OpenVPN client-config-dir: dosiernomo kontraŭ la CN de la atestilo

Du nomoj ludas rolon antaŭ ol kliento eĉ konektiĝas: la dosiernomo sur la tekkomputilo (nuc.ovpn) kaj la identeco, kiun la servilo derivas el la legitimilo. Serĉo en client-config-dir uzas la duan. Renomi la profilon ĉe la kliento aŭ aldoni .conf al la servila dosiero tute ne ŝanĝas, kiun dosieron la servilo malfermas.

La utila komparo ne estas «kiun nomon mi uzis» sed «kiun regulon la servilo aplikas», ĉar atestila aŭtentikigo kaj uzantnoma/pasvorta aŭtentikigo povas produkti malsamajn efektivajn nomojn el la sama ensaluto.

Profila nomo kontraŭ la komuna nomo de la atestilo

En la defaŭlta atestilbazita agordo la servilo prenas la X.509-komunan nomon kaj serĉas dosieron kun ĝuste tiu nomo ene de client-config-dir. Profilo nomata nuc.ovpn, kies atestilo diras tester, solviĝas al /etc/openvpn/server/ccd/tester. La dosiernomo de la kliento neniam eniras la kalkulon. Tio estas la unua loko, kie malkongruo kaŝiĝas.

Dosierujo plena de zorgeme nomitaj profilo do povas maltrafi ĉiufoje. La dosiero ne estas parigata laŭ subject, laŭ retadreso aŭ laŭ la nomo montrata en GUI; ĝi estas parigata laŭ la signoĉeno de la komuna nomo.

Sur uskleca dosiersistemo Tester kaj tester estas du malsamaj dosieroj, kaj nur unu estas iam malfermata. Kontrolu la komunan nomon el la atestilo, kiun la kliento efektive prezentas, ne el kopio en viaj notoj.

username-as-common-name inversigas la regulon

Kiam la servilo funkciigas uzantnoman/pasvortan aŭtentikigon kun username-as-common-name, la aŭtentikigita uzantnomo anstataŭas la komunan nomon de la atestilo por tiu ĉi serĉo.

Komparu la du kazojn rekte: kun atestila identeco la dosiero sekvas la atestilon kaj pasvorta ŝanĝo estas senrelativa; kun uzantnoma identeco la dosiero sekvas la ensalutan nomon kaj reeldono de la atestilo estas senrelativa. Kiun kampon la servilo anstataŭas, laŭ tiu oni renomu. Reeldonita atestilo kun nova CN silente ŝanĝas la serĉocelon, kaj la malnova CCD-dosiero restas sur la disko ŝajnante ĝusta.

Ekzistas miksitaj agordoj, kaj ĝuste tie komenciĝas la plej multa konfuzo. Se unu serva bloko ŝaltas la anstataŭigon kaj alia ne, la efektiva nomo dependas de tio, kiu instanco traktis la konekton. Konfirmu la aktivan agordon anstataŭ supozi, ke validas la tutmonda dosiero. La origina referenco pri servilaj opcioj dokumentas la serĉon laŭ nomita dosiero kaj la nedevigan rezervon.

Kion la servilo legas, kaj kion ĝi silente preterlasas

Du malgrandaj diferencoj decidas, ĉu dosiero estas elektita. La unua estas aldonita finaĵo. La dua estas vaganta signo en la nomo.

OpenVPN ne aldonas .conf al la nomo, kiun ĝi serĉas, do tester.conf ne kongruas kun tester. Redaktilo, kiu kaŝas finaĵojn, povas lasi dosieron, kiu aspektas ĝusta en listo kaj neniam kongruas.

Kiam mankas kongrua dosiero, la servilo povas rezervi al dosiero nomata DEFAULT. Do alveno de kelkaj agordoj ne pruvas, ke la dosiero por la unuopa kliento estis uzata. Komparu la asignitan adreson aŭ la puŝitajn itinerojn kun tio, kion la dosiero por la unuopa kliento produktus. Permesoj estas la tria filtrilo, ĉar la servilo malfermas la dosieron post forlasi privilegiojn; radika ŝelo, kiu povas legi ĝin, pruvas nenion.

Ĝusta dosiernomo ne validigas la enhavon

Elekto kaj enhavo estas apartaj fiaskoj. Post kiam la ĝusta dosiero estas malfermita, ĝiaj instrukcioj ankoraŭ devas esti validaj por tiu kliento.

ifconfig-push devas asigni adreson, kiun la topologio povas efektive uzi, kaj iroute sencas nur por enkursigita subreto malantaŭ tiu kliento.

Unu identeco, pluraj aparatoj

Du tekkomputiloj, kiuj prezentas la saman komunan nomon, elektas la saman dosieron kaj ricevas la samajn klient-specifajn agordojn. Se vi bezonas apartajn adresojn aŭ apartan revokon, vi bezonas apartajn identecojn, ne du kopiojn de unu dosiero.

La komparo estas inter kunhavigo de identeco kaj eldono de unu atestilo por aparato. Kunhavigo estas pli simpla administri kaj pli maldelikata revoki, dum atestiloj por aparato kostas pli da agordo kaj donas al vi puran unuon por malŝalti.