OpenVPN client-config-dir: tiedostonimi vai sertifikaatin CN

Kaksi nimeä on pelissä ennen kuin asiakas edes yhdistää: kannettavan tiedostonimi (nuc.ovpn) ja identiteetti, jonka palvelin johtaa tunnistetiedosta. client-config-dir-haku käyttää jälkimmäistä. Profiilin uudelleennimeäminen asiakkaassa tai .conf-päätteen lisääminen palvelimen tiedostoon ei muuta mitään siinä, minkä tiedoston palvelin avaa.

Hyödyllinen vertailu ei ole ”mitä nimeä käytin” vaan ”mitä sääntöä palvelin soveltaa”, koska sertifikaattitodennus ja käyttäjänimi/salasana-todennus voivat tuottaa eri tehokkaat nimet samasta kirjautumisesta.

Profiilin nimi vastaan sertifikaatin yleisnimi

Oletusarvoisessa sertifikaattipohjaisessa asetuksessa palvelin ottaa X.509-yleisnimen ja etsii täsmälleen sen nimistä tiedostoa client-config-dir-hakemistosta. Profiili nimeltä nuc.ovpn, jonka sertifikaatti sanoo tester, ratkeaa poluksi /etc/openvpn/server/ccd/tester. Asiakkaan tiedostonimi ei koskaan tule laskentaan. Se on ensimmäinen paikka, johon epäsuhta piiloutuu.

Siksi huolellisesti nimetyistä profiileista täynnä oleva hakemisto voi epäonnistua joka kerta. Tiedostoa ei soviteta subjectin, sähköpostiosoitteen eikä käyttöliittymässä näkyvän nimen perusteella; se sovitetaan yleisnimen merkkijonon perusteella.

Kirjainkoon erottavassa tiedostojärjestelmässä Tester ja tester ovat kaksi eri tiedostoa, ja vain toinen avataan. Tarkista yleisnimi sertifikaatista, jonka asiakas todella esittää, älä muistiinpanojesi kopiosta.

username-as-common-name kääntää säännön päälaelleen

Kun palvelin ajaa käyttäjänimi/salasana-todennusta username-as-common-name-asetuksella, todennettu käyttäjänimi korvaa sertifikaatin yleisnimen tässä haussa.

Vertaa kahta tapausta suoraan: sertifikaatti-identiteetissä tiedosto seuraa sertifikaattia ja salasanan vaihto on merkityksetöntä; käyttäjänimi-identiteetissä tiedosto seuraa kirjautumisnimeä ja sertifikaatin uudelleenmyöntäminen on merkityksetöntä. Minkä kentän palvelin korvaa, sitä vasten nimetään uudelleen. Uudelleenmyönnetty sertifikaatti uudella CN:llä muuttaa haun kohdetta ääneti, ja vanha CCD-tiedosto jää levylle näyttämään oikealta.

Sekalaisia kokoonpanoja on olemassa, ja siitä suurin osa sekaannuksesta alkaa. Jos yksi palvelulohko ottaa korvauksen käyttöön ja toinen ei, tehokas nimi riippuu siitä, mikä instanssi käsitteli yhteyden. Vahvista aktiivinen kokoonpano sen sijaan, että oletat yleisen tiedoston pätevän. Alkuperäinen palvelinasetusten viite dokumentoi nimetyn tiedoston haun ja valinnaisen varamenettelyn.

Mitä palvelin lukee ja mitä se hiljaa ohittaa

Kaksi pientä eroa ratkaisee, valitaanko tiedosto. Ensimmäinen on lisätty päätelaajennus. Toinen on nimeen eksynyt merkki.

OpenVPN ei lisää .conf-päätettä etsimäänsä nimeen, joten tester.conf ei vastaa nimeä tester. Editori, joka piilottaa päätteet, voi jättää tiedoston, joka näyttää listassa oikealta eikä koskaan vastaa.

Kun vastaavaa tiedostoa ei ole, palvelin voi pudota DEFAULT-nimiseen tiedostoon. Joidenkin asetusten saapuminen ei siis todista, että asiakaskohtaista tiedostoa käytettiin. Vertaa jaettua osoitetta tai työnnettyjä reittejä siihen, mitä asiakaskohtainen tiedosto tuottaisi. Käyttöoikeudet ovat kolmas suodatin, koska palvelin avaa tiedoston luovuttuaan oikeuksistaan; root-kuori, joka pystyy lukemaan sen, ei todista mitään.

Oikea tiedostonimi ei vahvista sisältöä

Valinta ja sisältö ovat erillisiä vikoja. Kun oikea tiedosto on avattu, sen direktiivien on silti oltava kelvollisia kyseiselle asiakkaalle.

ifconfig-push-direktiivin on määritettävä osoite, jota topologia voi todella käyttää, ja iroute on mielekäs vain kyseisen asiakkaan takana olevalle reititetylle aliverkolle.

Yksi identiteetti, useita laitteita

Kaksi kannettavaa, jotka esittävät saman yleisnimen, valitsevat saman tiedoston ja saavat samat asiakaskohtaiset asetukset. Jos tarvitset erilliset osoitteet tai erillisen mitätöinnin, tarvitset erilliset identiteetit, et kahta kopiota yhdestä tiedostosta.

Vertailu on identiteetin jakamisen ja laitekohtaisen sertifikaatin myöntämisen välillä. Jakaminen on yksinkertaisempi hallita ja karkeampi mitätöidä, kun taas laitekohtaiset sertifikaatit vaativat enemmän käyttöönottoa ja antavat siistin yksikön poistettavaksi käytöstä.