OpenVPN client-config-dir: název souboru versus CN certifikátu

Než se klient vůbec připojí, hrají roli dva názvy: název souboru na notebooku (nuc.ovpn) a identita, kterou server odvodí z pověření. Vyhledávání client-config-dir používá druhý z nich. Přejmenování profilu na klientovi nebo přidání .conf k souboru na serveru nijak nemění to, který soubor server otevře.

Užitečné srovnání není „který název jsem použil“, ale „které pravidlo server uplatňuje“, protože autentizace certifikátem a autentizace uživatelským jménem/heslem mohou ze stejného přihlášení vytvořit různé efektivní názvy.

Název profilu versus běžný název certifikátu

Při výchozím nastavení založeném na certifikátech server vezme běžný název X.509 a hledá soubor přesně s tímto názvem uvnitř client-config-dir. Profil s názvem nuc.ovpn, jehož certifikát říká tester, se přeloží na /etc/openvpn/server/ccd/tester. Název klientského souboru nikdy do výpočtu nevstupuje. To je první místo, kde se neshoda skrývá.

Adresář plný pečlivě pojmenovaných profilů proto může pokaždé minout. Soubor se nepáruje podle subjectu, e-mailové adresy ani názvu zobrazeného v GUI; páruje se podle řetězce běžného názvu.

Na souborovém systému rozlišujícím velikost písmen jsou Tester a tester dva různé soubory a otevře se jen jeden. Kontrolujte běžný název z certifikátu, který klient skutečně předkládá, ne z kopie ve svých poznámkách.

username-as-common-name pravidlo obrací

Když server používá autentizaci uživatelským jménem/heslem s username-as-common-name, nahradí pro toto vyhledávání běžný název certifikátu ověřené uživatelské jméno.

Porovnejte oba případy přímo: u identity z certifikátu soubor sleduje certifikát a změna hesla nemá význam; u identity z uživatelského jména soubor sleduje přihlašovací jméno a opětovné vydání certifikátu nemá význam. Podle toho, které pole server nahradí, se má soubor přejmenovat. Znovu vydaný certifikát s novým CN tiše změní cíl vyhledávání a starý soubor CCD zůstane na disku a vypadá správně.

Existují smíšené konfigurace a právě tam začíná většina zmatku. Pokud jeden blok služby substituci zapíná a jiný ne, efektivní název závisí na tom, která instance spojení obsloužila. Potvrďte aktivní konfiguraci, místo abyste předpokládali, že platí globální soubor. Původní přehled serverových voleb dokumentuje vyhledávání podle pojmenovaného souboru a volitelnou zálohu.

Co server čte a co tiše přeskakuje

O tom, zda bude soubor vybrán, rozhodují dva malé rozdíly. Prvním je přidaná přípona. Druhým je zbloudilý znak v názvu.

OpenVPN nepřidává .conf k názvu, který hledá, takže tester.conf neodpovídá tester. Editor, který skrývá přípony, může zanechat soubor, který v seznamu vypadá správně a nikdy se nespáruje.

Když žádný odpovídající soubor neexistuje, může server přejít na soubor s názvem DEFAULT. Doručení některých nastavení tedy není důkazem, že byl použit soubor pro konkrétního klienta. Porovnejte přidělenou adresu nebo vytlačené trasy s tím, co by soubor pro konkrétního klienta vytvořil. Oprávnění jsou třetím filtrem, protože server otevírá soubor poté, co se vzdá oprávnění; root shell, který ho dokáže přečíst, nic nedokazuje.

Správný název souboru obsah neověřuje

Výběr a obsah jsou oddělené poruchy. Jakmile se otevře správný soubor, jeho direktivy stále musí být pro daného klienta platné.

ifconfig-push musí přidělit adresu, kterou topologie skutečně dokáže použít, a iroute má smysl jen pro směrovanou podsíť za tímto klientem.

Jedna identita, několik zařízení

Dva notebooky se stejným běžným názvem vyberou stejný soubor a dostanou stejná nastavení specifická pro klienta. Pokud potřebujete samostatné adresy nebo samostatné odvolání, potřebujete samostatné identity, ne dvě kopie jednoho souboru.

Srovnání je mezi sdílením identity a vydáním jednoho certifikátu na zařízení. Sdílení se snáze spravuje a hůř odvolává, zatímco certifikáty na zařízení stojí více nastavení a dávají čistou jednotku k vypnutí.