Kial du OpenVPN-atestiloj povas dividi unu CCD-politikon

CA povas subskribi du atestilojn, kiuj ricevas la saman OpenVPN klient-specifan agordon, kaj nenio en iu ajn el la du atestiloj avertas iun. Seriaj numeroj malsamas, ŝlosiloj malsamas, kaj la plenaj subjektoj ankaŭ malsamas tuj kiam organiza unuo ŝanĝiĝas. La servilo decidas la politikon por ĉiu kliento per unu nomo, kaj tiu nomo estas la sola afero, kiu devas esti unika.

La servilo decidas nomon, ne serian numeron

Ĉe ordinara atestila serĉo, la servilo prenas la ordinaran nomon el la prezentita atestilo kaj serĉas rikordon en client-config-dir kun tiu nomo. La seria numero neniam eniras la serĉon. Du atestiloj, kiuj malsamas en ĉiu kampo krom la ordinara nomo, alvenas en la saman dosieron, do la dua konekto heredas la fiksan adreson kaj puŝitajn itinerojn de la unua aparato.

Tiel unikeca kontrolo ĉe la CA-flanko sukcesas dum la VPN ankoraŭ kolizias. La du kontroloj respondas al malsamaj demandoj.

Decidu, kia devus esti la efektiva nomo antaŭ ol subskribi ion ajn, kaj registru ĝin apud la aparato aŭ konto, al kiu ĝi apartenas. Registro de nomo, posedanto, celo kaj atestila fingrospuro kovras la plej multajn enkondukojn. Sen ĝi, la atestila arkivo estas la sola registro pri tio, kiu nomo apartenas al kiu aparato, kaj tiu arkivo ne povas distingi rajtigitan anstataŭigon disde dua aparato, kiu postulas ekzistantan nomon. Rezervu la nomon ĉe aliĝo, sub ŝloso se du operatoroj povas eldoni samtempe.

Kiun nomon la mapado efektive uzas

Ordinara atestila serĉo uzas la ordinaran nomon. Servilo agordita por mapi aŭtentikigitan uzantnomon uzas tiun valoron anstataŭe, kio igas la ordinaran nomon de la atestilo nerelevanta por politika elekto. Legu la kurantan agordon por vidi, kiu mapado validas.

Ambaŭ mapadoj povas esti samtempe, kaj tiam la rezulto dependas de la ordo, en kiu la servilo decidas ilin. Uzantnoma mapado, kiu falas reen al la ordinara nomo, silente akceptos atestilon, kiun la registro neniam aprobis. Skribu la efektivan nomon apud la komando, kiu produktis ĝin, por ke la sekva operatoro ne devu retrovi la ordon. Testi unu konekton por mapado estas malmultekosta kaj solvas la demandon.

Kion ajn la mapado produktas, tio estas la valoro rezervinda. Rezervi ordinarajn nomojn en la CA dum la servilo baziĝas sur uzantnomoj rezervas la malĝustan aferon.

Du CA-oj povas aprobi la saman nomon

VPN-servo povas fidi pli ol unu eldonan aŭtoritaton, kaj ĉiu aŭtoritato tenas sian propran ideon pri tio, kiuj nomoj estas okupitaj. Du sendependaj CA-oj povas ambaŭ aprobi la saman ordinaran nomon por malsamaj aparatoj, kaj la servilo akceptas ambaŭ atestilojn sen plendo. Inventaru ĉiun aŭtoritaton en la fida pakaĵo, ne nur tiun, el kiu vi kutime eldonas. La fiasko aperas la unuan fojon, kiam uziĝas atestilo de la dua aŭtoritato.

La sama rezonado validas por CA, kiu devigas unikecon de la plena subjekto anstataŭ unikecon de la ordinara nomo.

Du atestiloj kun komuna ordinara nomo sed malsama organiza unuo havas malsamajn subjektojn, do la CA raportas neniun konflikton dum la servilo vidas unu nomon. Kontrolu la agordon, kiun via eldona ilo efektive uzas, anstataŭ supozi defaŭlton. La traktado de unique_subject en la dokumentaro de openssl ca estas la koncerna ŝaltilo tie, kaj ĉirkaŭaĵoj ĉirkaŭ tiu ilo kutime elmontras ĝin anstataŭ anstataŭigi ĝin.

Renovigo estas rezervita reuzo, ne kolizio

Renovigo, kiu konservas la nomon, estas intenca reuzo, kaj la registro devus tion diri per simplaj vortoj. Registru la malnovan fingrospuron kaj la novan sub unu nomo, por ke revizoro povu distingi anstataŭigon disde transpreno. La opcio duplicate-cn de la servilo estas senrilata: ĝi regas samtempajn seancojn, ne aliĝon aŭ nomrezervojn. Decidu, kiom longe ambaŭ legitimiloj rajtas ekzisti kaj kiam la malnova ĉesas esti akceptata.

Antaŭ ol transdoni la anstataŭigon, relegu, kion la atestilo efektive enhavas. La subjekta linio estas la kampo, kiun la servilo mapos, kion ajn la dosiernomo sugestas.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Revoko kutime identigas atestilon sub ĝia eldoninto, do emeritigi unu serian numeron ne afektas ĝuste eldonitan anstataŭigon de la sama aŭtoritato. Ĝuste tiu konduto estas tio, kion pura renovigo bezonas, kaj ĝuste tial revoko ne povas purigi nomon dividatan de du aparatoj. Validigu la efektivan politikan nomon kaj la asignitan adreson en testa konekto antaŭ ol la uzanto vidos la aparaton. Poste emeritigu la malnovan legitimilon intence kaj registru, ke vi tion faris.