Dhá dheimhniú OpenVPN, aon ainm CCD amháin: cad a chuaigh mícheart

Is féidir le dhá dheimhniú cliaint a bhfuil sraithuimhreacha éagsúla, eochracha éagsúla agus fiú suibíochtaí iomlána éagsúla acu teacht ar an aon chomhad beartais amháin, mar ní fhéachann an freastalaí ar aon rud díobh sin. Léann sé ainm as an deimhniú agus osclaíonn sé an comhad cumraíochta cliaint a fhreagraíonn dó. Má tá an t-ainm céanna ar an dá dheimhniú, faigheann an dara ceann beartas an chéad cheann faoin am a nascann sé.

Cruthaítear an t-imbhuailt ag an gclárú agus ní fhaightear amach í ach ag am an naisc, de ghnáth nuair a fhaigheann gléas seoladh nó sraith bealaí a bhaineann le meaisín eile. Chun é a chosc caithfear aontú ar an réimse a ndéanann an freastalaí mapáil air, agus ansin an luach sin a chur in áirithe sula sínítear aon rud.

Ní thabharfaidh d'uirlisí deimhnithe rabhadh duit, mar is ceanglais éagsúla iad uathúlacht laistigh de X.509 agus uathúlacht ainm beartais OpenVPN a chuireann córais éagsúla i bhfeidhm.

Lorgaíonn an freastalaí ainm, ní lorg méire

Sa mhapáil ghnáthach atá bunaithe ar dheimhnithe, tógann an freastalaí an t-ainm coiteann ón deimhniú a chuirtear i láthair agus lorgaíonn sé comhad den ainm sin ina chomhadlann cumraíochta cliaint. Is féidir leis an gcomhad sin seoladh statach a phionáil, bealaí a bhrú nó marcanna balla dóiteáin a chur i bhfeidhm de réir cliant. Is meaitseáil teaghráin le hainm comhaid í an chuardach, mar sin tá cló, spásáil agus poncaíocht uile tábhachtach.

Malartaíonn roinnt imlonnaithe an mhapáil d'aon ghnó ionas go dtógfaidh ainm úsáideora fíordheimhnithe seilbh ar an ainm choiteann, agus ansin is é an t-ainm úsáideora a chaithfidh a bheith uathúil. Cibé scéal é, is é an luach a roghnaíonn beartas an luach a chuireann tú in áirithe. Socraigh cé acu é sula n-eisíonn tú aon rud; cosnaíonn buille faoi thuairim tar éis imbhuailte níos mó ná fiafraí.

Áit a dtagann dhá údarás le chéile ar an ainm céanna

Ritheann eagraíocht a ghlacann deimhnithe ó níos mó ná aon údarás eisitheach dhá phróiseas clárúcháin neamhspleácha a scríobhann isteach in aon spás ainmneacha amháin. Cuirtear rialacha uathúlachta gach údaráis i bhfeidhm laistigh de féin, mar sin is féidir leis an mbeirt eisiúint go dlisteanach don ainm coiteann céanna gan aon duine acu rud ar bith mícheart a thabhairt faoi deara.

Ní chabhraíonn sraithuimhreacha. Éilíonn X.509 go mbeadh sraithuimhir uathúil laistigh de raon a heisitheora, rud atá ina thréith de chuntasaíocht an údaráis sin seachas ina féiniúlacht ghléas domhanda. Is triail dhifriúil í seiceáil suibíochta freisin ó sheiceáil ainm choitinn: is féidir le dhá dheimhniú CN a roinnt agus difriú in aonad eagraíochtúil, agus mar sin suibíochtaí ar leith a iompar. Is féidir gach ceann de na tréithe sin a bheith fíor agus an freastalaí fós ag mapáil an dá dheimhniú ar aon ainm comhaid amháin.

Clúdaíonn doiciméadú OpenSSL CA an socrú unique_subject a rialaíonn tuairim a bhunachair sonraí féin, agus is é an pointe tosaigh macánta do chumraíocht eisithe a léamh seachas glacadh leis go bhfuil réamhshocrú áirithe EasyRSA nó OpenSSL i bhfeidhm.

Cuir an t-ainm éifeachtach in áirithe roimh shíniú

Coinnigh clár a mhapálann gléas ar a thaifead ceadaithe agus as sin ar ainm comhaid beartais bheacht, ionas go leithdháiltear ainm uair amháin agus go bhfanann sé leithdháilte. Caithfidh an áirithint a bheith adamhach, rud a chiallaíonn go praiticiúil srian bunachair sonraí nó glas timpeall ar an gcéim leithdháil-agus-ansin-sínigh, ní scarbhileog a n-eagraíonn beirt.

Ansin déan an tseiceáil mar chuid den eisiúint: diúltaigh síniú nuair a bhíonn an t-ainm iarrtha ann cheana féin, agus cuir gach údarás a bhfuil muinín ag an bhfreastalaí as sa tseiceáil sin, mar tá ainm atá curtha in áirithe ag an údarás eile chomh tógtha céanna. Tá iarraidh diúltaithe le cúis shoiléir níos saoire ná ticéad faoi ghléas a fhaigheann seoladh statach duine eile i gcónaí.

Athúsáideann athnuachan ainm d'aon ghnó

Ba cheart go dtairgeadh atheisiúint do ghléas atá ann cheana sraithuimhir nua faoin ainm beartais céanna, agus is athúsáid dhlisteanach é sin seachas imbhuailt. Is é an rud a chaithfear a shocrú roimh ré an forluí: an féidir leis an sean-deimhniú agus leis an deimhniú nua a bheith bailí ag an am céanna, agus conas a chuirtear an sean-dhintiúr ar scor.

Ná sroich chun duplicate-cn chun é seo a réiteach. Rialaíonn an rogha freastalaí sin naisc chomhaimseartha a chuireann an t-ainm céanna i láthair; ní chuireann sé glas ar chlárú, agus ní dhéanann a chumasú seoladh statach comhroinnte amháin sábháilte do dhá mheaisín ag an am céanna. Is gnách go n-aithníonn cúlghairm deimhniú de réir eisitheora agus sraithuimhreach, mar sin ní gá don scorú ar an sean-dhintiúr a ionadaí a chur ar neamhní fad a fhaigheann an freastalaí na sonraí cúlghairme cearta agus a chuireann i bhfeidhm iad.

Deimhnigh an mhapáil leis na huirlisí ar an meaisín

Sula dtabharfaidh tú a dhintiúr nua do ghléas, léigh an t-ainm as an deimhniú mar a dhéanfaidh an freastalaí, agus ansin cuir i gcomparáid é leis an gcomhad beartais a bhfuil súil agat go roghnófar.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Priontálann an chéad ordú réimsí suibíochta ar leithligh, rud a fhágann aonad eagraíochtúil ar strae nó spás dúbailte le feiceáil láithreach. Deimhníonn an dara ceann go bhfuil comhad beartais ann faoin ainm sin go beacht, agus taispeánann an tríú ceann an bhfuil an freastalaí cumraithe chun roinnt seisiún a cheadú ar aon ainm amháin. Rith an triúr i gcoinne deimhnithe nua sula bhfágann sé an chéim chlárúcháin, agus botún fós ag costas síniú seachas eachtra. Coinnigh an t-aschur leis an ticéad ionas go bhfeicfidh an chéad duine eile cén t-ainm a tugadh don fhreastalaí i ndáiríre.

Críochnaigh le nasc fíor agus cuir an seoladh a samadh agus na bealaí a brúdh i gcomparáid leis an gcomhad beartais seachas leo siúd a bhí ar intinn agat a scríobh. Má thuairiscíonn dhá ghléas an seoladh statach céanna, tá imbhuailt sa chlár nach nochtfaidh aon iniúchadh deimhnithe riamh.