બે OpenVPN પ્રમાણપત્રો, એક CCD નામ: શું ખોટું થયું

વિવિધ સીરિયલ નંબર, વિવિધ કી અને વિવિધ સંપૂર્ણ સબ્જેક્ટ ધરાવતાં બે ક્લાયંટ પ્રમાણપત્રો હજી પણ એક જ પોલિસી ફાઇલ સુધી પહોંચી શકે છે, કારણ કે સર્વર તેમાંથી કંઈપણ જોતું નથી. તે પ્રમાણપત્રમાંથી નામ વાંચે છે અને તેને અનુરૂપ ક્લાયંટ-કોન્ફિગ ફાઇલ ખોલે છે. જો બંને પ્રમાણપત્રો એક જ નામ ધરાવે, તો બીજું જોડાય તે ક્ષણે પ્રથમની પોલિસી વારસામાં લે છે.

અથડામણ નોંધણી વખતે સર્જાય છે અને ફક્ત જોડાણ વખતે જ ખબર પડે છે, સામાન્ય રીતે જ્યારે કોઈ ઉપકરણને બીજી મશીનનું સરનામું કે રૂટ સેટ મળે છે. તેને અટકાવવાનો અર્થ છે સર્વર કયું ક્ષેત્ર મેપ કરે છે તે નક્કી કરવું, અને પછી કંઈપણ સહી કરવામાં આવે તે પહેલાં તે મૂલ્ય અનામત રાખવું.

તમારા પ્રમાણપત્ર સાધનો તમને ચેતવણી આપશે નહીં, કારણ કે X.509 ની અંદરની અનન્યતા અને OpenVPN પોલિસી નામની અનન્યતા અલગ-અલગ સિસ્ટમો દ્વારા લાગુ કરાયેલી અલગ-અલગ આવશ્યકતાઓ છે.

સર્વર નામ શોધે છે, ફિંગરપ્રિન્ટ નહીં

સામાન્ય પ્રમાણપત્ર-આધારિત મેપિંગમાં, સર્વર રજૂ કરાયેલા પ્રમાણપત્રમાંથી સામાન્ય નામ લે છે અને તેના ક્લાયંટ-કોન્ફિગ ડિરેક્ટરીમાં તે નામની ફાઇલ શોધે છે. તે ફાઇલ સ્થિર સરનામું પિન કરી શકે છે, રૂટ પુશ કરી શકે છે અથવા દરેક ક્લાયંટ માટે ફાયરવોલ માર્ક લાગુ કરી શકે છે. શોધ એ ફાઇલનામ સાથે શબ્દમાળાની સરખામણી છે, તેથી અક્ષરનું કદ, જગ્યા અને વિરામચિહ્નો બધું જ મહત્વપૂર્ણ છે.

કેટલાક ડિપ્લોયમેન્ટ જાણી જોઈને મેપિંગ બદલી નાખે છે જેથી પ્રમાણિત વપરાશકર્તાનામ સામાન્ય નામની જગ્યા લે, અને પછી વપરાશકર્તાનામ જ અનન્ય હોવું જોઈએ. બંને રીતે, પોલિસી પસંદ કરતું મૂલ્ય તે જ છે જે તમે અનામત રાખો છો. કંઈપણ ઇશ્યુ કરતા પહેલાં નક્કી કરો કે કયું છે; અથડામણ પછી અનુમાન કરવું પૂછવા કરતાં વધુ ખર્ચાળ છે.

જ્યાં બે સત્તાધિકારીઓ એક જ નામ પર મળે છે

એક કરતાં વધુ ઇશ્યુઅર સત્તાધિકારીના પ્રમાણપત્રો સ્વીકારતી સંસ્થા એક જ નામ-જગતમાં લખતી બે સ્વતંત્ર નોંધણી પ્રક્રિયાઓ ચલાવે છે. દરેક સત્તાધિકારીના પોતાના અનન્યતા નિયમો તેની અંદર લાગુ થાય છે, તેથી બંને કાયદેસર રીતે સમાન સામાન્ય નામ માટે ઇશ્યુ કરી શકે છે અને કોઈ પણ કંઈ ખોટું ધ્યાનમાં લેતું નથી.

સીરિયલ નંબર મદદ કરતા નથી. X.509 માંગે છે કે સીરિયલ તેના ઇશ્યુઅરના અવકાશમાં અનન્ય હોય, જે તે સત્તાધિકારીના હિસાબની વિશેષતા છે, વૈશ્વિક ઉપકરણ ઓળખ નહીં. સબ્જેક્ટ તપાસ પણ સામાન્ય-નામ તપાસથી અલગ પરીક્ષણ છે: બે પ્રમાણપત્રો એક CN વહેંચી શકે છે પણ સંસ્થાકીય એકમમાં ભિન્ન હોઈ શકે છે, અને તેથી અલગ સબ્જેક્ટ ધરાવે છે. આ દરેક ગુણધર્મ ધરાવી શકે છે જ્યારે સર્વર હજી પણ બંને પ્રમાણપત્રોને એક ફાઇલનામ પર મેપ કરે છે.

OpenSSL CA દસ્તાવેજીકરણ unique_subject સેટિંગને આવરી લે છે જે તેના પોતાના ડેટાબેઝના અભિપ્રાયને નિયંત્રિત કરે છે, અને પ્રામાણિક શરૂઆત તમારી ઇશ્યુઇંગ રૂપરેખા વાંચવાની છે, કોઈ ચોક્કસ EasyRSA અથવા OpenSSL ડિફોલ્ટ લાગુ પડે છે તેવું ધારવાને બદલે.

સહી કરતા પહેલાં અસરકારક નામ અનામત રાખો

એક રજિસ્ટ્રી રાખો જે ઉપકરણને તેના મંજૂર રેકોર્ડ સાથે અને ત્યાંથી ચોક્કસ પોલિસી ફાઇલનામ સાથે મેપ કરે, જેથી નામ એક વાર ફાળવાય અને ફાળવાયેલું જ રહે. અનામત એ અણુભૂત હોવું જોઈએ, જેનો વ્યવહારુ અર્થ ડેટાબેઝ મર્યાદા અથવા ફાળવો-પછી-સહી કરો પગલા ફરતે તાળું છે, બે લોકો દ્વારા સંપાદિત સ્પ્રેડશીટ નહીં.

પછી તપાસને ઇશ્યૂનો ભાગ બનાવો: વિનંતી કરેલું નામ પહેલેથી અસ્તિત્વમાં હોય ત્યારે સહી કરવાનો ઇનકાર કરો, અને તે તપાસમાં સર્વર જે સત્તાધિકારીઓ પર ભરોસો કરે તે બધાને સામેલ કરો, કારણ કે બીજી સત્તાધિકારી દ્વારા અનામત રાખેલું નામ પણ તેટલું જ કબજે છે. સ્પષ્ટ કારણ સાથે નકારેલી વિનંતી એવા ઉપકરણ વિશેની ટિકિટ કરતાં સસ્તી છે જે સતત બીજાનું સ્થિર સરનામું મેળવે છે.

નવીકરણ જાણી જોઈને નામનો પુનરુપયોગ કરે છે

હાલના ઉપકરણ માટે ફરી ઇશ્યુ કરવાથી સમાન પોલિસી નામ હેઠળ નવો સીરિયલ બનવો જોઈએ, અને તે અથડામણ નહીં પણ કાયદેસર પુનરુપયોગ છે. અગાઉથી નક્કી કરવાનું ઓવરલેપ છે: જૂનું અને નવું પ્રમાણપત્ર એકસાથે માન્ય હોઈ શકે કે નહીં, અને જૂની ઓળખપત્ર કેવી રીતે નિવૃત્ત થાય છે.

આ ઉકેલવા માટે duplicate-cn તરફ ન જાઓ. તે સર્વર વિકલ્પ સમાન નામ રજૂ કરતા સમવર્તી જોડાણોને નિયંત્રિત કરે છે; તે નોંધણીને તાળું મારતું નથી, અને તેને સક્ષમ કરવાથી એક શેર કરેલું સ્થિર સરનામું એકસાથે બે મશીનો માટે સુરક્ષિત થતું નથી. રિવોકેશન સામાન્ય રીતે ઇશ્યુઅર અને સીરિયલ દ્વારા પ્રમાણપત્રને ઓળખે છે, તેથી જૂની ઓળખપત્ર નિવૃત્ત કરવાથી તેના રિપ્લેસમેન્ટને રદ કરવાની જરૂર નથી, જ્યાં સુધી સર્વર સાચો રિવોકેશન ડેટા મેળવે અને લાગુ કરે.

મશીન પરના સાધનોથી મેપિંગની પુષ્ટિ કરો

ઉપકરણને તેની નવી ઓળખપત્ર આપતા પહેલાં, સર્વર જે રીતે વાંચશે તે રીતે પ્રમાણપત્રમાંથી નામ વાંચો, પછી તેની સરખામણી તે પોલિસી ફાઇલ સાથે કરો જે પસંદ થવાની અપેક્ષા છે.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

પ્રથમ આદેશ સબ્જેક્ટ ક્ષેત્રો અલગ છાપે છે, જે ભટકતું સંસ્થાકીય એકમ અથવા બેવડી જગ્યાને તરત દૃશ્યમાન બનાવે છે. બીજો પુષ્ટિ કરે છે કે બરાબર તે નામ હેઠળ પોલિસી ફાઇલ અસ્તિત્વમાં છે, અને ત્રીજો બતાવે છે કે સર્વર એક નામ પર ઘણા સત્રોની પરવાનગી આપવા માટે ગોઠવાયેલું છે કે નહીં. ભૂલ હજી ઘટનાને બદલે સહીનો ખર્ચ કરે ત્યારે, નોંધણી પગલું છોડે તે પહેલાં ત્રણેયને નવા પ્રમાણપત્ર પર ચલાવો. આઉટપુટને ટિકિટ સાથે રાખો જેથી આગળની વ્યક્તિ જોઈ શકે કે સર્વરને ખરેખર કયું નામ આપવામાં આવ્યું હતું.

વાસ્તવિક જોડાણ સાથે સમાપ્ત કરો અને ફાળવેલા સરનામા તથા પુશ કરેલા રૂટની સરખામણી પોલિસી ફાઇલ સાથે કરો, તમે લખવાનું વિચાર્યું હતું તેની સાથે નહીં. જો બે ઉપકરણો સમાન સ્થિર સરનામું જાણ કરે, તો રજિસ્ટ્રીમાં એવી અથડામણ છે જે કોઈ પ્રમાણપત્ર નિરીક્ષણ ક્યારેય જાહેર કરશે નહીં.