OpenVPN client-config-dir: bestânsnamme tsjin sertifikaat-CN

Twa nammen binne yn spul foardat in klant him begjint te ferbinen: de bestânsnamme op 'e laptop (nuc.ovpn) en de identiteit dy't de tsjinner út 'e oanmeldgegevens hellet. In client-config-dir-syktop brûkt de twadde. It profyl op 'e klant omneame, of .conf taheakje oan it bestân fan 'e tsjinner, feroaret neat oan hokker bestân de tsjinner iepenet.

De nuttige ferliking is net «hokker namme brûkte ik», mar «hokker regel past de tsjinner ta», want sertifikaat-autentikaasje en brûkersnamme/wachtwurd-autentikaasje kinne ferskillende effektive nammen út deselde oanmelding meitsje.

Profylnamme tsjin gewoane namme fan it sertifikaat

Yn 'e standert sertifikaatbasearre opset nimt de tsjinner de X.509-gewoane namme en siket in bestân mei krekt dy namme yn client-config-dir. In profyl mei de namme nuc.ovpn wêrfan't it sertifikaat tester seit, wurdt oplost nei /etc/openvpn/server/ccd/tester. De bestânsnamme fan 'e klant komt nea yn 'e berekkening. Dat is it earste plak dêr't in misferhâld him ferskûlet.

In map fol mei soarchfâldich neamde profylen kin dêrom elke kear misse. It bestân wurdt net op subject, op e-mailadres of op 'e namme yn in GUI ferlike; it wurdt op 'e tekenrige fan 'e gewoane namme ferlike.

Op in haadlettergefoelige bestânssysteem binne Tester en tester twa ferskillende bestannen, en mar ien wurdt ea iepene. Kontrolearje de gewoane namme út it sertifikaat dat de klant wier oanbiedt, net út in kopy yn jo notysjes.

username-as-common-name keart de regel om

As de tsjinner brûkersnamme/wachtwurd-autentikaasje mei username-as-common-name draait, ferfangt de autentisearre brûkersnamme de gewoane namme fan it sertifikaat foar dit sykjen.

Ferlykje de beide gefallen direkt: by sertifikaatidentiteit folget it bestân it sertifikaat en is in wachtwurdferoaring net relevant; by brûkersnamme-identiteit folget it bestân de oanmeldnamme en is it opnij útjaan fan it sertifikaat net relevant. Hokker fjild de tsjinner ek ferfangt, dêr tsjin moat it bestân omneamd wurde. In opnij útjûn sertifikaat mei in nije CN feroaret stil it sykdoel, en it âlde CCD-bestân bliuwt op 'e skiif stean en liket korrekt.

Der besteane mingde konfiguraasjes, en dêr begjint de measte betizing. As ien tsjinstblok de ferfanging oanset en in oar net, hinget de effektive namme ôf fan hokker eksimplaar de ferbining behannele. Befêstigje de aktive konfiguraasje ynstee fan oan te nimmen dat it globale bestân jildt. De oarspronklike server-options-referinsje dokumintearret it sykjen op it neamde bestân en de opsjonele weromfal.

Wat de tsjinner lêst, en wat er stil oerslacht

Twa lytse ferskillen beslute oft in bestân keazen wurdt. It earste is in taheake útwreiding. It twadde is in ferdwaald teken yn 'e namme.

OpenVPN foeget gjin .conf ta oan 'e namme dy't er siket, dus tester.conf past net by tester. In bewurker dy't útwreidingen ferberget, kin in bestân efterlitte dat yn in list korrekt liket en nea past.

As der gjin passend bestân is, kin de tsjinner weromfalle op in bestân mei de namme DEFAULT. Dat guon ynstellingen oankomme, is dus gjin bewiis dat it bestân per klant brûkt is. Ferlykje it tawiisde adres of de drukke rûtes mei wat it bestân per klant leverje soe. Tastimmingen binne it tredde filter, want de tsjinner iepenet it bestân neidat er foarrjochten ôfstien hat; in root-skulp dy't it lêze kin, bewiist neat.

In korrekte bestânsnamme falidearret de ynhâld net

Seleksje en ynhâld binne aparte flaters. As it goede bestân ienris iepene is, moatte syn rjochtlinen noch jildich wêze foar dy klant.

ifconfig-push moat in adres tawize dat de topology wier brûke kin, en iroute hat allinnich sin foar in routearre subnet efter dy klant.

Ien identiteit, ferskate apparaten

Twa laptops dy't deselde gewoane namme oanbiede, kieze itselde bestân en krije deselde klantspecifike ynstellingen. As jo aparte adressen of aparte ynlûking nedich hawwe, hawwe jo aparte identiteiten nedich, net twa kopyen fan ien bestân.

De ferliking is tusken it diele fan in identiteit en it útjaan fan ien sertifikaat per apparaat. Diele is ienfâldiger te behearen en grutter te ynlûken, wylst sertifikaten per apparaat mear opset kostje en jo in skjinne ienheid jouwe om út te skeakeljen.