Miks kaks OpenVPN-sertifikaati võivad jagada ühte CCD-poliitikat

CA võib allkirjastada kaks sertifikaati, mis saavad sama OpenVPN kliendipõhise konfiguratsiooni, ja mitte miski kummaski sertifikaadis ei hoieta kedagi. Seerianumbrid erinevad, võtmed erinevad ja täissubjektid erinevad samuti kohe, kui organisatsiooniüksus muutub. Server otsustab poliitika kliendi kohta ühe nime kaudu ja see nimi on ainus, mis peab olema unikaalne.

Server lahendab nime, mitte seerianumbrit

Tavalise sertifikaadiotsingu korral võtab server esitatud sertifikaadist üldnime ja otsib selle nimega client-config-dir-kirjet. Seerianumber ei jõua kunagi otsingusse. Kaks sertifikaati, mis erinevad kõigis väljades peale üldnime, satuvad samasse faili, nii et teine ühendus pärib esimese seadme fikseeritud aadressi ja lükatud marsruudid.

Nii läbib CA-poolne unikaalsuskontroll, samal ajal kui VPN ikka põrkub. Kaks kontrolli vastavad erinevatele küsimustele.

Otsustage, milline peaks olema efektiivne nimi, enne kui midagi allkirjastate, ja kirjutage see seadme või konto kõrvale, kellele see kuulub. Register nime, omaniku, otstarbe ja sertifikaadi sõrmejäljega katab enamiku juurutusi. Ilma selleta on sertifikaadiarhiiv ainus kirje selle kohta, milline nimi kuulub millisele seadmele, ja see arhiiv ei suuda eristada volitatud asendust teisest seadmest, mis nõuab olemasolevat nime. Broneerige nimi registreerimisel, luku all, kui kaks operaatorit saavad samal ajal väljastada.

Millist nime vastendus tegelikult kasutab

Tavaline sertifikaadiotsing kasutab üldnime. Server, mis on seatud vastendama autenditud kasutajanime, kasutab selle asemel seda väärtust, mis muudab sertifikaadi üldnime poliitika valiku jaoks ebaoluliseks. Lugege jooksvat konfiguratsiooni, et näha, milline vastendus kehtib.

Mõlemad vastendused võivad korraga olemas olla ja siis sõltub tulemus järjekorrast, milles server need lahendab. Kasutajanime vastendus, mis langeb tagasi üldnimele, võtab vaikselt vastu sertifikaadi, mida register kunagi ei kinnitanud. Kirjutage efektiivne nimi selle tootnud käsu kõrvale, et järgmine operaator ei peaks järjekorda uuesti avastama. Ühe ühenduse testimine vastenduse kohta on odav ja lahendab küsimuse.

Mida iganes vastendus toodab, see on broneeritav väärtus. Üldnimede broneerimine CA-s, samal ajal kui server lähtub kasutajanimedest, broneerib vale asja.

Kaks CA-d võivad kinnitada sama nime

VPN-teenus võib usaldada rohkem kui ühte väljaandvat asutust ja igal asutusel on oma ettekujutus sellest, millised nimed on hõivatud. Kaks sõltumatut CA-d võivad mõlemad kinnitada sama üldnime erinevatele seadmetele ja server võtab mõlemad sertifikaadid vastu ilma kaebuseta. Inventeerige iga asutus usalduskimbus, mitte ainult see, millelt tavaliselt väljastate. Tõrge ilmneb esimest korda siis, kui kasutatakse teise asutuse sertifikaati.

Sama loogika kehtib CA kohta, mis nõuab täissubjekti unikaalsust, mitte üldnime unikaalsust.

Kahel sertifikaadil, mis jagavad üldnime, kuid erinevad organisatsiooniüksuselt, on erinevad subjektid, nii et CA ei teataks konfliktist, samal ajal kui server näeb üht nime. Kontrollige seadet, mida teie väljastamisvahend tegelikult kasutab, selle asemel et eeldada vaikeväärtust. unique_subject käsitlemine openssl ca dokumentatsioonis on seal asjakohane nupp ja selle vahendi ümber olevad mähised tavaliselt paljastavad selle, selle asemel et seda asendada.

Uuendamine on broneeritud korduskasutus, mitte kokkupõrge

Uuendamine, mis säilitab nime, on teadlik korduskasutus ja register peaks seda ütlema lihtsate sõnadega. Märkige vana sõrmejälg ja uus ühe nime alla, et ülevaataja saaks eristada asendust ülevõtmisest. Serveri valik duplicate-cn ei ole sellega seotud: see reguleerib samaaegseid sessioone, mitte registreerimist ega nimede broneerimist. Otsustage, kui kaua mõlemad volitused võivad eksisteerida ja millal vana enam vastu ei võeta.

Enne asenduse üleandmist lugege tagasi, mida sertifikaat tegelikult sisaldab. Subjekti rida on väli, mille server vastendab, ükskõik mida failinimi vihjab.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Tühistamine tuvastab sertifikaadi tavaliselt selle väljaandja all, nii et ühe seerianumbri kasutusest kõrvaldamine ei mõjuta sama asutuse korrektselt väljastatud asendust. Just sellist käitumist vajab puhas uuendamine ja just seetõttu ei saa tühistamine korrastada nime, mida jagavad kaks seadet. Valideerige efektiivne poliitikanimi ja määratud aadress testühendusel enne, kui kasutaja seadet näeb. Seejärel kõrvaldage vana volitus teadlikult kasutusest ja märkige, et tegite seda.