Bi OpenVPN ziurtagiri, CCD izen bakarra: zer atera zen gaizki

Serie-zenbaki desberdinak, gako desberdinak eta are subjektu oso desberdinak dituzten bi bezero-ziurtagirik politika-fitxategi bakarrera irits daitezke oraindik, zerbitzariak horietako ezer ez baitu begiratzen. Ziurtagiritik izen bat irakurtzen du eta dagokion bezero-konfigurazio fitxategia irekitzen du. Bi ziurtagiriek izen bera badaramate, bigarrenak lehenaren politika oinordetzen du konektatzen den unean.

Talka izen-ematean sortzen da eta konexio-uneko soilik aurkitzen da, normalean gailu batek beste makina bati dagozkion helbide edo ibilbide multzo bat jasotzen duenean. Hori saihesteko, zerbitzariak zein eremu mapatzen duen adostu behar da, eta gero balio hori erreserbatu behar da ezer sinatu aurretik.

Zure ziurtagiri-tresnek ez dizute abisatuko, X.509 barruko bakartasuna eta OpenVPN politika-izen baten bakartasuna sistema desberdinek betearazten dituzten baldintza desberdinak baitira.

Zerbitzariak izen bat bilatzen du, ez hatz-marka bat

Ziurtagirietan oinarritutako mapatze arruntarekin, zerbitzariak aurkeztutako ziurtagiritik izen arrunta hartzen du eta izen horretako fitxategi bat bilatzen du bere bezero-konfigurazio direktorioan. Fitxategi horrek helbide estatikoa finka dezake, ibilbideak bultzatu edo bezero bakoitzeko suebaki-markak aplikatu. Bilaketa fitxategi-izen batekin kate-konkordantzia da, beraz, maiuskulak, tarteak eta puntuazioa denak axola du.

Inplementazio batzuek mapatzea nahita trukatzen dute, autentifikatutako erabiltzaile-izenak izen arruntaren lekua har dezan, eta orduan erabiltzaile-izena da bakarra izan behar duena. Edozein kasutan, politika hautatzen duen balioa zuk erreserbatzen duzun balioa da. Erabaki zein den ezer jaulki aurretik; talka baten ondoren asmatzeak galdetzeak baino gehiago balio du.

Non bi autoritateri izen bera egokitzen zaien

Autoritate igorle batek baino gehiagok emandako ziurtagiriak onartzen dituen erakunde batek izen-espazio bakarrera idazten duten bi izen-emate prozesu independente exekutatzen ditu. Autoritate bakoitzaren bakartasun-arauak bere barruan aplikatzen dira, beraz, biek legez jaulki dezakete izen arrunt berarentzat, inork ezer okerrik nabaritu gabe.

Serie-zenbakiek ez dute laguntzen. X.509-k eskatzen du serie-zenbakia bakarra izatea bere igorlearen esparruan, eta hori autoritate horren kontabilitatearen propietatea da, ez gailuaren identitate globala. Subjektu-egiaztapena ere izen arruntaren egiaztapenaren proba desberdina da: bi ziurtagirik CN bat partekatu dezakete unitate organizatiboan desberdinak izanik, eta beraz subjektu desberdinak eraman. Propietate horietako bakoitza bete daiteke zerbitzariak bi ziurtagiriak fitxategi-izen bakarrera mapatzen jarraitzen duen bitartean.

OpenSSL CA dokumentazioak bere datu-basearen iritzia gobernatzen duen unique_subject ezarpena hartzen du, eta abiapuntu zintzoa zure jaulkipen-konfigurazioa irakurtzea da, EasyRSA edo OpenSSL lehenespen jakin bat aplikatzen dela suposatu beharrean.

Erreserbatu izen eraginkorra sinatu aurretik

Mantendu gailu bat bere erregistro onartura eta handik politika-fitxategi-izen zehatz batera mapatzen duen erregistro bat, izen bat behin esleitu eta esleituta jarraitu dadin. Erreserbak atomikoa izan behar du, eta horrek praktikan datu-basearen murrizketa bat edo esleitu-eta-sinatu urratsaren inguruko blokeo bat esan nahi du, bi pertsonek editatzen duten kalkulu-orri bat ez.

Gero egin egiaztapena jaulkipenaren parte: ukatu sinatzea eskatutako izena dagoeneko badago, eta sartu egiaztapen horretan zerbitzariak konfiantza duen autoritate bakoitza, beste autoritateak erreserbatutako izena beste hainbeste baitago hartuta. Arrazoi argia duen eskaera ukatua beste norbaiten helbide estatikoa jasotzen jarraitzen duen gailu bati buruzko txartel bat baino merkeagoa da.

Berritzeak izen bat nahita berrerabiltzen du

Lehendik dagoen gailu batentzat berriro jaulkitzeak serie-zenbaki berri bat sortu beharko luke politika-izen beraren pean, eta hori berrerabilpen zilegia da, ez talka. Aurrez erabaki behar dena gainjartzea da: ziurtagiri zaharrak eta berriak aldi berean baliozkoak izan daitezkeen, eta nola erretiratzen den kredentzial zaharra.

Ez jo duplicate-cn-engana hau konpontzeko. Zerbitzari-aukerak izen bera aurkezten duten aldi bereko konexioak gobernatzen ditu; ez du izen-ematea blokeatzen, eta hura gaitzeak ez du helbide estatiko partekatu bat bi makinarentzat aldi berean seguru egiten. Errebokazioak ziurtagiria igorlearen eta serie-zenbakiaren bidez identifikatzen du normalean, beraz kredentzial zaharra erretiratzeak ez du haren ordezkoa baliogabetu behar, zerbitzariak errebokazio-datu zuzenak jasotzen eta betearazten dituen bitartean.

Berretsi mapatzea makinako tresnekin

Gailu bati bere kredentzial berria eman aurretik, irakurri izena ziurtagiritik zerbitzariak egingo lukeen bezala, eta gero alderatu hautatzea espero duzun politika-fitxategiarekin.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Lehen komandoak subjektu-eremuak bereizita inprimatzen ditu, eta horrek berehala ikusgai uzten du unitate organizatibo galdu bat edo tarte bikoiztu bat. Bigarrenak baieztatzen du politika-fitxategi bat badagoela zehazki izen horren pean, eta hirugarrenak erakusten du zerbitzaria izen bakarrean hainbat saio onartzeko konfiguratuta dagoen. Exekutatu hirurak ziurtagiri berri baten gainean izen-emate urratsa utzi aurretik, errore batek oraindik sinadura bat balio duen bitartean, ez gertakari bat. Gorde irteera txartelarekin, hurrengo pertsonak zerbitzariak benetan zein izen jaso zuen ikus dezan.

Amaitu benetako konexio batekin eta alderatu esleitutako helbidea eta bultzatutako ibilbideak politika-fitxategiarekin, idatzi nahi zenuenarekin baino. Bi gailuk helbide estatikoa bera jakinarazten badute, erregistroak talka bat du ziurtagiri-ikuskapen batek inoiz agertuko ez duena.