Wêrom't twa OpenVPN-sertifikaten ien CCD-belied diele kinne

In CA kin twa sertifikaten ûndertekenje dy't deselde OpenVPN kliïntspesifike konfiguraasje krije, en neat yn ien fan beiden sertifikaten warskôget immen. Searjenûmers ferskille, kaaien ferskille, en de folsleine subjekten ferskille ek sadree't in organisaasje-ienheid feroaret. De tsjinner beslist it belied per kliïnt fia ien namme, en dy namme is it iennige dat unyk wêze moat.

De tsjinner beslist in namme, net in searjenûmer

By gewoane sertifikaatsoersjoch nimt de tsjinner de gewoane namme út it oanbean sertifikaat en siket in client-config-dir-ynskriuwing mei dy namme. It searjenûmer komt nea yn it oersjoch. Twa sertifikaten dy't yn elk fjild ferskille útsein de gewoane namme bedarje yn itselde bestân, sadat de twadde ferbining it fêste adres en de triuwde rûtes fan it earste apparaat erft.

Sa slagget in unike kontrôle oan de CA-kant wylst de VPN noch altyd botst. De twa kontrôles antwurdzje op ferskillende fragen.

Beslis wat de effektive namme wêze moat foar't jo eat ûndertekenje, en skriuw dy njonken it apparaat of akkount dêr't er by heart. In register fan namme, eigner, doel en sertifikaatfingerprint dekt de measte útrullingen. Sûnder ien is it sertifikaatargyf it iennige bewiis fan hokker namme by hokker apparaat heart, en dat argyf kin in autorisearre ferfanging net ûnderskiede fan in twadde apparaat dat in besteande namme opeasket. Reservearje de namme by ynskriuwing, ûnder in slot as twa operators tagelyk útjaan kinne.

Hokker namme de mapping eins brûkt

Gewoan sertifikaatsoersjoch brûkt de gewoane namme. In tsjinner dy't ynsteld is om in autentisearre brûkersnamme te mappen brûkt dy wearde ynstee, wat de gewoane namme fan it sertifikaat yrrelevant makket foar beliedskeuze. Lês de rinnende konfiguraasje om te sjen hokker mapping jildt.

Beide mappings kinne tagelyk oanwêzich wêze, en dan hinget it resultaat ôf fan 'e oarder wêryn't de tsjinner se beslist. In brûkersnamme-mapping dy't weromfalt op 'e gewoane namme sil stilwei in sertifikaat akseptearje dat it register nea goedkard hat. Skriuw de effektive namme njonken it kommando dat him makke hat, sadat de folgjende operator de oarder net op 'e nij ûntdekke hoecht. Ien ferbining per mapping testen is goedkeap en beslist de fraach.

Wat de mapping ek produsearret, dat is de wearde om te reservearjen. Gewoane nammen yn 'e CA reservearje wylst de tsjinner op brûkersnammen docht, reservearret it ferkearde.

Twa CA's kinne deselde namme goedkarre

In VPN-tsjinst kin op mear as ien útjaande autoriteit fertrouwe, en elke autoriteit hâldt syn eigen idee fan hokker nammen beset binne. Twa ûnôfhinklike CA's kinne beide deselde gewoane namme goedkarre foar ferskillende apparaten, en de tsjinner akseptearret beide sertifikaten sûnder klacht. Ynventarisearje elke autoriteit yn 'e fertrouwensbondel, net allinnich dy't jo gewoanwei útjouwe. De flater ferskynt de earste kear dat in sertifikaat fan 'e twadde autoriteit brûkt wurdt.

Itselde riddenearjen jildt foar in CA dy't folsleine-subjekt-unykheid ôftwinger ynstee fan gewoane-namme-unykheid.

Twa sertifikaten dy't in gewoane namme diele mar ferskille yn organisaasje-ienheid hawwe ferskillende subjekten, sadat de CA gjin konflikt rapportearret wylst de tsjinner ien namme sjocht. Kontrolearje de ynstelling dy't jo útjaan-ark eins brûkt ynstee fan in standert oan te nimmen. De ôfhanneling fan unique_subject yn 'e openssl ca-dokumintaasje is de relevante knop dêr, en wrappers om dat ark hinne eksposearje it meastentiids ynstee fan it te ferfangen.

Fernijing is in reservearre werbrûk, gjin botsing

In fernijing dy't de namme hâldt is in bewuste werbrûk, en it register moat dat yn gewoane wurden sizze. Skriuw de âlde fingerprint en de nije ûnder ien namme, sadat in beoardieler in ferfanging fan in oername ûnderskiede kin. De duplicate-cn-opsje fan 'e tsjinner is net besibbe: dy regelet tagelyk sesjes, net ynskriuwing of nammereservaasjes. Beslis hoe lang beide credentials bestean meie en wannear't de âlde net mear akseptearre wurdt.

Foar't jo de ferfanging oerlangje, lês werom wat it sertifikaat eins befettet. De subjektrige is it fjild dat de tsjinner mapje sil, wat de bestânsnamme ek suggerearret.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Intrekking identifisearret normaalwei in sertifikaat ûnder syn útjouwer, sadat it pensjoenjen fan ien searjenûmer in korrekt útjûn ferfanging fan deselde autoriteit net rekket. Dat gedrach is krekt wat in skjinne fernijing nedich hat, en dat is ek wêrom't intrekking in namme dy't troch twa apparaten dield wurdt net opromje kin. Falidearje de effektive beliedsnamme en it tawiisde adres op in testferbining foar't de brûker it apparaat sjocht. Penjoenje dan de âlde credential mei opsetsin en skriuw op dat jo dat dien hawwe.