Մեկ ընդհանուր անուն, երկու վկայագիր՝ թույլատրելի ցանկ, թե՞ չեղարկում

Նույն ընդհանուր անվան ներքո նոթբուքի վկայագրի նորից թողարկումը թվում է փոխարինում, և բոլորը ենթադրում են, որ հինը մեռած է։ Այդպես չէ։ Նախորդը մնում է նույն իշխանության կողմից ստորագրված վավեր վկայագիր, և անունով հաճախորդներ ընդունող ցանկացած վերահսկողություն կշարունակի ընդունել այն։ Ինքնության ստուգումը հավատարմագրի ստուգումից տարբերում է հերթական համարը, և ուղղումը հենց այնտեղ պետք է լինի։

Սկսեք սերվերի օգտագործած անվանակարգման քաղաքականությունից

Երկու վերահսկողություն խառնվում են՝ հաճախորդին ընդունելը նրա համար, ինչ նա պնդում է, թե ով է, և կոնկրետ վկայագիրը ծառայությունից հանելը։ Առաջինը անվան ստուգում է, երկրորդը՝ չեղարկման ստուգում։ Նրանք պատասխանում են տարբեր հարցերի, և տեղաբաշխումը կարող է ունենալ մեկը առանց մյուսի։

Կարդացեք սերվերի կարգավորումը և նշեք, թե որ ինքնության աղբյուրն է գործում։ username-as-common-name վավերացված օգտանունը դարձնում է հաճախորդին բնորոշ որոնումների արդյունավետ անունը։ Առանց դրա օգտագործվում է վկայագրից սուբյեկտի ընդհանուր անունը։ Ինչ էլ լինի պատասխանը, գրեք այն նախքան որևէ թույլատրելի ցանկի դիպչելը։

Երկու ուղիները տալիս են տարբեր թույլատրված անունների բազմություն նույն վկայագրի համար։ Այստեղ գուշակելը նշանակում է խմբագրել սխալ ֆայլը և եզրակացնել, որ վերահսկողությունը չի աշխատում։

Ստուգեք, թե իրականում ինչն է ընդունում հաճախորդին

Համապատասխան ֆայլով client-config-dir տրամադրում է յուրաքանչյուր հաճախորդի ընտրանքներ․ ինքնին այն ընդունելության կանոն չէ։ Անունով ընդունելությունը պահանջում է ccd-exclusive, որը մերժում է այն հաճախորդներին, ովքեր համապատասխան ֆայլ չունեն։ Դա գործող տեղաբաշխման վրա միացնելը անջատում է բոլորին, ում անվան ֆայլ չկա, ուստի հաշվեք ֆայլերը նախքան որևէ բան փոխելը։

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Հաշվարկը հենց ստուգումն է․ համեմատեք գրացուցակի ցանկը այն ինքնությունների հետ, որոնց միացումը սպասում եք։

Այնուհետև հաստատեք, որ յուրաքանչյուր ֆայլի անուն ճշգրտորեն համապատասխանում է արդյունավետ ինքնությանը՝ ներառյալ մեծատառերը և բացատները։ office-laptop համար ֆայլը ոչինչ չի անում այն վկայագրի համար, որի սուբյեկտը Office-Laptop է ցույց տալիս։ Վերջին բացատները նույնպես թաքնվում են սովորական ցանկից, և այսպես առկա թվացող ֆայլը մնում է չկարդացված։

Ստուգեք այն CRL-ը, որը բեռնում է դարպասը

CRL-ը չեղարկված վկայագրերին անվանում է ըստ թողարկողի և հերթական համարի, ինչը այն մանրամասնությունն է, որը պակասում է անվան ստուգմանը։ Երկու վկայագիր կարող են կիսել ընդհանուր անուն և տարբերվել հերթական համարով, և դրանք բաժանում է միայն հերթական համարի մակարդակի ցանկը։

Հաստատեք կարգավորված ուղին, թողարկման ամսաթիվը և հաջորդ թարմացման դաշտը նախքան ֆայլին ընդհանրապես վստահելը։

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Համեմատեք CRL-ի հերթական համարը ձեր պահելու մտադրած վկայագրի հերթական համարի հետ։ Այդ համեմատությունն է ամբողջ փորձարկումը, և այն մեկ անգամ աչքով անելն ավելի արժեքավոր է, քան վստահել մի սկրիպտի, որը ոչ ոք չի կարդացել։ Տարածեք թարմացված CRL-ը այն ուղով, որը դարպասն արդեն կարդում է։ Սխալ գրացուցակում ընկած CRL-ը ոչինչ չի պարտադրում, և ոչ մի հաճախորդի մատյան չի հիշատակի այն։

Փոխարինեք, ապա ապացուցեք երկու արդյունքները

Թողարկեք փոխարինումը նույն ընդհանուր անվան ներքո, գրանցեք երկու հերթական համարները, և միայն այնուհետև չեղարկեք հինը։ Այդ հերթականությունը աշխատունակ ինքնություն է պահում հասանելի, քանի դեռ պատրաստում եք փոփոխությունը։

Նախ փորձարկեք փոխարինումը․ այն պետք է վավերացվի և հասնի այն ամենին, ինչին իրավունք ունի իր անունը։ Այնուհետև փորձարկեք հին վկայագիրը և հաստատեք, որ այն մերժվում է, քանի որ հաջող փոխարինումը ոչինչ չի ասում չեղարկման մասին։ Եթե երկուսը դեռ միանում են, չեղարկման մուտքը չի կարդացվում, կամ հին հերթական համարը երբեք ցանկում չի եղել։ Եթե ոչ մեկը չի միանում, դուք կոտրել եք ընդունելության կանոնը, ոչ թե հավատարմագիրը։

Արդեն հաստատված սեսիաները առանձին խնդիր են, քանի որ չեղարկումը վերաբերում է նոր վավերացումներին, եթե դարպասը նաև կարգավորված չէ կենդանի կապերը գցելու համար։ Որոշեք՝ արդյոք ակնթարթային հեռացում է պահանջվում, նախքան որևէ մեկին դա խոստանալը։

Ինչ անվան ստուգումը երբեք չի կարող անել

Թույլատրելի ցանկը պատասխանում է՝ արդյոք այս ինքնությունը կարող է միանալ։ Այն չի կարող ասել, թե որ վկայագիրն է օգտագործել այս ինքնությունը, և կընդունի ավելի հին հավատարմագիր այնքան ժամանակ, քանի դեռ հավատարմագիրը մնում է վավեր և չեղարկված չէ։ Այդ բացը ի հայտ է գալիս միջադեպի ընթացքում, երբ փոխարինումը թողարկվել է ամիսներ առաջ, և նախորդը դեռ աշխատում է։

Այնտեղ, որտեղ պահանջվում է վկայագրի մակարդակի վերահսկողություն, օգտագործեք վկայագիրը անվանող մեխանիզմ՝ CRL գրառումներ, կամ ստուգման կեռիկ, որը ստուգում է օպերատորի պահպանած մատնահետքը։ Երկուսն էլ պահանջում են սպասարկում, և երկուսն էլ ազնիվ են իրենց ուսումնասիրած օբյեկտի նկատմամբ։ OpenVPN 2.6 ձեռնարկը փաստաթղթավորում է crl-verify և հաճախորդին բնորոշ ընդունելությունը որպես առանձին ընտրանքներ հենց այդ պատճառով։

Գրեք, թե որ վերահսկողությունն ինչ աշխատանք է կատարում, ապա փորձարկեք բացասական դեպքը։ Չեղարկումը, որը երբեք չեք տեսել կապ մերժելիս, կարգավորում է, որի աշխատելուն դուք հույս ունեք։