OpenVPN client-config-dir: імя файла супраць агульнага імені ў сертыфікаце

Да таго як кліент хоць раз падключыцца, у гульні ўжо два імёны: імя файла на ноўтбуку (nuc.ovpn) і ідэнтычнасць, якую сервер выводзіць з уліковых даных. Пошук client-config-dir выкарыстоўвае другое. Перайменаванне профілю на кліенце або даданне .conf да файла сервера ніяк не змяняе тое, які файл адкрые сервер.

Карыснае параўнанне — не «якое імя я выкарыстаў», а «якое правіла прымяняе сервер», бо аўтэнтыфікацыя па сертыфікаце і аўтэнтыфікацыя па імені карыстальніка/паролі могуць даваць розныя фактычныя імёны для аднаго і таго ж уваходу.

Імя профілю супраць агульнага імені ў сертыфікаце

Пры стандартнай наладзе на аснове сертыфікатаў сервер бярэ агульнае імя X.509 і шукае файл з дакладна такім імем унутры client-config-dir. Профіль з назвай nuc.ovpn, у сертыфікаце якога tester, пераўтвараецца ў /etc/openvpn/server/ccd/tester. Імя кліенцкага файла ніколі не ўваходзіць у разлік. Гэта першае месца, дзе хаваецца неадпаведнасць.

Таму каталог, поўны дбайна названых профіляў, можа правальвацца кожны раз. Файл супастаўляецца не па суб’екце, не па адрасе электроннай пошты і не па назве ў GUI; ён супастаўляецца па радку агульнага імені.

На файлавай сістэме, адчувальнай да рэгістру, Tester і tester — два розныя файлы, і адкрываецца толькі адзін. Правярайце агульнае імя з сертыфіката, які кліент фактычна прад’яўляе, а не з копіі ў нататках.

username-as-common-name перавяртае правіла

Калі сервер выкарыстоўвае аўтэнтыфікацыю па імені карыстальніка/паролі з username-as-common-name, аўтэнтыфікаванае імя карыстальніка замяняе агульнае імя сертыфіката для гэтага пошуку.

Параўнайце два выпадкі напрамую: пры ідэнтычнасці па сертыфікаце файл ідзе за сертыфікатам і змена пароля не мае значэння; пры ідэнтычнасці па імені карыстальніка файл ідзе за імем уваходу і перавыдача сертыфіката не мае значэння. Якое поле сервер замяняе, на тое і трэба пераймяноўваць. Перавыдадзены сертыфікат з новым CN моўчкі змяняе мэту пошуку, а стары файл CCD застаецца на дыску і выглядае правільным.

Існуюць змешаныя канфігурацыі, і менавіта тут пачынаецца большая частка блытаніны. Калі адзін блок службы ўключае замену, а другі не, фактычнае імя залежыць ад таго, які асобнік абслугоўваў злучэнне. Пацвердзіце актыўную канфігурацыю, а не выказвайце здагадку, што дзейнічае глабальны файл. Першасная даведка па серверных опцыях апісвае пошук па названым файле і неабавязковы рэзервовы варыянт.

Што сервер чытае і што ён моўчкі прапускае

Дзве дробныя розніцы вырашаюць, ці будзе файл выбраны. Першая — дададзенае пашырэнне. Другая — выпадковы сімвал у імені.

OpenVPN не дадае .conf да імені, якое шукае, таму tester.conf не адпавядае tester. Рэдактар, які хавае пашырэнні, можа пакінуць файл, які ў спісе выглядае правільным і ніколі не супадае.

Калі адпаведнага файла няма, сервер можа перайсці да файла з назвай DEFAULT. Прыход некаторых налад таму не доказ таго, што выкарыстоўваўся файл канкрэтнага кліента. Параўнайце прызначаны адрас або перададзеныя маршруты з тым, што даў бы файл канкрэтнага кліента. Дазволы — гэта трэці фільтр, бо сервер адкрывае файл пасля скіду прывілеяў; root-абалонка, якая можа яго прачытаць, нічога не даказвае.

Правільнае імя файла не правярае змест

Выбар і змест — асобныя збоі. Пасля адкрыцця правільнага файла яго дырэктывы ўсё яшчэ павінны быць сапраўднымі для гэтага кліента.

ifconfig-push павінен прызначыць адрас, які тапалогія сапраўды можа выкарыстаць, а iroute мае сэнс толькі для маршрутызаванай падсеткі за гэтым кліентам.

Адна ідэнтычнасць, некалькі прылад

Два ноўтбукі з аднолькавым агульным імем выбіраюць адзін файл і атрымліваюць аднолькавыя налады канкрэтнага кліента. Калі патрэбны асобныя адрасы або асобнае адкліканне, патрэбны асобныя ідэнтычнасці, а не дзве копіі аднаго файла.

Параўнанне — паміж супольным выкарыстаннем ідэнтычнасці і выдачай аднаго сертыфіката на прыладу. Супольнае прасцей адміністраваць і грубей адклікаць, а сертыфікаты на кожную прыладу каштуюць больш налад і даюць чыстую адзінку для адключэння.