OpenVPN client-config-dir: failinimi versus sertifikaadi CN

Kaks nime on mängus enne, kui klient üldse ühendub: sülearvuti failinimi (nuc.ovpn) ja identiteet, mille server mandaadist tuletab. client-config-dir otsing kasutab teist. Profiili ümbernimetamine kliendis või .conf lisamine serveri failile ei muuda midagi selles, millise faili server avab.

Kasulik võrdlus ei ole «millist nime ma kasutasin», vaid «millist reeglit server rakendab», sest sertifikaadi autentimine ja kasutajanime/parooli autentimine võivad samast sisselogimisest anda erinevad tegelikud nimed.

Profiili nimi versus sertifikaadi üldnimi

Vaikimisi sertifikaadipõhises seades võtab server X.509 üldnime ja otsib client-config-dir sees faili täpselt selle nimega. Profiil nimega nuc.ovpn, mille sertifikaat ütleb tester, lahendub aadressiks /etc/openvpn/server/ccd/tester. Kliendi failinimi ei satu kunagi arvutusse. See on esimene koht, kuhu ebakõla peitub.

Seega võib hoolikalt nimetatud profiilidest täis kataloog iga kord mööda lüüa. Faili ei sobitata subjekti, e-posti aadressi ega GUI-s näidatava nime järgi; seda sobitatakse üldnime stringi järgi.

Tõstutundlikul failisüsteemil on Tester ja tester kaks erinevat faili ja avatakse ainult üks. Kontrollige üldnime sertifikaadist, mille klient tegelikult esitab, mitte märkmetes olevast koopiast.

username-as-common-name pöörab reegli tagurpidi

Kui server kasutab kasutajanime/parooliga autentimist koos valikuga username-as-common-name, asendab autenditud kasutajanimi selle otsingu jaoks sertifikaadi üldnime.

Võrrelge kahte juhtumit otse: sertifikaadi identiteedi korral järgib fail sertifikaati ja parooli muutmine on tähtsusetu; kasutajanime identiteedi korral järgib fail sisselogimisnime ja sertifikaadi uuesti väljastamine on tähtsusetu. Millise välja server asendab, selle järgi tuleb ümber nimetada. Uue CN-iga uuesti väljastatud sertifikaat muudab otsingu sihtmärki vaikselt ja vana CCD-fail jääb kettale õigena näima.

On ka segaseid seadistusi ja just sealt algab suurem osa segadusest. Kui üks teenuseplokk lubab asendust ja teine mitte, sõltub tegelik nimi sellest, milline eksemplar ühendust teenindas. Kinnitage aktiivne seadistus, selle asemel et eeldada globaalse faili kehtimist. Ülesvoolu serverivalikute viide dokumenteerib nimetatud faili otsingu ja valikulise varuvariandi.

Mida server loeb ja mida ta vaikselt vahele jätab

Faili valiku otsustavad kaks väikest erinevust. Esimene on lisatud laiend. Teine on juhuslik märk nimes.

OpenVPN ei lisa otsitavale nimele .conf, seega tester.conf ei sobi kokku nimega tester. Redaktor, mis peidab laiendeid, võib jätta faili, mis loendis näib õige ega sobi kunagi.

Kui sobivat faili ei ole, võib server langeda tagasi failile nimega DEFAULT. Mõnede seadete saabumine ei ole seega tõestus, et kasutati kliendipõhist faili. Võrrelge määratud aadressi või lükatud marsruute sellega, mida kliendipõhine fail annaks. Õigused on kolmas filter, sest server avab faili pärast privileegidest loobumist; root-kest, mis suudab seda lugeda, ei tõesta midagi.

Õige failinimi ei valideeri sisu

Valik ja sisu on eraldi tõrked. Kui õige fail on avatud, peavad selle direktiivid ikka selle kliendi jaoks kehtima.

ifconfig-push peab määrama aadressi, mida topoloogia tegelikult kasutada saab, ja iroute on mõttekas ainult selle kliendi taga oleva marsruuditud alamvõrgu jaoks.

Üks identiteet, mitu seadet

Kaks sülearvutit, mis esitavad sama üldnime, valivad sama faili ja saavad samad kliendipõhised seaded. Kui vajate eraldi aadresse või eraldi tühistamist, vajate eraldi identiteete, mitte kahte koopiat ühest failist.

Võrdlus on identiteedi jagamise ja seadme kohta ühe sertifikaadi väljastamise vahel. Jagamine on haldamiseks lihtsam ja tühistamiseks jämedam, samas kui seadmepõhised sertifikaadid nõuavad rohkem seadistamist ja annavad teile puhta üksuse keelamiseks.