Proč mohou dva certifikáty OpenVPN sdílet jednu politiku CCD

CA může podepsat dva certifikáty, které dostanou stejnou OpenVPN konfiguraci specifickou pro klienta, a nic v ani jednom z certifikátů nikoho nevaruje. Sériová čísla se liší, klíče se liší a plné subjekty se také liší, jakmile se změní organizační jednotka. Server určuje politiku pro každého klienta přes jedno jméno a toto jméno je jediné, co musí být jedinečné.

Server rozlišuje jméno, ne sériové číslo

Při běžném vyhledání certifikátu server vezme běžné jméno z předloženého certifikátu a hledá záznam v client-config-dir s tímto jménem. Sériové číslo do vyhledávání nikdy nevstoupí. Dva certifikáty, které se liší ve všech polích kromě běžného jména, skončí ve stejném souboru, takže druhé připojení zdědí pevnou adresu a vnucené trasy prvního zařízení.

Tak projde kontrola jedinečnosti na straně CA, zatímco VPN stále koliduje. Obě kontroly odpovídají na různé otázky.

Rozhodněte, jaké má být efektivní jméno, než cokoli podepíšete, a poznamenejte si ho vedle zařízení nebo účtu, k němuž patří. Registr jména, vlastníka, účelu a otisku certifikátu pokrývá většinu nasazení. Bez něho je archiv certifikátů jediným záznamem o tom, které jméno patří kterému zařízení, a tento archiv nedokáže rozlišit oprávněnou náhradu od druhého zařízení nárokujícího existující jméno. Rezervujte jméno při zápisu, pod zámkem, pokud mohou dva operátoři vydávat současně.

Které jméno mapování skutečně používá

Běžné vyhledání certifikátu používá běžné jméno. Server nastavený k mapování ověřeného uživatelského jména použije místo toho tuto hodnotu, což činí běžné jméno certifikátu pro volbu politiky nepodstatným. Přečtěte si běžící konfiguraci, abyste viděli, které mapování platí.

Obě mapování mohou existovat současně a výsledek pak závisí na pořadí, v němž je server vyhodnocuje. Mapování uživatelského jména, které padá zpět na běžné jméno, tiše přijme certifikát, který registr nikdy neschválil. Napište efektivní jméno vedle příkazu, který jej vytvořil, aby další operátor nemusel pořadí znovu objevovat. Testování jednoho připojení na mapování je levné a otázku vyřeší.

Ať mapování vytvoří cokoli, je to hodnota k rezervaci. Rezervovat běžná jména v CA, zatímco se server opírá o uživatelská jména, znamená rezervovat špatnou věc.

Dvě CA mohou schválit stejné jméno

Služba VPN může důvěřovat více než jednomu vydavateli a každý vydavatel si drží vlastní představu o tom, která jména jsou obsazená. Dvě nezávislé CA mohou obě schválit stejné běžné jméno pro různá zařízení a server přijme oba certifikáty bez stížnosti. Zinventarizujte každého vydavatele v balíku důvěry, ne jen toho, ze kterého obvykle vydáváte. Selhání se objeví poprvé, když se použije certifikát druhého vydavatele.

Stejná úvaha platí pro CA, která vynucuje jedinečnost plného subjektu místo jedinečnosti běžného jména.

Dva certifikáty se stejným běžným jménem, ale různou organizační jednotkou mají různé subjekty, takže CA nehlásí konflikt, zatímco server vidí jedno jméno. Zkontrolujte nastavení, které váš nástroj pro vydávání skutečně používá, místo abyste předpokládali výchozí hodnotu. zpracování unique_subject v dokumentaci openssl ca je tam příslušná páčka a obaly kolem tohoto nástroje ji obvykle vystavují, místo aby ji nahrazovaly.

Obnova je rezervované opětovné použití, ne kolize

Obnova, která zachová jméno, je záměrné opětovné použití a registr by to měl říci prostými slovy. Poznamenejte starý otisk a nový pod jedním jménem, aby recenzent rozeznal náhradu od převzetí. Volba duplicate-cn serveru s tím nesouvisí: řídí souběžné relace, ne zápis nebo rezervace jmen. Rozhodněte, jak dlouho mohou oba údaje existovat a kdy starý přestane být přijímán.

Než náhradu předáte, přečtěte si, co certifikát skutečně obsahuje. Řádek subjektu je pole, které server namapuje, ať název souboru naznačuje cokoli.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Odvolání obvykle identifikuje certifikát pod jeho vydavatelem, takže vyřazení jednoho sériového čísla neovlivní správně vydanou náhradu od stejné autority. Přesně toto chování čistá obnova potřebuje, a právě proto odvolání nedokáže uklidit jméno sdílené dvěma zařízeními. Ověřte efektivní název politiky a přidělenou adresu na zkušebním připojení, než uživatel zařízení uvidí. Potom starý údaj záměrně vyřaďte a poznamenejte, že jste to udělali.