OpenVPN client-config-dir: fájlnév szemben a tanúsítvány CN-jével

Két név van játékban, mielőtt az ügyfél egyáltalán csatlakozna: a laptopon lévő fájlnév (nuc.ovpn) és az az identitás, amelyet a kiszolgáló a hitelesítő adatokból vezet le. A client-config-dir keresés a másodikat használja. A profil átnevezése az ügyfélen, vagy a .conf hozzáfűzése a kiszolgálói fájlhoz semmin sem változtat abból, hogy melyik fájlt nyitja meg a kiszolgáló.

A hasznos összehasonlítás nem az, hogy „melyik nevet használtam”, hanem hogy „melyik szabályt alkalmazza a kiszolgáló”, mert a tanúsítványos hitelesítés és a felhasználónév/jelszó hitelesítés ugyanabból a bejelentkezésből eltérő tényleges neveket eredményezhet.

Profilnév szemben a tanúsítvány közös nevével

Az alapértelmezett tanúsítványalapú beállításban a kiszolgáló az X.509 közös nevet veszi, és pontosan ilyen nevű fájlt keres a client-config-dir könyvtárban. Egy nuc.ovpn nevű profil, amelynek tanúsítványa tester, a /etc/openvpn/server/ccd/tester útvonalra oldódik fel. Az ügyfél fájlneve soha nem kerül a számításba. Ez az első hely, ahol eltérés rejtőzik.

Ezért egy gondosan elnevezett profilokkal teli könyvtár minden alkalommal hibázhat. A fájlt nem subject, nem e-mail-cím és nem a GUI-ban megjelenő név alapján párosítja; a közös név karakterlánca alapján párosítja.

A kis- és nagybetűt megkülönböztető fájlrendszeren a Tester és a tester két különböző fájl, és csak az egyik nyílik meg valaha. A közös nevet abból a tanúsítványból ellenőrizze, amelyet az ügyfél ténylegesen bemutat, ne a jegyzeteiben lévő másolatból.

A username-as-common-name megfordítja a szabályt

Amikor a kiszolgáló felhasználónév/jelszó hitelesítést futtat a username-as-common-name beállítással, a hitelesített felhasználónév helyettesíti a tanúsítvány közös nevét ehhez a kereséshez.

Hasonlítsa össze a két esetet közvetlenül: tanúsítvány-identitás esetén a fájl a tanúsítványt követi, és a jelszóváltás nem számít; felhasználónév-identitás esetén a fájl a bejelentkezési nevet követi, és a tanúsítvány újrakibocsátása nem számít. Amelyik mezőt a kiszolgáló helyettesíti, ahhoz kell átnevezni. Az új CN-nel újrakibocsátott tanúsítvány csendben megváltoztatja a keresés célját, a régi CCD-fájl pedig a lemezen marad, és helyesnek látszik.

Léteznek vegyes konfigurációk, és a legtöbb zavar ott kezdődik. Ha az egyik szolgáltatásblokk bekapcsolja a helyettesítést, a másik nem, a tényleges név attól függ, melyik példány kezelte a kapcsolatot. Erősítse meg az aktív konfigurációt, ahelyett hogy feltételezné a globális fájl érvényességét. A kiszolgálói beállítások referenciája dokumentálja a névvel megadott fájl keresését és az opcionális tartalékot.

Mit olvas a kiszolgáló, és mit hagy ki csendben

Két apró különbség dönti el, kiválasztódik-e egy fájl. Az első egy hozzáadott kiterjesztés. A második egy elkóborolt karakter a névben.

OpenVPN nem fűzi hozzá a .conf kiterjesztést a keresett névhez, ezért a tester.conf nem egyezik a tester névvel. Egy kiterjesztéseket elrejtő szerkesztő olyan fájlt hagyhat, amely a listában helyesnek látszik, és soha nem egyezik.

Ha nincs egyező fájl, a kiszolgáló visszaeshet egy DEFAULT nevű fájlra. Hogy néhány beállítás megérkezik, még nem bizonyítja, hogy az ügyfélspecifikus fájlt használta. Hasonlítsa össze a kiosztott címet vagy a tolott útvonalakat azzal, amit az ügyfélspecifikus fájl adna. Az engedélyek a harmadik szűrő, mert a kiszolgáló a jogosultságok feladása után nyitja meg a fájlt; egy root héj, amely olvasni tudja, semmit sem bizonyít.

A helyes fájlnév nem hitelesíti a tartalmat

A kiválasztás és a tartalom külön hiba. Miután megnyílt a helyes fájl, az utasításainak továbbra is érvényesnek kell lenniük arra az ügyfélre.

Az ifconfig-push csak olyan címet oszthat ki, amelyet a topológia ténylegesen használni tud, és az iroute csak az ügyfél mögötti irányított alhálózat esetén értelmes.

Egy identitás, több eszköz

Két laptop, amely ugyanazt a közös nevet mutatja be, ugyanazt a fájlt választja, és ugyanazokat az ügyfélspecifikus beállításokat kapja. Ha külön címekre vagy külön visszavonásra van szüksége, külön identitásokra van szüksége, nem egy fájl két példányára.

Az összehasonlítás az identitás megosztása és az eszközönkénti egy tanúsítvány kibocsátása között van. A megosztás egyszerűbb adminisztrálni és durvább visszavonni, míg az eszközönkénti tanúsítványok több beállítást igényelnek, és tiszta egységet adnak a letiltáshoz.