OpenVPN client-config-dir: όνομα αρχείου ή CN πιστοποιητικού

Δύο ονόματα παίζουν πριν ακόμη συνδεθεί ο πελάτης: το όνομα του αρχείου στον φορητό υπολογιστή (nuc.ovpn) και η ταυτότητα που εξάγει ο διακομιστής από το διαπιστευτήριο. Μια αναζήτηση client-config-dir χρησιμοποιεί το δεύτερο. Η μετονομασία του προφίλ στον πελάτη ή η προσθήκη .conf στο αρχείο του διακομιστή δεν αλλάζει τίποτα ως προς το ποιο αρχείο ανοίγει ο διακομιστής.

Η χρήσιμη σύγκριση δεν είναι «ποιο όνομα χρησιμοποίησα» αλλά «ποιον κανόνα εφαρμόζει ο διακομιστής», γιατί η ταυτοποίηση με πιστοποιητικό και η ταυτοποίηση με όνομα χρήστη/κωδικό μπορούν να παράγουν διαφορετικά ενεργά ονόματα από την ίδια σύνδεση.

Όνομα προφίλ έναντι κοινού ονόματος πιστοποιητικού

Στην προεπιλεγμένη ρύθμιση με πιστοποιητικά ο διακομιστής παίρνει το κοινό όνομα X.509 και αναζητά αρχείο με ακριβώς αυτό το όνομα μέσα στο client-config-dir. Ένα προφίλ με όνομα nuc.ovpn του οποίου το πιστοποιητικό λέει tester αναλύεται σε /etc/openvpn/server/ccd/tester. Το όνομα του αρχείου του πελάτη δεν μπαίνει ποτέ στον υπολογισμό. Αυτό είναι το πρώτο σημείο όπου κρύβεται μια αναντιστοιχία.

Ένας κατάλογος γεμάτος προσεκτικά ονομασμένα προφίλ μπορεί επομένως να αποτυγχάνει κάθε φορά. Το αρχείο δεν ταιριάζεται με βάση το subject, τη διεύθυνση email ή το όνομα που εμφανίζεται σε ένα GUI· ταιριάζεται με βάση τη συμβολοσειρά του κοινού ονόματος.

Σε σύστημα αρχείων που διακρίνει πεζά και κεφαλαία, το Tester και το tester είναι δύο διαφορετικά αρχεία και ανοίγει μόνο ένα. Ελέγξτε το κοινό όνομα από το πιστοποιητικό που παρουσιάζει πραγματικά ο πελάτης, όχι από αντίγραφο στις σημειώσεις σας.

Το username-as-common-name αντιστρέφει τον κανόνα

Όταν ο διακομιστής εκτελεί ταυτοποίηση με όνομα χρήστη/κωδικό με username-as-common-name, το πιστοποιημένο όνομα χρήστη αντικαθιστά το κοινό όνομα του πιστοποιητικού για αυτή την αναζήτηση.

Συγκρίνετε απευθείας τις δύο περιπτώσεις: με ταυτότητα πιστοποιητικού το αρχείο ακολουθεί το πιστοποιητικό και η αλλαγή κωδικού δεν έχει σημασία· με ταυτότητα ονόματος χρήστη το αρχείο ακολουθεί το όνομα σύνδεσης και η επανέκδοση του πιστοποιητικού δεν έχει σημασία. Όποιο πεδίο αντικαθιστά ο διακομιστής, ως προς αυτό γίνεται η μετονομασία. Ένα επανεκδοθέν πιστοποιητικό με νέο CN αλλάζει αθόρυβα τον στόχο της αναζήτησης, και το παλιό αρχείο CCD μένει στον δίσκο και φαίνεται σωστό.

Υπάρχουν μικτές διαμορφώσεις και εκεί αρχίζει η περισσότερη σύγχυση. Αν ένα μπλοκ υπηρεσίας ενεργοποιεί την αντικατάσταση και άλλο όχι, το ενεργό όνομα εξαρτάται από το ποια παρουσία χειρίστηκε τη σύνδεση. Επιβεβαιώστε την ενεργή διαμόρφωση αντί να υποθέσετε ότι ισχύει το καθολικό αρχείο. Η αρχική αναφορά επιλογών διακομιστή τεκμηριώνει την αναζήτηση με ονομασμένο αρχείο και την προαιρετική εφεδρεία.

Τι διαβάζει ο διακομιστής και τι παραλείπει αθόρυβα

Δύο μικρές διαφορές καθορίζουν αν θα επιλεγεί ένα αρχείο. Η πρώτη είναι μια προστιθέμενη επέκταση. Η δεύτερη είναι ένα περιπλανώμενο χαρακτήρας στο όνομα.

Το OpenVPN δεν προσθέτει .conf στο όνομα που αναζητά, οπότε το tester.conf δεν ταιριάζει με το tester. Ένας επεξεργαστής που κρύβει τις επεκτάσεις μπορεί να αφήσει ένα αρχείο που φαίνεται σωστό σε μια λίστα και δεν ταιριάζει ποτέ.

Όταν δεν υπάρχει ταιριαστό αρχείο, ο διακομιστής μπορεί να καταφύγει σε αρχείο με όνομα DEFAULT. Το ότι φτάνουν μερικές ρυθμίσεις δεν αποδεικνύει ότι χρησιμοποιήθηκε το αρχείο ανά πελάτη. Συγκρίνετε τη διευθυντή που εκχωρήθηκε ή τις προωθημένες διαδρομές με το τι θα παρήγαγε το αρχείο ανά πελάτη. Τα δικαιώματα είναι το τρίτο φίλτρο, γιατί ο διακομιστής ανοίγει το αρχείο αφού εγκαταλείψει προνόμια· ένα κέλυφος root που μπορεί να το διαβάσει δεν αποδεικνύει τίποτα.

Ένα σωστό όνομα αρχείου δεν επικυρώνει το περιεχόμενο

Η επιλογή και το περιεχόμενο είναι ξεχωριστές αστοχίες. Μόλις ανοιχτεί το σωστό αρχείο, οι οδηγίες του πρέπει ακόμη να είναι έγκυρες για εκείνον τον πελάτη.

Το ifconfig-push πρέπει να εκχωρεί μια διεύθυνση που η τοπολογία μπορεί πράγματι να χρησιμοποιήσει, και το iroute έχει νόημα μόνο για δρομολογημένο υποδίκτυο πίσω από εκείνον τον πελάτη.

Μία ταυτότητα, πολλές συσκευές

Δύο φορητοί υπολογιστές που παρουσιάζουν το ίδιο κοινό όνομα επιλέγουν το ίδιο αρχείο και λαμβάνουν τις ίδιες ρυθμίσεις ειδικές για τον πελάτη. Αν χρειάζεστε ξεχωριστές διευθύνσεις ή ξεχωριστή ανάκληση, χρειάζεστε ξεχωριστές ταυτότητες, όχι δύο αντίγραφα ενός αρχείου.

Η σύγκριση είναι μεταξύ του μοιράσματος μιας ταυτότητας και της έκδοσης ενός πιστοποιητικού ανά συσκευή. Το μοίρασμα είναι απλούστερο στη διαχείριση και πιο χονδροειδές στην ανάκληση, ενώ τα πιστοποιητικά ανά συσκευή κοστίζουν περισσότερη ρύθμιση και σας δίνουν μια καθαρή μονάδα για απενεργοποίηση.