OpenVPN client-config-dir: enw ffeil yn erbyn CN y dystysgrif

Mae dau enw ar waith cyn i’r cleient gysylltu hyd yn oed: enw’r ffeil ar y gliniadur (nuc.ovpn) a’r hunaniaeth y mae’r gweinydd yn ei ddeillio o’r cymhwyster. Mae chwiliad client-config-dir yn defnyddio’r ail. Nid yw ailenwi’r proffil ar y cleient, na ychwanegu .conf at y ffeil ar y gweinydd, yn newid dim ynglŷn â pha ffeil y mae’r gweinydd yn ei hagor.

Nid «pa enw a ddefnyddiais» yw’r cymharu defnyddiol, ond «pa reol y mae’r gweinydd yn ei chymhwyso», oherwydd gall dilysu â thystysgrif a dilysu ag enw defnyddiwr/cyfrinair gynhyrchu enwau effeithiol gwahanol o’r un mewngofnodiad.

Enw’r proffil yn erbyn enw cyffredin y dystysgrif

Yn y gosodiad diofyn sy’n seiliedig ar dystysgrif, mae’r gweinydd yn cymryd enw cyffredin X.509 ac yn chwilio am ffeil â’r enw hwnnw’n union y tu mewn i client-config-dir. Mae proffil o’r enw nuc.ovpn y mae ei dystysgrif yn dweud tester yn datrys i /etc/openvpn/server/ccd/tester. Nid yw enw ffeil y cleient byth yn rhan o’r cyfrifiad. Dyna’r man cyntaf lle mae anghysondeb yn cuddio.

Felly gall cyfeiriadur llawn proffiliau a enwir yn ofalus fethu bob tro. Nid yw’r ffeil yn cael ei chyfateb yn ôl pwnc, cyfeiriad e-bost na’r enw a ddangosir mewn GUI; mae’n cael ei chyfateb yn ôl llinyn yr enw cyffredin.

Ar system ffeiliau sy’n sensitif i lythrennau mawr, mae Tester a tester yn ddwy ffeil wahanol, a dim ond un sy’n cael ei hagor. Gwiriwch yr enw cyffredin o’r dystysgrif y mae’r cleient yn ei chyflwyno mewn gwirionedd, nid o gopi yn eich nodiadau.

Mae username-as-common-name yn troi’r rheol o chwith

Pan fo’r gweinydd yn rhedeg dilysu ag enw defnyddiwr/cyfrinair gyda username-as-common-name, mae’r enw defnyddiwr dilysedig yn cymryd lle enw cyffredin y dystysgrif ar gyfer y chwiliad hwn.

Cymharwch y ddwy achos yn uniongyrchol: gyda hunaniaeth dystysgrif, mae’r ffeil yn dilyn y dystysgrif ac mae newid cyfrinair yn amherthnasol; gyda hunaniaeth enw defnyddiwr, mae’r ffeil yn dilyn yr enw mewngofnodi ac mae ailddyroddi’r dystysgrif yn amherthnasol. Pa bynnag faes y mae’r gweinydd yn ei amnewid, dyna’r un i ailenwi yn ei erbyn. Mae tystysgrif a ailddyroddwyd â CN newydd yn newid targed y chwiliad yn ddistaw, ac mae’r hen ffeil CCD yn aros ar y disg yn edrych yn gywir.

Mae cyfluniadau cymysg yn bodoli, a dyna lle mae’r rhan fwyaf o’r dryswch yn dechrau. Os yw un bloc gwasanaeth yn galluogi’r amnewid ac un arall heb, mae’r enw effeithiol yn dibynnu ar ba enghraifft a driniodd y cysylltiad. Cadarnhewch y cyfluniad gweithredol yn hytrach na thybio bod y ffeil fyd-eang yn berthnasol. Mae’r cyfeirlyfr opsiynau gweinydd gwreiddiol yn dogfennu’r chwiliad ffeil enwir a’r cwymp dewisol.

Yr hyn y mae’r gweinydd yn ei ddarllen, a’r hyn y mae’n ei hepgor yn ddistaw

Mae dau wahaniaeth bach yn penderfynu a fydd ffeil yn cael ei dewis. Y cyntaf yw estyniad wedi’i ychwanegu. Yr ail yw cymeriad crwydrol yn yr enw.

Nid yw OpenVPN yn ychwanegu .conf at yr enw y mae’n chwilio amdano, felly nid yw tester.conf yn cyfateb i tester. Gall golygydd sy’n cuddio estyniadau adael ffeil sy’n edrych yn gywir mewn rhestr ac na chyfatebir byth.

Pan nad oes ffeil gyfatebol, gall y gweinydd ddisgyn yn ôl i ffeil o’r enw DEFAULT. Felly nid yw rhai gosodiadau’n cyrraedd yn brawf bod y ffeil fesul cleient wedi’i defnyddio. Cymharwch y cyfeiriad a neilltuwyd neu’r llwybrau a wthiwyd â’r hyn y byddai’r ffeil fesul cleient yn ei gynhyrchu. Mae caniatâd yn drydydd hidlydd, oherwydd mae’r gweinydd yn agor y ffeil ar ôl gollwng braint; nid yw plisgyn root sy’n gallu ei darllen yn profi dim.

Nid yw enw ffeil cywir yn dilysu’r cynnwys

Mae dewis a chynnwys yn fethiannau ar wahân. Ar ôl agor y ffeil gywir, mae’n rhaid i’w chyfarwyddiadau fod yn ddilys i’r cleient hwnnw o hyd.

Rhaid i ifconfig-push neilltuo cyfeiriad y gall y topoleg ei ddefnyddio mewn gwirionedd, ac nid yw iroute yn gwneud synnwyr ond ar gyfer is-rwydwaith a lwybrwyd y tu ôl i’r cleient hwnnw.

Un hunaniaeth, sawl dyfais

Mae dau gliniadur sy’n cyflwyno’r un enw cyffredin yn dewis yr un ffeil ac yn cael yr un gosodiadau penodol i’r cleient. Os oes angen cyfeiriadau ar wahân neu ddirymu ar wahân, mae angen hunaniaethau ar wahân, nid dwy gopi o un ffeil.

Mae’r cymharu rhwng rhannu hunaniaeth ac arddyroddi un dystysgrif i bob dyfais. Mae rhannu’n haws ei weinyddu ac yn frasach ei ddirymu, tra bod tystysgrifau fesul dyfais yn costio mwy o osod ac yn rhoi uned lân i’w hanalluogi.