Niyə iki OpenVPN sertifikatı eyni CCD siyasətini paylaşa bilir

Bir CA eyni OpenVPN müştəri xüsusi konfiqurasiyasını götürən iki sertifikat imzalaya bilər və heç bir sertifikatda heç nə heç kimi xəbərdar etmir. Seriya nömrələri fərqlidir, açarlar fərqlidir, təşkilati vahid dəyişdikdə tam subyektlər də fərqlənir. Server hər müştərinin siyasətini bir ad vasitəsilə həll edir və unikal olmalı olan yeganə şey həmin addır.

Server seriya nömrəsini deyil, adı həll edir

Adi sertifikat axtarışında server təqdim edilən sertifikatdan ümumi adı götürür və həmin adla client-config-dir qeydini axtarır. Seriya nömrəsi heç vaxt axtarışa daxil olmur. Ümumi addan başqa hər sahədə fərqlənən iki sertifikat eyni fayla düşür, buna görə ikinci bağlantı birinci cihazın sabit ünvanını və göndərilən marşrutlarını mənimsəyir.

CA tərəfində unikallıq yoxlaması belə keçir, VPN isə hələ də toqquşur. İki yoxlama fərqli suallara cavab verir.

Hər hansı bir şeyi imzalamazdan əvvəl effektiv adın nə olacağını qərarlaşdırın və onu aid olduğu cihazın və ya hesabın yanında qeyd edin. Ad, sahib, məqsəd və sertifikat barmaq izindən ibarət reyestr əksər yerləşdirmələri əhatə edir. O olmadan sertifikat arxivi hansı adın hansı cihaza aid olduğunun yeganə qeydidir və bu arxiv icazəli əvəzləməni mövcud adı iddia edən ikinci cihazdan ayıra bilməz. Adı qeydiyyat zamanı qoruyun, iki operator eyni vaxtda buraxa bilirsə, kilid altında.

Xəritələmə əslində hansı addan istifadə edir

Adi sertifikat axtarışı ümumi addan istifadə edir. Autentifikasiya olunmuş istifadəçi adını xəritələmək üçün qurulmuş server bunun yerinə həmin dəyəri istifadə edir və bu, sertifikatın ümumi adını siyasət seçimi üçün əhəmiyyətsiz edir. Hansı xəritələmənin qüvvədə olduğunu görmək üçün işləyən konfiqurasiyanı oxuyun.

Hər iki xəritələmə eyni vaxtda mövcud ola bilər və sonra nəticə serverin onları həll etdiyi sıradan asılıdır. Ümumi ada geri düşən istifadəçi adı xəritələməsi reyestrin heç vaxt təsdiqləmədiyi sertifikatı səssizcə qəbul edəcək. Effektiv adı onu yaradan əmrin yanına yazın ki, növbəti operator sıranı yenidən kəşf etməli olmasın. Hər xəritələmə üçün bir bağlantı sınamaq ucuzdur və məsələni həll edir.

Xəritələmə nə istehsal edirsə, qorunmalı dəyər odur. CA-da ümumi adları qoruyub server istifadəçi adlarına əsaslanırsa, səhv şeyi qoruyursunuz.

İki CA eyni adı təsdiqləyə bilər

VPN xidməti birdən çox buraxan orqana etibar edə bilər və hər orqan hansı adların tutulduğuna dair öz fikrini saxlayır. İki müstəqil CA müxtəlif cihazlar üçün eyni ümumi adı təsdiqləyə bilər və server hər iki sertifikatı şikayətsiz qəbul edir. Etibar paketindəki hər orqanı inventarlaşdırın, yalnız adətən buraxdığınız orqanı deyil. Nasazlıq ikinci orqanın sertifikatı ilk dəfə istifadə edildikdə ortaya çıxır.

Eyni məntiq ümumi ad unikallığı yerinə tam subyekt unikallığını tətbiq edən CA üçün də keçərlidir.

Ümumi adı paylaşan, lakin təşkilati vahidi fərqlənən iki sertifikatın subyektləri fərqlidir, buna görə CA heç bir ziddiyyət bildirmir, server isə bir ad görür. Defolt fərz etmək əvəzinə buraxma alətinizin həqiqətən istifadə etdiyi parametri yoxlayın. openssl ca sənədləşməsində unique_subject davranışı oradakı uyğun düymədir və həmin alət ətrafındakı sarğılar onu adətən əvəz etmək yerinə açıq şəkildə təqdim edir.

Yeniləmə toqquşma deyil, qorunmuş təkrar istifadədir

Adı saxlayan yeniləmə qəsdən edilən təkrar istifadədir və reyestr bunu sadə sözlərlə deməlidir. Köhnə barmaq izini və yenisini bir ad altında qeyd edin ki, rəyçi əvəzləməni ələ keçirmədən ayıra bilsin. Serverin duplicate-cn seçimi əlaqəsizdir: o, eyni vaxtlı sessiyaları idarə edir, qeydiyyatı və ya ad qorumasını deyil. Hər iki etimadnamənin nə qədər mövcud ola biləcəyini və köhnənin nə vaxt qəbul edilməyəcəyini qərarlaşdırın.

Əvəzləməni təhvil verməzdən əvvəl sertifikatın həqiqətən nə saxladığını oxuyun. Subyekt sətri fayl adının nə təklif etməsindən asılı olmayaraq serverin xəritələyəcəyi sahədir.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Ləğvetmə adətən sertifikatı buraxan orqan altında tanıdır, buna görə bir seriya nömrəsini təqaüdə çıxarmaq eyni orqandan düzgün buraxılmış əvəzləməyə təsir etmir. Bu davranış təmiz yeniləmənin tam ehtiyac duyduğu şeydir və ləğvetmənin iki cihazın paylaşdığı adı təmizləyə bilməməsinin səbəbi də budur. Effektiv siyasət adını və təyin edilmiş ünvanı istifadəçi cihazı görməzdən əvvəl sınaq bağlantısında yoxlayın. Sonra köhnə etimadnaməni qəsdən təqaüdə çıxarın və bunu etdiyinizi qeyd edin.