İki OpenVPN sertifikatı, bir CCD adı: nə səhv getdi

Müxtəlif seriya nömrələri, müxtəlif açarlar və hətta fərqli tam subyektlər daşıyan iki müştəri sertifikatı yenə də tək bir siyasət faylına uyğun gələ bilər, çünki server bunların heç birinə baxmır. O, sertifikatdan bir ad oxuyur və uyğun müştəri konfiqurasiya faylını açır. Əgər hər iki sertifikat eyni adı daşıyırsa, ikincisi qoşulduğu anda birincinin siyasətini miras alır.

Toqquşma qeydiyyat zamanı yaranır və yalnız qoşulma anında aşkar edilir, adətən cihaz başqa maşına aid ünvan və ya marşrut dəsti aldıqda. Bunun qarşısını almaq üçün serverin hansı sahəni xəritələdiyini razılaşdırmaq, sonra hər hansı şey imzalanmazdan əvvəl həmin dəyəri rezerv etmək lazımdır.

Sertifikat alətləriniz sizi xəbərdar etməyəcək, çünki X.509 daxilində unikallıq və OpenVPN siyasət adının unikallığı fərqli sistemlər tərəfindən tətbiq edilən fərqli tələblərdir.

Server barmaq izinə deyil, ada baxır

Adi sertifikat əsaslı xəritələmədə server təqdim edilən sertifikatdan ümumi adı götürür və müştəri konfiqurasiya qovluğunda həmin adlı fayl axtarır. Bu fayl statik ünvanı bərkidə, marşrutlar ötürə və ya hər müştəri üçün firewall işarələri tətbiq edə bilər. Axtarış fayl adı ilə sətir müqayisəsidir, ona görə hərf registri, boşluqlar və durğu işarələri hamısı vacibdir.

Bəzi yerləşdirmələr xəritələməni qəsdən dəyişdirir ki, autentifikasiyadan keçmiş istifadəçi adı ümumi adı əvəz etsin, və o zaman unikal olmalı olan istifadəçi adıdır. Hər iki halda siyasəti seçən dəyər sizin rezerv etdiyiniz dəyərdir. Nəyinsə buraxılmasından əvvəl bunlardan hansının olduğunu qərarlaşdırın; toqquşmadan sonra təxmin etmək soruşmaqdan bahadır.

İki orqanın eyni ada uyğun gəldiyi yer

Birdən çox buraxıcı orqandan sertifikat qəbul edən təşkilat bir ad məkanına yazan iki müstəqil qeydiyyat prosesi işlədir. Hər orqanın öz unikallıq qaydaları onun daxilində tətbiq olunur, ona görə hər ikisi heç biri səhv bir şey görmədən eyni ümumi ad üçün qanuni şəkildə buraxılış edə bilər.

Seriya nömrələri kömək etmir. X.509 seriyanın öz buraxıcısının əhatəsi daxilində unikal olmasını tələb edir ki, bu, həmin orqanın uçotunun xüsusiyyətidir, qlobal cihaz kimliyi deyil. Subyekt yoxlaması da ümumi ad yoxlamasından fərqli bir testdir: iki sertifikat CN-i paylaşa bilər, təşkilati vahiddə isə fərqlənə bilər və buna görə fərqli subyektlər daşıyır. Bu xüsusiyyətlərin hər biri qüvvədə qala bilər, halbuki server yenə də hər iki sertifikatı bir fayl adına xəritələyir.

OpenSSL CA sənədləri öz verilənlər bazasının fikrini idarə edən unique_subject parametrini əhatə edir, və dürüst başlanğıc nöqtəsi müəyyən EasyRSA və ya OpenSSL defoltunun tətbiq olunduğunu güman etmək əvəzinə buraxılış konfiqurasiyanızı oxumaqdır.

Rezervasiyanı imzadan əvvəl edin

Cihazı təsdiqlənmiş qeydinə və oradan dəqiq siyasət fayl adına xəritələyən bir reyestr saxlayın ki, ad bir dəfə ayrılsın və ayrılmış qalsın. Rezervasiya atomik olmalıdır, bu da praktikada təyin-et-sonra-imzala addımını əhatə edən verilənlər bazası məhdudiyyəti və ya kilid deməkdir, iki nəfərin redaktə etdiyi cədvəl deyil.

Sonra yoxlamanı buraxılışın bir hissəsi edin: tələb olunan ad artıq mövcuddursa imzadan imtina edin və həmin yoxlamaya serverin etibar etdiyi hər orqanı daxil edin, çünki digər orqan tərəfindən rezerv edilmiş ad da eyni dərəcədə tutulmuşdur. Aydın səbəbi olan rədd edilmiş sorğu, başqasının statik ünvanını almağa davam edən cihaz barədə biletdən daha ucuzdur.

Yenilənmə adı qəsdən təkrar istifadə edir

Mövcud cihaz üçün yenidən buraxılış eyni siyasət adı altında yeni seriya nömrəsi verməlidir və bu, toqquşma deyil, qanuni təkrar istifadədir. Əvvəlcədən qərarlaşdırılmalı olan üst-üstə düşmədir: köhnə və yeni sertifikatların eyni vaxtda qüvvədə ola bilməsi və köhnə etimadnamənin necə ləğv edildiyi.

Bunu həll etmək üçün duplicate-cn-ə əl atmayın. Bu server parametri eyni adı təqdim edən eyni vaxtlı bağlantıları idarə edir; o, qeydiyyatı kilidləmir və onu aktivləşdirmək bir ortaq statik ünvanı eyni vaxtda iki maşın üçün təhlükəsiz etmir. Ləğv adətən sertifikatı buraxıcı və seriya ilə müəyyən edir, ona görə köhnə etimadnamənin ləğvi, server düzgün ləğv məlumatını aldıqca və tətbiq etdikcə, onun əvəzedicisini etibarsız etməməlidir.

Xəritələməni maşındakı alətlərlə təsdiqləyin

Cihaza yeni etimadnaməsini verməzdən əvvəl adı sertifikatdan serverin oxuyacağı şəkildə oxuyun, sonra onu seçilməsini gözlədiyiniz siyasət faylı ilə müqayisə edin.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Birinci əmr subyekt sahələrini ayrıca çap edir ki, bu da yad təşkilati vahidi və ya ikiqat boşluğu dərhal görünən edir. İkincisi həmin ad altında siyasət faylının mövcud olduğunu təsdiqləyir, üçüncüsü isə serverin bir ad üzərində bir neçə sessiyaya icazə vermək üçün konfiqurasiya edilib-edilmədiyini göstərir. Səhv hələ hadisə deyil, imza bahasına başa gələrkən, hər üçünü qeydiyyat addımını tərk etməzdən əvvəl təzə sertifikat üzərində işlədin. Nəticəni bileti ilə birlikdə saxlayın ki, növbəti şəxs serverin həqiqətən hansı adı aldığını görsün.

Real bağlantı ilə bitirin və təyin edilmiş ünvanı və ötürülən marşrutları yazmaq istədiyinizlə deyil, siyasət faylı ilə müqayisə edin. Əgər iki cihaz eyni statik ünvanı bildirirsə, reyestrdə heç bir sertifikat yoxlamasının aşkar etməyəcəyi bir toqquşma var.