Un Enw Cyffredin, Dau Dystysgrif: Rhestr Ganiatáu neu Ddirymu?

Mae ailddyroddi tystysgrif gliniadur o dan yr un enw cyffredin yn teimlo fel amnewid, ac mae pawb yn cymryd yn ganiataol bod yr hen un wedi marw. Nac ydyw. Mae’r rhagflaenydd yn parhau’n dystysgrif ddilys a lofnodwyd gan yr un awdurdod, a bydd unrhyw reolaeth sy’n derbyn cleientiaid wrth enw yn parhau i’w derbyn. Y rhif cyfresol sy’n gwahanu gwiriad hunaniaeth oddi wrth wiriad tystlythyrau, a dyna lle mae’r atgyweiriad yn perthyn.

Dechreuwch gyda’r polisi enwi y mae’r gweinydd yn ei ddefnyddio

Mae dwy reolaeth yn cael eu cymysgu: derbyn cleient am ei fod yn honni pwy yw, a dileu un dystysgrif benodol o wasanaeth. Gwiriad enw yw’r gyntaf, gwiriad dirymu yw’r ail. Maent yn ateb cwestiynau gwahanol, a gall defnydd fod â’r naill heb y llall.

Darllenwch ffurfweddiad y gweinydd a nodwch pa ffynhonnell hunaniaeth sydd dan sylw. username-as-common-name yn gwneud yr enw defnyddiwr dilysedig yn enw effeithiol ar gyfer chwiliadau sy’n benodol i gleient. Heb hynny, defnyddir enw cyffredin y pwnc o’r dystysgrif. Beth bynnag yw’r ateb, nodwch ef cyn i chi gyffwrdd ag unrhyw restr ganiatáu.

Mae’r ddau lwybr yn cynhyrchu set wahanol o enwau a ganiateir ar gyfer yr un dystysgrif. Mae dyfalu yma yn golygu golygu’r ffeil anghywir a chasglu nad yw’r reolaeth yn gweithio.

Gwiriwch beth sy’n derbyn cleient mewn gwirionedd

Mae client-config-dir gyda ffeil gyfatebol yn darparu opsiynau fesul cleient; ar ei ben ei hun nid yw’n rheol dderbyn. Mae derbyn wrth enw yn gofyn am ccd-exclusive, sy’n gwrthod cleientiaid heb ffeil gyfatebol. Mae galluogi hynny ar ddefnydd byw yn datgysylltu pawb nad oes ganddynt ffeil ar gyfer eu henw, felly cyfrwch y ffeiliau cyn i chi droi unrhyw beth.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Y cyfrif yw’r gwiriad: cymharwch restriad y cyfeiriadur â’r hunaniaethau rydych yn disgwyl iddynt gysylltu.

Yna cadarnhewch fod pob enw ffeil yn cyfateb yn union i’r hunaniaeth effeithiol, gan gynnwys maint llythrennau a bylchau. Mae ffeil ar gyfer office-laptop yn gwneud dim i dystysgrif y mae ei phwnc yn darllen Office-Laptop. Mae bylchau terfynol hefyd yn cuddio rhag rhestriad plaen, a dyna sut mae ffeil sy’n edrych yn bresennol yn aros heb ei darllen.

Gwiriwch y CRL y mae’r porth yn ei lwytho

Mae CRL yn enwi tystysgrifau dirymedig yn ôl dyroddwr a rhif cyfresol, sef y manylder sydd ar goll gan wiriad enw. Gall dwy dystysgrif rannu enw cyffredin a gwahaniaethu mewn rhif cyfresol, a dim ond rhestr ar lefel rhif cyfresol sy’n eu gwahanu.

Cadarnhewch y llwybr a ffurfweddwyd, y dyddiad dyroddi a’r maes diweddariad nesaf cyn ymddiried yn y ffeil o gwbl.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Cymharwch y rhif cyfresol yn y CRL â’r rhif cyfresol ar y dystysgrif rydych yn bwriadu ei chadw. Y gymhariaeth honno yw’r prawf cyfan, ac mae ei wneud unwaith â’r llygad yn werth mwy na bod yn ddibynnol ar sgript na ddarllenodd neb. Dosbarthwch y CRL wedi’i diweddaru drwy’r llwybr y mae’r porth yn ei ddarllen yn barod. Nid yw CRL mewn cyfeiriadur anghywir yn gorfodi dim, ac ni fydd unrhyw gofnod cleient yn sôn amdano.

Amnewidiwch, yna profwch y ddau ganlyniad

Dyroddwch yr amnewidiad o dan yr un enw cyffredin, cofnodwch y ddau rif cyfresol, a dim ond wedyn dirymwch yr hen un. Mae’r drefn honno’n cadw hunaniaeth weithredol ar gael wrth i chi baratoi’r newid.

Profwch yr amnewidiad yn gyntaf: dylai ddilysu a chyrraedd popeth y mae ei enw’n gymwys iddo. Yna profwch yr hen dystysgrif a chadarnhau ei bod yn cael ei gwrthod, oherwydd nid yw amnewidiad llwyddiannus yn dweud dim am ddirymu. Os yw’r ddau yn dal i gysylltu, nid yw’r mewnbwn dirymu’n cael ei ddarllen neu ni chofnodwyd yr hen rif cyfresol erioed. Os nad oes yr un yn cysylltu, rydych wedi torri’r rheol dderbyn yn hytrach na’r dystlythyr.

Mae sesiynau a sefydlwyd yn barod yn fater ar wahân, gan fod dirymu’n berthnasol i ddilysiadau newydd oni bai bod y porth hefyd wedi’i ffurfweddu i ollwng cysylltiadau byw. Penderfynwch a oes angen tynnu ar unwaith cyn addo hynny i unrhyw un.

Yr hyn na all gwiriad enw ei wneud byth

Mae rhestr ganiatáu yn ateb a all yr hunaniaeth hon gysylltu. Ni all ddweud pa dystysgrif a ddefnyddiodd yr hunaniaeth honno, a bydd yn derbyn tystlythyr hŷn cyhyd ag y bydd y dystlythyr yn parhau’n ddilys ac heb ei ddirymu. Daw’r bwlch hwnnw i’r amlwg yn ystod digwyddiad, pan gyhoeddwyd yr amnewidiad fisoedd yn ôl ac mae’r rhagflaenydd yn dal i weithio.

Lle bo angen rheolaeth ar lefel tystysgrif, defnyddiwch fecanwaith sy’n enwi’r dystysgrif: cofnodion CRL, neu fachyn gwirio sy’n gwirio ôl bys y mae’r gweithredwr yn ei gynnal. Mae’r ddau yn costio cynnal a chadw, ac mae’r ddau yn onest am y gwrthrych maent yn ei archwilio. Mae llawlyfr OpenVPN 2.6 yn dogfennu crl-verify a derbyniad sy’n benodol i gleient fel opsiynau ar wahân am y rheswm hwnnw.

Nodwch pa reolaeth sy’n gwneud pa waith, yna profwch yr achos negyddol. Mae dirymiad nad ydych erioed wedi’i weld yn gwrthod cysylltiad yn ffurfweddiad rydych yn gobeithio y bydd yn gweithio.