Aon ainm coiteann amháin, dhá dheimhniú: liosta ceadaithe nó cúlghairm?

Mothaíonn athsholáthar deimhnithe ríomhaire glúine faoin ainm coiteann céanna cosúil le hathrú, agus glacann gach duine go bhfuil an seancheann marbh. Níl. Fanann an réamhtheachtaí ina dheimhniú bailí sínithe ag an údarás céanna, agus leanfaidh aon rialtán a admhaíonn cliaint de réir ainm d’á admháil. Is é an uimhir sraitheach a scarann seiceáil aitheantais ó sheiceáil dintiúir, agus is ansin a bhaineann an deisiú.

Tosaigh leis an mbeartas ainmniúcháin a úsáideann an freastalaí

Meastar dhá rialtán le chéile: cliant a admháil mar gheall ar cé a deir sé atá ann, agus deimhniú amháin ar leith a bhaint as seirbhís. Is seiceáil ainm an chéad cheann, is seiceáil cúlghairme an dara ceann. Freagraíonn siad ceisteanna éagsúla, agus féadfaidh imscaradh ceann a bheith aige gan an ceann eile.

Léigh cumraíocht an fhreastalaí agus tabhair faoi deara cén fhoinse aitheantais atá i gceist. username-as-common-name déanann sé an t-ainm úsáideora fíordheimhnithe ina ainm éifeachtach le haghaidh cuardaigh a bhaineann go sonrach le cliant. Gan é, úsáidtear ainm coiteann an tsubstráit ón deimhniú. Cibé freagra atá ann, scríobh síos é sula ndéanann tú teagmháil le haon liosta ceadaithe.

Táirgeann an dá chosán tacar éagsúil ainmneacha ceadaithe don deimhniú céanna. Is ionann buille faoi thuairim anseo agus an comhad mícheart a chur in eagar agus a mheas nach n-oibríonn an rialtán.

Seiceáil cad a admhaíonn cliant i ndáiríre

Soláthraíonn client-config-dir le comhad comhoiriúnach roghanna in aghaidh an chliaint; ann féin ní riail ceadaithe é. Éilíonn ceadú de réir ainm ccd-exclusive, a dhiúltaíonn cliaint nach bhfuil comhad comhoiriúnach acu. Má chuirtear ar siúl é ar imscaradh beo, dícheanglaítear gach duine nach bhfuil comhad ag a ainm, mar sin déan comhaireamh ar na comhaid sula n-athraíonn tú rud ar bith.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Is é an comhaireamh an tseiceáil: cuir liosta an eolaire i gcomparáid leis na haitheantais a bhfuil tú ag súil leo.

Ansin deimhnigh go dtagann gach ainm comhaid go beacht le héifeachtacht an aitheantais, lena n-áirítear cás agus spásanna. Comhad le haghaidh office-laptop ní dhéanann sé aon rud do dheimhniú a bhfuil a shubstráit ag rá Office-Laptop. Folaíonn spásanna deiridh freisin ó ghnáthliosta, agus is mar sin a fhanann comhad a bhféachann sé go bhfuil sé ann gan léamh.

Seiceáil an CRL a lódálann an geata

Ainmníonn CRL deimhnithe cúlghairthe de réir eisitheora agus uimhir sraitheach, agus sin an mhionsonra atá ar easnamh ag seiceáil ainm. Is féidir le dhá dheimhniú ainm coiteann a roinnt agus a bheith difriúil ó thaobh uimhir sraitheach, agus ní dhealraíonn ach liosta ar leibhéal uimhreach sraitheach iad.

Deimhnigh an cosán cumraithe, an dáta eisithe agus an réimse nuashonraithe seo chugainn sula gcuirfidh tú muinín sa chomhad ar chor ar bith.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Cuir uimhir sraitheach an CRL i gcomparáid le huimhir sraitheach an deimhnithe a bhfuil sé ar intinn agat a choinneáil. Is é an chomparáid sin an tástáil ar fad, agus is fiú níos mó í a dhéanamh uair amháin le súil ná muinín a chur i script nár léigh aon duine. Dáil an CRL nuashonraithe tríd an gcosán a léann an geata cheana féin. Ní fhorchuireann CRL san eolaire mícheart aon rud, agus ní luaidh aon loga cliaint é.

Ionadaigh, ansin cruthaigh an dá thoradh

Eisigh an t-ionadaí faoin ainm coiteann céanna, taifead an dá uimhir sraitheach, agus ní cúlghair an seancheann ach ansin. Coinníonn an t-ord sin aitheantas feidhmiúil ar fáil agus tú ag ullmhú an athraithe.

Tástáil an t-ionadaí ar dtús: ba cheart dó féin a fhíordheimhniú agus teacht ar gach a bhfuil teideal ag a ainm chuige. Ansin tástáil an seandeimhniú agus deimhnigh go ndiúltaítear dó, mar ní deir ionadú rathúil aon rud faoi chúlghairm. Má leanann an dá cheann ag nascadh, níl an t-ionchur cúlghairme á léamh nó níor liostaíodh an tseanuimhir sraitheach riamh. Mura nascann ceachtar acu, tá an riail ceadaithe sáraithe agat, ní an dintiúr.

Is ábhar ar leith iad seisiúin atá bunaithe cheana féin, óir baineann cúlghairm le fíordheimhnithe nua mura bhfuil an geata cumraithe freisin chun naisc bheo a ligean as. Socraigh an bhfuil baint láithreach ag teastáil sula ngeallann tú é d’aon duine.

An rud nach féidir le seiceáil ainm a dhéanamh choíche

Freagraíonn liosta ceadaithe an féidir leis an aitheantas seo nascadh. Ní féidir leis a rá cén deimhniú a d’úsáid an t-aitheantas sin, agus admhóidh sé dintiúr níos sine chomh fada agus a fhanann an dintiúr bailí agus neamhchúlghairthe. Tagann an bhearna sin chun solais le linn teagmhais, nuair a eisíodh an t-ionadaí míonna ó shin agus oibríonn an réamhtheachtaí fós.

Nuair a theastaíonn rialtán ar leibhéal deimhnithe, úsáid meicníocht a ainmníonn an deimhniú: iontrálacha CRL, nó hook fíoraithe a sheiceálann méarlorg a chothaíonn an t-oibreoir. Cosnaíonn an dá cheann cothabháil, agus tá an dá cheann macánta faoin réad a scrúdaíonn siad. Doiciméadaíonn lámhleabhar OpenVPN 2.6 crl-verify agus ceadú a bhaineann go sonrach le cliant mar roghanna ar leith ar an gcúis sin.

Scríobh síos cén rialtán a dhéanann cén obair, ansin tástáil an cás diúltach. Is cumraíocht a bhfuil súil agat léi a bheith ag obair í cúlghairm nár fheic tú riamh ag diúltú nasc.