چرا دو گواهی OpenVPN می‌توانند یک خط‌مشی CCD را به اشتراک بگذارند

یک CA می‌تواند دو گواهی امضا کند که همان OpenVPN پیکربندی مخصوص کلاینت را دریافت می‌کنند، و هیچ چیز در هیچ‌یک از دو گواهی به کسی هشدار نمی‌دهد. شماره‌های سریال متفاوت‌اند، کلیدها متفاوت‌اند، و موضوع‌های کامل هم به‌محض تغییر یک واحد سازمانی متفاوت می‌شوند. کارساز خط‌مشی هر کلاینت را از طریق یک نام تعیین می‌کند، و آن نام تنها چیزی است که باید یکتا باشد.

کارساز نام را تعیین می‌کند، نه شماره سریال

در جست‌وجوی ساده گواهی، کارساز نام مشترک را از گواهی ارائه‌شده برمی‌دارد و ورودی‌ای با همان نام در client-config-dir جست‌وجو می‌کند. شماره سریال هرگز به جست‌وجو وارد نمی‌شود. دو گواهی که در همه فیلدها جز نام مشترک متفاوت‌اند به یک فایل می‌رسند، بنابراین اتصال دوم نشانی ثابت و مسیرهای هدایت‌شده دستگاه اول را به ارث می‌برد.

اینگونه یک بررسی یکتایی در سمت CA قبول می‌شود در حالی که VPN هنوز تصادم دارد. دو بررسی به دو پرسش متفاوت پاسخ می‌دهند.

پیش از امضای هر چیز تصمیم بگیرید نام مؤثر چه باید باشد، و آن را کنار دستگاه یا حسابی که به آن تعلق دارد ثبت کنید. دفتری از نام، مالک، هدف و اثر انگشت گواهی بیشتر استقرارها را پوشش می‌دهد. بدون آن، بایگانی گواهی تنها سند این است که کدام نام به کدام دستگاه تعلق دارد، و آن بایگانی نمی‌تواند جایگزینی مجاز را از دستگاه دومی که نام موجودی را ادعا می‌کند تشخیص دهد. نام را هنگام ثبت رزرو کنید، و اگر دو اپراتور می‌توانند هم‌زمان صادر کنند، زیر قفل.

نگاشت در واقع کدام نام را به کار می‌برد

جست‌وجوی ساده گواهی از نام مشترک استفاده می‌کند. کارسازی که برای نگاشت نام کاربری احرازشده تنظیم شده است به‌جای آن از همان مقدار استفاده می‌کند، که نام مشترک گواهی را برای انتخاب خط‌مشی بی‌اهمیت می‌کند. پیکربندی در حال اجرا را بخوانید تا ببینید کدام نگاشت برقرار است.

هر دو نگاشت می‌توانند هم‌زمان وجود داشته باشند، و آن‌گاه نتیجه به ترتیبی بستگی دارد که کارساز آن‌ها را تعیین می‌کند. نگاشتی بر پایه نام کاربری که به نام مشترک بازمی‌گردد، بی‌صدا گواهی‌ای را می‌پذیرد که دفتر هرگز تأییدش نکرده است. نام مؤثر را کنار فرمانی بنویسید که آن را تولید کرده تا اپراتور بعدی مجبور به کشف دوباره ترتیب نشود. آزمودن یک اتصال برای هر نگاشت ارزان است و مسئله را فیصله می‌دهد.

نگاشت هر چه تولید کند، همان مقدار رزروکردنی است. رزرو نام‌های مشترک در CA در حالی که کارساز بر نام‌های کاربری تکیه دارد، چیز اشتباه را رزرو می‌کند.

دو CA می‌توانند یک نام را تأیید کنند

یک سرویس VPN می‌تواند به بیش از یک مرجع صدور اعتماد کند، و هر مرجع تصور خود را از نام‌های اشغال‌شده دارد. دو CA مستقل می‌توانند هر دو یک نام مشترک را برای دستگاه‌های مختلف تأیید کنند، و کارساز هر دو گواهی را بدون شکایت می‌پذیرد. همه مراجع بسته اعتماد را فهرست کنید، نه فقط مرجعی که معمولاً از آن صادر می‌کنید. خرابی نخستین بار که گواهی مرجع دوم به کار می‌رود ظاهر می‌شود.

همین استدلال برای CA‌ای صدق می‌کند که به‌جای یکتایی نام مشترک، یکتایی موضوع کامل را الزامی می‌کند.

دو گواهی که نام مشترک دارند اما در واحد سازمانی متفاوت‌اند موضوع‌های متفاوتی دارند، پس CA تضاد گزارش نمی‌کند در حالی که کارساز یک نام می‌بیند. تنظیمی را که ابزار صدورتان واقعاً به کار می‌برد بررسی کنید، نه پیش‌فرض را فرض گرفتن. مدیریت unique_subject در مستندات openssl ca همان اهرم مرتبط آنجاست، و پوشش‌های پیرامون آن ابزار معمولاً آن را آشکار می‌کنند نه جایگزین.

تمدید یک استفاده مجدد رزروشده است، نه یک برخورد

تمدیدی که نام را نگه می‌دارد استفاده مجدد عامدانه است، و دفتر باید آن را با زبان ساده بگوید. اثر انگشت قدیم و جدید را زیر یک نام ثبت کنید تا بازبین جایگزینی را از تصاحب تشخیص دهد. گزینه duplicate-cn کارساز بی‌ربط است: جلسه‌های هم‌زمان را اداره می‌کند، نه ثبت‌نام یا رزرو نام. تصمیم بگیرید هر دو اعتبارنامه چه مدت می‌توانند وجود داشته باشند و قدیمی چه زمانی دیگر پذیرفته نشود.

پیش از تحویل جایگزین، بخوانید که گواهی واقعاً چه دارد. خط موضوع همان فیلدی است که کارساز نگاشت می‌کند، هر چه نام فایل القا کند.

openssl x509 -in device42.crt -noout -subject -serial -issuer

ابطال معمولاً یک گواهی را زیر مرجع صادرکننده‌اش شناسایی می‌کند، پس بازنشسته‌کردن یک شماره سریال بر جایگزینی که به‌درستی از همان مرجع صادر شده اثر نمی‌گذارد. این رفتار دقیقاً همان چیزی است که یک تمدید پاک لازم دارد، و همین دلیل است که ابطال نمی‌تواند نامی را که دو دستگاه شریک‌اند پاک کند. نام مؤثر خط‌مشی و نشانی تخصیص‌یافته را روی یک اتصال آزمایشی پیش از دیدن دستگاه توسط کاربر اعتبارسنجی کنید. سپس اعتبارنامه قدیمی را عامدانه بازنشسته کنید و ثبت کنید که چنین کردید.