Zergatik parteka dezaketen bi OpenVPN ziurtagirik CCD politika bat

CA batek bi ziurtagiri sinatu ditzake, biek OpenVPN bezeroaren berariazko konfigurazio bera jasotzen dutenak, eta bietatik batean ere ez du inor ohartarazten. Serie-zenbakiak desberdinak dira, gakoak desberdinak dira, eta subjektu osoak ere desberdinak dira unitate organizatibo bat aldatzen denean. Zerbitzariak bezero bakoitzeko politika izen baten bidez ebazten du, eta izen hori da bakarra izan behar duen gauza bakarra.

Zerbitzariak izen bat ebazten du, ez serie-zenbaki bat

Ziurtagiri-bilaketa soilarekin, zerbitzariak aurkeztutako ziurtagiriko izen arrunta hartzen du eta izen horretako client-config-dir sarrera bat bilatzen du. Serie-zenbakia ez da inoiz bilaketan sartzen. Izen arrunta ez beste eremu guztietan desberdinak diren bi ziurtagirik fitxategi berbera lortzen dute, beraz bigarren konexioak lehen gailuaren helbide finkoa eta bultzatutako bideak heredatzen ditu.

Horrela pasatzen da CA aldeko unikotasun-egiaztapen bat VPNak oraindik talka egiten duen bitartean. Bi egiaztapenek galdera desberdinei erantzuten diete.

Erabaki zein izan behar duen izen eraginkorrak ezer sinatu aurretik, eta idatzi dagokion gailuaren edo kontuaren ondoan. Izena, jabea, helburua eta ziurtagiriaren hatz-marka dituen erregistro batek inplementazio gehienak estaltzen ditu. Hura gabe, ziurtagiri-artxiboa da zein izen zein gailurena den jakiteko erregistro bakarra, eta artxibo horrek ezin du bereizi ordezkapen baimendua izen bat aldarrikatzen duen bigarren gailu batetik. Erreserbatu izena izen-ematean, blokeo baten pean bi operadorek aldi berean eman badezakete.

Zer izen erabiltzen duen mapaketak benetan

Ziurtagiri-bilaketa soilak izen arrunta erabiltzen du. Autentifikatutako erabiltzaile-izena mapatzeko prestatutako zerbitzariak balio hori erabiltzen du haren ordez, eta horrek ziurtagiriaren izen arrunta politika hautaketarako garrantzirik gabe uzten du. Irakurri martxan dagoen konfigurazioa zein mapaketa indarrean dagoen ikusteko.

Bi mapaketak aldi berean egon daitezke, eta orduan emaitza zerbitzariak haiek ebazten dituen ordenaren araberakoa da. Izen arruntera erortzen den erabiltzaile-izen mapaketa batek isilka onartuko du erregistroak inoiz onartu ez zuen ziurtagiri bat. Idatzi izen eraginkorra sortu zuen aginduaren ondoan, hurrengo operadoreak ordena berriro aurkitu behar ez dezan. Mapaketa bakoitzeko konexio bat probatzea merkea da eta galdera argitzen du.

Mapaketak sortzen duena, horixe da erreserbatu beharreko balioa. CAan izen arruntak erreserbatzea zerbitzaria erabiltzaile-izenetan oinarritzen den bitartean gauza okerra erreserbatzea da.

Bi CAk izen bera onar dezakete

VPN zerbitzu batek emaile-agintaritza bat baino gehiagorekin konfiantza izan dezake, eta agintaritza bakoitzak bere ideia du zein izen hartuta dauden. Bi CA independentek izen arrunt bera onar dezakete gailu desberdinetarako, eta zerbitzariak bi ziurtagiriak onartzen ditu kexarik gabe. Inbentariatu konfiantza-sortako agintaritza guztiak, ez bakarrik normalean ematen duzuna. Hutsegitea bigarren agintaritzaren ziurtagiri bat erabiltzen den lehen aldian agertzen da.

Arrazoi bera aplikatzen zaie izen arruntaren unikotasunaren ordez subjektu osoaren unikotasuna inposatzen duen CAri.

Izen arrunta partekatzen duten baina unitate organizatiboan desberdinak diren bi ziurtagirik subjektu desberdinak dituzte, beraz CAk ez du gatazkarik jakinarazten zerbitzariak izen bakarra ikusten duen bitartean. Egiaztatu zure emate-tresnak benetan erabiltzen duen ezarpena, balio lehenetsia suposatu beharrean. unique_subject kudeaketa openssl ca dokumentazioan da han dagokion kontrol-elementua, eta tresna horren inguruko itzulkiek normalean hura erakusten dute ordezkatu beharrean.

Berritzea erreserbatutako berrerabilera da, ez talka

Izena mantentzen duen berritze bat berariazko berrerabilera da, eta erregistroak era soil batean esan beharko luke. Idatzi hatz-marka zaharra eta berria izen bakarraren pean, birsortzaile batek ordezkapena eta eskuratzea bereiz ditzan. Zerbitzariaren duplicate-cn aukera ez dago horrekin lotuta: aldi bereko saioak arautzen ditu, ez izen-ematea edo izen-erreserbak. Erabaki zenbat denboran egon daitezkeen bi kredentzialak eta noiz utziko zaion zaharrari onartzeari.

Ordezkapena eman aurretik, irakurri ziurtagiriak benetan zer daukan. Subjektu-lerroa da zerbitzariak mapatuko duen eremua, fitxategi-izenak zer iradokitzen duen ere.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Errebokatzeak ziurtagiri bat bere emailearen pean identifikatzen du normalean, beraz serie-zenbaki bat erretiratzeak ez du eragiten agintaritza beraren ondo emandako ordezkapen bati. Jokabide hori da berritze garbi batek behar duena, eta horrexegatik ezin du errebokatzeak bi gailuk partekatutako izen bat garbitu. Balidatu politika-izen eraginkorra eta esleitutako helbidea probako konexio batean erabiltzaileak gailua ikusi aurretik. Ondoren erretiratu kredentzial zaharra nahita eta idatzi egin duzula.