Dau dystysgrif OpenVPN, un enw CCD: beth a aeth o'i le

Gall dau dystysgrif cleient â rhifau cyfresol gwahanol, allweddi gwahanol a hyd yn oed pynciau llawn gwahanol o hyd ddatrys i un ffeil polisi, oherwydd nid yw'r gweinydd yn edrych ar unrhyw un o'r rheini. Mae'n darllen enw o'r dystysgrif ac yn agor y ffeil ffurfweddu cleient sy'n cyfateb. Os yw'r ddwy dystysgrif yn cario'r un enw, mae'r ail yn etifeddu polisi'r gyntaf yr eiliad y bydd yn cysylltu.

Crëir y gwrthdrawiad wrth gofrestru a dim ond ar adeg cysylltu y caiff ei ddarganfod, fel arfer pan fo dyfais yn derbyn cyfeiriad neu set o lwybrau sy'n perthyn i beiriant arall. Mae ei atal yn golygu cytuno pa faes y mae'r gweinydd yn ei fapio, ac yna cadw'r gwerth hwnnw cyn i unrhyw beth gael ei lofnodi.

Ni fydd eich offer tystysgrifau yn eich rhybuddio, oherwydd mae unigrywder y tu mewn i X.509 ac unigrywder enw polisi OpenVPN yn ofynion gwahanol a orfodir gan systemau gwahanol.

Mae'r gweinydd yn chwilio am enw, nid am ôl-bys

Gyda'r mapio arferol sy'n seiliedig ar dystysgrifau, mae'r gweinydd yn cymryd yr enw cyffredin o'r dystysgrif a gyflwynwyd ac yn chwilio am ffeil o'r enw hwnnw yn ei gyfeiriadur ffurfweddu cleientiaid. Gall y ffeil honno binio cyfeiriad statig, gwthio llwybrau neu gymhwyso marciau mur gwarchod fesul cleient. Mae'r chwiliad yn gyfatebiaeth llinyn ag enw ffeil, felly mae maint llythrennau, bylchau ac atalnodi i gyd yn bwysig.

Mae rhai defnyddiadau'n bwriadol yn cyfnewid y mapio fel bod enw defnyddiwr dilysedig yn cymryd lle'r enw cyffredin, ac yna'r enw defnyddiwr sydd i fod yn unigryw. Naill ai ffordd, y gwerth sy'n dewis polisi yw'r gwerth rydych chi'n ei gadw. Penderfynwch pa un ydyw cyn dyroddi unrhyw beth; mae dyfalu ar ôl gwrthdrawiad yn costio mwy na gofyn.

Lle mae dau awdurdod yn ffitio'r un enw

Mae sefydliad sy'n derbyn tystysgrifau gan fwy nag un awdurdod dyroddi yn rhedeg dau broses gofrestru annibynnol sy'n ysgrifennu i un gofod enwau. Mae rheolau unigrywder pob awdurdod yn gymwys y tu mewn iddo'i hun, felly gall y ddau ddyroddi'n gyfreithlon ar gyfer yr un enw cyffredin heb i'r naill na'r llall sylwi ar unrhyw beth o'i le.

Nid yw rhifau cyfresol yn helpu. Mae X.509 yn mynnu bod rhif cyfresol yn unigryw o fewn cwmpas ei ddyroddwr, sef nodwedd o gyfrifon y mae'r awdurdod hwnnw'n ei chadw, nid hunaniaeth ddyfais fyd-eang. Mae gwiriad pwnc hefyd yn brawf gwahanol i wiriad enw cyffredin: gall dwy dystysgrif rannu CN tra'n gwahaniaethu mewn uned sefydliadol, ac felly'n cario pynciau gwahanol. Gall pob un o'r nodweddion hynny fod yn wir tra bo'r gweinydd yn dal i fapio'r ddwy dystysgrif i un enw ffeil.

Mae dogfennaeth OpenSSL CA yn ymdrin â'r gosodiad unique_subject sy'n llywodraethu barn ei gronfa ddata ei hun, a'r man cychwyn gonest yw darllen eich ffurfweddiad dyroddi yn hytrach na thybio bod rhagosodiad penodol EasyRSA neu OpenSSL yn gymwys.

Cadwch yr enw effeithiol cyn llofnodi

Cadwch gofrestr sy'n mapio dyfais i'w chofnod cymeradwy ac oddi yno i union enw ffeil polisi, fel y caiff enw ei ddyrannu unwaith ac aros wedi'i ddyrannu. Rhaid i'r cadw fod yn atomig, sydd yn ymarferol yn golygu cyfyngiad cronfa ddata neu glo o amgylch y cam dyrannu-ac-yna-llofnodi, nid taenlen y mae dau berson yn ei golygu.

Yna gwnewch y gwiriad yn rhan o'r dyroddiad: gwrthodwch lofnodi pan fydd yr enw y gofynnwyd amdano eisoes yn bod, a chynhwyswch bob awdurdod y mae'r gweinydd yn ymddiried ynddo yn y gwiriad hwnnw, oherwydd mae enw a gadwyd gan yr awdurdod arall yr un mor gymerwyd. Mae cais a wrthodwyd â rheswm clir yn rhatach na thocyn am ddyfais sy'n dal i gael cyfeiriad statig rhywun arall.

Mae adnewyddu'n ailddefnyddio enw yn fwriadol

Dylai ailddyroddi ar gyfer dyfais bresennol gynhyrchu rhif cyfresol newydd o dan yr un enw polisi, ac mae hynny'n ailddefnyddio cyfreithlon yn hytrach na gwrthdrawiad. Yr hyn y mae'n rhaid ei benderfynu ymlaen llaw yw'r gorgyffwrdd: a all yr hen dystysgrif a'r un newydd fod yn ddilys ar yr un pryd, a sut mae'r hen gymhwyster yn cael ei dynnu'n ôl.

Peidiwch â chyrraedd am duplicate-cn i ddatrys hyn. Mae'r opsiwn gweinydd hwnnw'n llywodraethu cysylltiadau cyfamserol sy'n cyflwyno'r un enw; nid yw'n cloi cofrestru, ac nid yw ei alluogi yn gwneud un cyfeiriad statig a rennir yn ddiogel i ddau beiriant ar unwaith. Mae dirymu fel arfer yn adnabod tystysgrif drwy ddyroddwr a rhif cyfresol, felly nid oes rhaid i dynnu'r hen gymhwyster yn ôl ddirymu ei amnewidiad, cyhyd â bod y gweinydd yn derbyn ac yn gorfodi'r data dirymu cywir.

Cadarnhewch y mapio gyda'r offer ar y peiriant

Cyn rhoi ei gymhwyster newydd i ddyfais, darllenwch yr enw o'r dystysgrif fel y bydd'r gweinydd yn ei wneud, ac yna cymharwch hynny â'r ffeil polisi rydych yn disgwyl iddi gael ei dewis.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Mae'r gorchymyn cyntaf yn argraffu meysydd pwnc ar wahân, sy'n gwneud uned sefydliadol grwydrol neu fwlch wedi'i ddyblu yn weladwy ar unwaith. Mae'r ail yn cadarnhau bod ffeil polisi yn bod o dan yn union yr enw hwnnw, ac mae'r trydydd yn dangos a yw'r gweinydd wedi'i ffurfweddu i ganiatáu sawl sesiwn ar un enw. Rheswch y tri ar dystysgrif newydd cyn iddi adael y cam cofrestru, tra bo camgymeriad yn dal i gostio llofnod yn lle digwyddiad. Cadwch yr allbwn gyda'r tocyn fel y gall y person nesaf weld pa enw a roddwyd i'r gweinydd mewn gwirionedd.

Gorffennwch â chysylltiad go iawn a chymharwch y cyfeiriad a bennwyd a'r llwybrau a wthiwyd â'r ffeil polisi yn hytrach nag â'r hyn yr oeddech yn bwriadu ei ysgrifennu. Os bydd dwy ddyfais yn adrodd yr un cyfeiriad statig, mae gan y gofrestr wrthdrawiad na fydd unrhyw archwiliad tystysgrif byth yn ei ddatgelu.