Pam y gall dau dystysgrif OpenVPN rannu un polisi CCD

Gall CA lofnodi dwy dystysgrif sy'n cael yr un OpenVPN cyfluniad sy'n benodol i gleient, ac nid oes dim yn y naill dystysgrif na'r llall yn rhybuddio neb. Mae rhifau cyfresol yn wahanol, mae allweddi'n wahanol, ac mae'r pynciau llawn yn wahanol hefyd unwaith y bydd uned sefydliadol yn newid. Mae'r gweinydd yn datrys polisi pob cleient trwy un enw, a'r enw hwnnw yw'r unig beth sy'n rhaid bod yn unigryw.

Mae'r gweinydd yn datrys enw, nid rhif cyfresol

Gyda chwiliad tystysgrif syml, mae'r gweinydd yn cymryd yr enw cyffredin o'r dystysgrif a gyflwynir ac yn chwilio am gofnod client-config-dir o'r enw hwnnw. Nid yw'r rhif cyfresol byth yn mynd i mewn i'r chwiliad. Mae dwy dystysgrif sy'n wahanol ym mhob maes ac eithrio'r enw cyffredin yn glanio ar yr un ffeil, felly mae'r ail gysylltiad yn etifeddu cyfeiriad sefydlog a llwybrau gwthio'r ddyfais gyntaf.

Dyna sut mae gwiriad unigryw iawn ar ochr CA yn pasio tra bod y VPN yn dal i wrthdaro. Mae'r ddau wiriad yn ateb cwestiynau gwahanol.

Penderfynwch beth ddylai'r enw effeithiol fod cyn llofnodi unrhyw beth, a'i gofnodi wrth ymyl y ddyfais neu'r cyfrif y mae'n perthyn iddo. Mae cofrestr o enw, perchennog, pwrpas ac ôl bys tystysgrif yn cwmpasu'r rhan fwyaf o osodiadau. Hebddo, yr archif dystysgrifau yw'r unig gofnod o ba enw sy'n perthyn i ba ddyfais, ac ni all yr archif honno wahaniaethu rhwng disodliad awdurdodedig a thrydedd ddyfais yn hawlio enw sy'n bodoli eisoes. Cadwch yr enw ar gofrestru, o dan glo os gall dau weithredwr lofnodi ar yr un pryd.

Pa enw y mae'r mapio yn ei ddefnyddio mewn gwirionedd

Mae chwiliad tystysgrif syml yn defnyddio'r enw cyffredin. Mae gweinydd a osodir i fapio enw defnyddiwr dilys yn defnyddio'r gwerth hwnnw yn lle, sy'n gwneud enw cyffredin y dystysgrif yn amherthnasol i ddewis polisi. Darllenwch y cyfluniad sy'n rhedeg i weld pa fapio sydd mewn grym.

Gall y ddau fap fod yn bresennol ar unwaith, ac yna mae'r canlyniad yn dibynnu ar y drefn y mae'r gweinydd yn eu datrys. Bydd map enw defnyddiwr sy'n disgyn yn ôl i'r enw cyffredin yn derbyn dystysgrif na chymeradwyodd y gofrestr erioed yn dawel. Ysgrifennwch yr enw effeithiol wrth ymyl y gorchymyn a'i cynhyrchodd fel na fydd yn rhaid i'r gweithredwr nesaf ailddarganfod y drefn. Mae profi un cysylltiad fesul map yn rhad ac yn setlo'r cwestiwn.

Beth bynnag y mae'r mapio'n ei gynhyrchu, dyna'r gwerth i'w gadw. Mae cadw enwau cyffredin yn y CA tra bod y gweinydd yn dibynnu ar enwau defnyddiwr yn cadw'r peth anghywir.

Gall dau CA gymeradwyo'r un enw

Gall gwasanaeth VPN ymddiried mewn mwy nag un awdurdod cyhoeddi, a phob awdurdod yn cadw ei syniad ei hun o ba enwau sy'n cael eu cymryd. Gall dau CA annibynnol gymeradwyo'r un enw cyffredin ar gyfer gwahanol ddyfeisiau, ac mae'r gweinydd yn derbyn y ddwy dystysgrif heb gwyn. Rhowch bob awdurdod yn y bwndel ymddiriedaeth ar eich rhestr, nid yn unig yr un rydych chi fel arfer yn cyhoeddi ohono. Mae'r methiant yn ymddangos y tro cyntaf y defnyddir tystysgrif o'r ail awdurdod.

Mae'r un rhesymu yn berthnasol i CA sy'n gorfodi unigrywiaeth pwnc llawn yn hytrach nag unigrywiaeth enw cyffredin.

Mae gan ddwy dystysgrif sy'n rhannu enw cyffredin ond yn wahanol mewn uned sefydliadol bynciau gwahanol, felly nid yw'r CA yn adrodd unrhyw wrthdaro tra bod y gweinydd yn gweld un enw. Gwiriwch y gosodiad y mae eich teclyn cyhoeddi yn ei ddefnyddio mewn gwirionedd yn lle tybio rhagosodiad. Y triniaeth unique_subject yn nogfennaeth openssl ca yw'r nobyn perthnasol yno, ac mae lapwyr o amgylch y teclyn hwnnw fel arfer yn ei ddatgelu yn hytrach na'i ddisodli.

Mae adnewyddu yn ailddefnyddio cadw, nid yn wrthdrawiad

Mae adnewyddu sy'n cadw'r enw yn ailddefnyddio bwriadol, a dylai'r gofrestr ddweud hynny mewn geiriau plaen. Cofnodwch yr ôl bys hen a'r un newydd o dan un enw fel y gall adolygydd wahaniaethu disodliad oddi wrth feddiant. Nid oes a wnelo opsiwn duplicate-cn y gweinydd â hyn: mae'n llywodraethu sesiynau cydredol, nid cofrestru na chadw enwau. Penderfynwch pa mor hir y gall y ddau wybodaeth fodoli a phryd y bydd yr hen un yn peidio â chael ei dderbyn.

Cyn trosglwyddo'r disodliad, darllenwch yn ôl beth sydd yn y dystysgrif mewn gwirionedd. Y llinell bwnc yw'r maes y bydd y gweinydd yn ei fapio, beth bynnag y mae enw'r ffeil yn ei awgrymu.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Mae dirymu fel arfer yn nodi tystysgrif o dan ei chyhoeddwr, felly nid yw ymddeol un rhif cyfresol yn effeithio ar ddisodliad a gyhoeddwyd yn gywir o'r un awdurdod. Dyna'n union ymddygiad sydd ei angen ar adnewyddiad glân, a dyna hefyd pam na all dirymu lanhau enw a rennir gan ddau ddyfais. Dilyswch enw polisi effeithiol a'r cyfeiriad a neilltuwyd ar gysylltiad prawf cyn i'r defnyddiwr weld y ddyfais. Yna ymddeolwch yr hen wybodaeth yn fwriadol a chofnodwch eich bod wedi gwneud hynny.