri üçün seçimlər təqdim edir; təkbaşına bu, qəbul qaydası deyil. Adla qəbul tələb edir ccd-exclusive, hansı ki, uyğun faylı olmayan müştəriləri rədd edir. Bunu canlı quraşdırmada aktivləşdirmək adı üçün fayl olmayan hər kəsin bağlantısını kəsir, ona görə hər hansı dəyişiklik etməzdən əvvəl faylları sayın.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Say yoxlamanın özüdür: qovluq siyahısını qoşulmağı gözlədiyiniz kimliklərlə müqayisə edin.

Sonra hər fayl adının effektiv kimliklə tam uyğun olduğunu təsdiqləyin, böyük-kiçik hərf və boşluqlar daxil olmaqla. office-laptop üçün fayl, subyekti Office-Laptop oxunan sertifikat üçün heç nə etmir. Sondakı boşluq da adi siyahıdan gizlənir və beləcə mövcud görünən fayl oxunmamış qalır.

Şlüzün yüklədiyi CRL-i yoxlayın

CRL ləğv edilmiş sertifikatları verən və seriya nömrəsinə görə adlandırır; bu, ad yoxlamasının çatışmayan dəqiqliyidir. İki sertifikat ümumi adı paylaşa və seriya nömrəsində fərqlənə bilər, və onları yalnız seriya səviyyəsində siyahı ayırır.

Fayla ümumiyyətlə güvənməzdən əvvəl konfiqurasiya edilmiş yolu, buraxılış tarixini və növbəti yeniləmə sahəsini təsdiqləyin.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL-dəki seriya nömrəsini saxlamağı planlaşdırdığınız sertifikatdakı seriya nömrəsi ilə müqayisə edin. Bu müqayisə bütün sınaqdır və bir dəfə gözlə aparmaq heç kimin oxumadığı skriptə güvənməkdən dəyərlidir. Yenilənmiş CRL-i şlüzün artıq oxuduğu yol vasitəsilə paylayın. Səhv qovluqda duran CRL heç nə tətbiq etmir və heç bir müştəri jurnalı onu xatırlatmır.

Dəyişdirin, sonra hər iki nəticəni sübut edin

Əvəzləməni eyni ümumi ad altında verin, hər iki seriya nömrəsini qeyd edin və yalnız bundan sonra köhnəni ləğv edin. Bu sıra dəyişikliyi hazırlayarkən işlək kimliyi əlçatan saxlayır.

Əvvəlcə əvəzləməni sınayın: o, autentifikasiya olunmalı və adının hüququ olan hər şeyə çatmalıdır. Sonra köhnə sertifikatı sınayın və onun rədd edildiyini təsdiqləyin, çünki uğurlu əvəzləmə ləğvetmə barədə heç nə demir. Əgər hər ikisi hələ də qoşulursa, ləğvetmə girişi oxunmur və ya köhnə seriya heç vaxt siyahıya salınmayıb. Əgər heç biri qoşulmursa, siz etimadı deyil, qəbul qaydasını pozmusunuz.

Artıq qurulmuş sessiyalar ayrı məsələdir, çünki ləğvetmə yeni autentifikasiyalara aiddir, məgər şlüz canlı bağlantıları da kəsmək üçün konfiqurasiya edilməyibsə. Kiməsə vəd verməzdən əvvəl dərhal silinmənin tələb olunub-olunmadığını qərarlaşdırın.

Ad yoxlamasının heç vaxt edə bilməyəcəyi şey

İcazə siyahısı bu kimliyin qoşula biləcəyinə cavab verir. Hansı sertifikatın istifadə edildiyini deyə bilməz və etimad etibarlı və ləğv edilməmiş qaldıqca köhnə etimadı qəbul edəcək. Bu boşluq insident zamanı üzə çıxır: əvəzləmə aylar əvvəl verilib, sələf isə hələ də işləyir.

Sertifikat səviyyəsində nəzarət tələb olunan yerdə sertifikatı adlandıran mexanizmdən istifadə edin: CRL qeydləri və ya operatorun saxladığı barmaq izini yoxlayan doğrulama qarmağı. Hər ikisi texniki xidmət tələb edir və hər ikisi yoxladığı obyekt barədə dürüstdür. OpenVPN 2.6 təlimatı crl-verify və müştəriyə xas qəbulu bu səbəbdən ayrı seçimlər kimi sənədləşdirir.

Hansı nəzarətin hansı işi gördüyünü yazın, sonra mənfi halı sınayın. Heç vaxt bir bağlantını rədd etdiyini görmədiyiniz ləğvetmə, işləyəcəyinə ümid etdiyiniz konfiqurasiyadır.