OpenVPN client-config-dir: fitxategi-izena ziurtagiriaren CN-aren aurka

Bi izen daude jokoan bezeroa konektatu baino lehen: ordenagailu eramangarriko fitxategi-izena (nuc.ovpn) eta zerbitzariak kredentzialetik eratortzen duen identitatea. client-config-dir bilaketa bigarrena erabiltzen du. Bezeroan profila berrizendatzeak edo zerbitzariko fitxategian .conf gehitzeak ez du ezer aldatzen zerbitzariak zein fitxategi irekitzen duen.

Konparazio erabilgarria ez da «zein izen erabili nuen» baizik eta «zein arau aplikatzen du zerbitzariak», ziurtagiriko autentifikazioak eta erabiltzaile-izen/pasahitz autentifikazioak izen eraginkor desberdinak sor baititzakete saio-hasiera beretik.

Profilaren izena eta ziurtagiriaren izen komuna

Ziurtagirian oinarritutako ezarpen lehenetsian zerbitzariak X.509 izen komuna hartzen du eta izen zehatz hori duen fitxategia bilatzen du client-config-dir barruan. Ziurtagiriak tester dioen nuc.ovpn profil bat /etc/openvpn/server/ccd/tester helbidean ebazten da. Bezeroaren fitxategi-izenak ez du inoiz kalkuluan sartzen. Hori da desadostasuna ezkutatzen den lehen lekua.

Beraz, arretaz izendatutako profilez betetako direktorio batek huts egin dezake aldi bakoitzean. Fitxategia ez da subject-aren, helbide elektronikoaren edo GUI batean erakutsitako izenaren arabera parekatzen; izen komunaren katearen arabera parekatzen da.

Maiuskulak bereizten dituen fitxategi-sisteman Tester eta tester bi fitxategi desberdin dira, eta bakarra irekitzen da. Egiaztatu izen komuna bezeroak benetan aurkeztutako ziurtagiritik, ez zure oharretako kopiatik.

username-as-common-name aukerak araua iraultzen du

Zerbitzariak erabiltzaile-izen/pasahitz autentifikazioa username-as-common-name ezarpenarekin exekutatzen duenean, autentifikatutako erabiltzaile-izenak ziurtagiriaren izen komuna ordezkatzen du bilaketa honetarako.

Konparatu bi kasuak zuzenean: ziurtagiri-identitatearekin fitxategiak ziurtagiria jarraitzen du eta pasahitza aldatzea ez da garrantzitsua; erabiltzaile-izen identitatearekin fitxategiak saio-izena jarraitzen du eta ziurtagiria berrargitaratzea ez da garrantzitsua. Zerbitzariak zein eremu ordezkatzen duen, horren aurka egin behar da berrizendapena. CN berria duen ziurtagiri berrargitaratu batek bilaketaren helburua isilki aldatzen du, eta CCD fitxategi zaharrak diskoan jarraitzen du zuzena emanez.

Konfigurazio mistoak daude, eta han hasten da nahasmenaren zatirik handiena. Zerbitzu-bloke batek ordezkatzea gaitzen badu eta besteak ez, izen eraginkorra zein instantzik kudeatu zuen konexioak zein instantik kudeatu zuen araberakoa da. Egiaztatu konfigurazio aktiboa, fitxategi globala aplikatzen dela suposatu ordez. Jatorrizko zerbitzari-aukeren erreferentzia dokumentuak izendatutako fitxategiaren bilaketa eta hautazko ordezko bidea deskribatzen ditu.

Zer irakurtzen duen zerbitzariak eta zer saltatzen duen isilki

Bi alde txikik erabakitzen dute fitxategi bat hautatzen den. Lehena gehitutako luzapena da. Bigarrena izenean galdu den karaktere bat da.

OpenVPN ez dio bilatzen duen izenari .conf gehitzen, beraz tester.conf ez dator bat tester-ekin. Luzapenak ezkutatzen dituen editore batek zerrendan zuzena ematen duen eta inoiz bat ez datorren fitxategia utz dezake.

Fitxategi egokirik ez dagoenean, zerbitzariak DEFAULT izeneko fitxategira jo dezake. Beraz, ezarpen batzuk heltzeak ez du frogatzen bezero bakoitzeko fitxategia erabili zenik. Alderatu esleitutako helbidea edo bultzatutako ibilbideak bezero bakoitzeko fitxategiak emango lukeenarekin. Baimenak hirugarren iragazkia dira, zerbitzariak fitxategia pribilegioak utzi ondoren irekitzen baitu; irakur dezakeen root shell batek ez du ezer frogatzen.

Fitxategi-izen zuzen batek ez du edukia baliozkotzen

Hautaketa eta edukia hutsegite bereiziak dira. Fitxategi zuzena ireki ondoren, haren direktibek bezero horrentzat baliozkoa izan behar dute oraindik.

ifconfig-push topologiak benetan erabil dezakeen helbide bat esleitu behar du, eta iroute bezero horren atzeko azpisare bideratu baterako bakarrik du zentzua.

Identitate bat, hainbat gailu

Izen komun bera aurkezten duten bi ordenagailu eramangarrik fitxategi bera hautatzen dute eta bezeroaren berariazko ezarpen berak jasotzen dituzte. Helbide bereiziak edo errebokazio bereizia behar badituzu, identitate bereiziak behar dituzu, ez fitxategi baten bi kopia.

Konparazioa identitate bat partekatzearen eta gailuko ziurtagiri bat igortzearen artean dago. Partekatzea errazagoa da administratzen eta zakarragoa errebokatzen, gailuko ziurtagiriek ezarpen gehiago eskatzen dituzten bitartean eta desgaitzeko unitate garbi bat ematen dizute.