Sdílená CA, oddělené dveře: jedna služba na soubor schválení

Certifikát, který se ověří proti sdílené autoritě, prošel zkouškou důvěry, nikoli zkouškou členství. Tato dvě rozhodnutí se často slévají, protože obě nastávají při připojení, a slití zůstává neviditelné, dokud do služby není vpuštěn někdo, kdo tam nemá být. Oprava není druhá autorita; je to druhé rozhodnutí, učiněné pro každou službu a zaznamenané tam, kde jej démon čte. Držte obojí oddělené a většina zmatku v této oblasti zmizí.

Důvěryhodný řetězec neříká nic o členství ve službě

Dvě služby mohou přijímat stejnou vydávající hierarchii a přesto mít různé populace. Jeden notebook patří do první a nesmí dosáhnout druhé, zatímco jiní klienti stejné hierarchie tam skutečně patří. Odebrání autority z této služby by uzamklo všechny, kdo ji oprávněně používají, takže jde o schválení, nikoli o důvěru.

Pomáhá představit si dva zámky na jedněch dveřích. Certifikát otevírá vnější zámek a rozhodnutí pro danou službu otevírá vnitřní; ani jedno nenahrazuje druhé. Služba pouze s vnějším zámkem členství vůbec nevynucuje, pouze ověřuje identitu. Zapište obě rozhodnutí, než cokoli změníte, protože politiku, která existuje jen v podobě fungujícího připojení, nelze auditovat. Následující text se týká vnitřního zámku.

Přeměňte volitelná přepsání na vstupní bránu

Adresář klientské konfigurace je obvykle pohodlí: soubory v něm přepisují nastavení klientů, které jmenují, a klient bez souboru prostě běží s výchozími hodnotami serveru. Jedna direktiva promění toto pohodlí v bránu, takže chybějící soubor znamená odmítnuté připojení.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Komunitní vydání OpenVPN 2.6 ccd-exclusive na své stránce manuálu dokumentuje právě tuto podmínku a vyhledání pojmenovaného souboru závisí na efektivní identitě klienta. Jiná sestavení a servery spravované produkty se mohou lišit, proto před spoléháním na stejnou sémantiku jinde ověřte nainstalovanou verzi.

Berte výše uvedenou cestu jako příklad a zkontrolujte nasazené uspořádání, místo abyste vytvářeli adresář, který si vymyslel nějaký návod. Ponechte stávající kontroly certifikátů, kontroly identity serveru a autentizaci účtů přesně tak, jak byly, protože fragment přidává podmínku a nic neodebírá. Změnu připravte před produkcí, protože odmítnutí vyvolané na špatném místě vypadá jako selhání certifikátu a pošle vyšetřování k autoritě. Poté potvrďte, že řádek protokolu pro odmítnutého klienta uvádí chybějící konfigurační soubor, nikoli řetězec.

Jeden adresář na službu, ne jeden sdílený seznam

Členství patří službě, která jej vynucuje, takže každá služba drží vlastní adresář a vlastní soubory. Nasměrování dvou služeb na jeden seznam způsobí, že sdílejí členství ať to někdo zamýšlel nebo ne, a výslednou změnu je obtížné vysledovat k rozhodnutí. Sdílená autorita může zůstat sdílená; soubory schválení ne. Jejich oddělení také znamená, že chyba v jedné službě nemůže tiše rozšířit jinou.

Záznam DEFAULT je případ, který lidi mate. Poskytuje záložní nastavení, když není nalezen pojmenovaný soubor, ale není to pojmenovaný soubor, který brána vyžaduje, takže sám klienta vpustit nemůže. Otestujte klienta, který nemá vůbec žádný záznam, a potvrďte odmítnutí; pokud je takový klient vpuštěn, uplatňuje se záloha a ccd-exclusive v této instanci neplatí.

Efektivní identita rozhoduje, který soubor se čte

Vyhledání používá identitu, se kterou se klient skutečně autentizoval, což je obvykle běžné jméno certifikátu. Když server také ověřuje uživatelské jméno a heslo a mapuje toto jméno na běžné jméno, musí soubor odpovídat ověřenému uživatelskému jménu. Neshoda zanechá adresář plný věrohodných názvů souborů, které se nikdy nevyberou.

Čtení je druhá polovina. Démon obvykle po spuštění sníží oprávnění, takže omezený účet potřebuje právo čtení adresáře a každého záznamu v něm. Klienti nesmějí moci vytvořit si vlastní záznam přes žádnou zapisovatelnou cestu, protože samoobslužné schválení mechanismus zcela ruší. Zkontrolujte oprávnění připojení a sdílení, nejen režim souboru, protože adresář, který vypadá uzavřený pro jeden účet, může být otevřený pro jiný. Poté potvrďte, který účet běžící proces skutečně používá, nikoli který účet uvádí unit soubor. Oba jsou shodné jen tehdy, když je nic jiného nezměnilo.

Pozorujte odmítnutí, schválení a odvolání odděleně

Zkuste identitu, která do služby patří, a potvrďte, že se připojí. Zkuste platný certifikát bez záznamu a potvrďte, že je odmítnut. Zkuste identitu schválenou pro druhou službu a potvrďte, že zde schválena není. Poznamenejte instanci služby a efektivní identitu vedle každého výsledku, protože výsledek bez tohoto kontextu nikdo jiný nezreprodukuje.

Odebrání je samostatná operace od odvolání. Úprava souboru schválení odebere oprávnění k jedné službě, zatímco identita zůstává platná všude jinde, kdežto kompromitovaný klíč vyžaduje reakci organizace na odvolání. Předem rozhodněte, co se stane se již navázanými relacemi, protože ani úprava adresáře, ani seznam odvolání je samy neukončí.

Schválení je také jen první branou. Připojení ke službě neříká nic o podsítích, databázích ani rozhraních pro správu za ní a tato politika zdrojů musí být napsána a otestována zvlášť.