OpenVPN client-config-dir: ֆայլի անունը ընդդեմ վկայագրի CN-ի

Երկու անուն խաղի մեջ են մինչև հաճախորդի միանալը՝ նոթբուքի վրա ֆայլի անունը (nuc.ovpn) և այն ինքնությունը, որը սերվերը ստանում է վկայականից։ client-config-dir որոնումը օգտագործում է երկրորդը։ Հաճախորդի վրա պրոֆիլը վերանվանելը կամ սերվերի ֆայլին .conf ավելացնելը ոչինչ չի փոխում այն հարցում, թե սերվերը որ ֆայլն է բացում։

Օգտակար համեմատությունը «ինչ անուն եմ օգտագործել» չէ, այլ «ինչ կանոն է կիրառում սերվերը», որովհետև վկայագրով նույնականացումը և օգտվողի անուն/գաղտնաբառ նույնականացումը կարող են նույն մուտքից տարբեր արդյունավետ անուններ ստեղծել։

Պրոֆիլի անունը՝ ընդդեմ վկայագրի ընդհանուր անվան

Լռելյայն վկայագրի վրա հիմնված կարգավորման մեջ սերվերը վերցնում է X.509 ընդհանուր անունը և client-config-dir-ի ներսում փնտրում է ճիշտ այդ անունով ֆայլ։ nuc.ovpn անունով պրոֆիլը, որի վկայագիրը ասում է tester, լուծվում է /etc/openvpn/server/ccd/tester-ի։ Հաճախորդի ֆայլի անունը երբեք չի մտնում հաշվարկի մեջ։ Սա առաջին տեղն է, որտեղ անհամապատասխանությունը թաքնվում է։

Այսպիսով՝ խնամքով անվանակոչված պրոֆիլներով լի պանակը կարող է ամեն անգամ բաց թողնել։ Ֆայլը չի համադրվում subject-ով, էլփոստի հասցեով կամ GUI-ում ցուցադրվող անունով՝ այն համադրվում է ընդհանուր անվան տողով։

Մեծատառերի նկատմամբ զգայուն ֆայլային համակարգում Tester-ը և tester-ը երկու տարբեր ֆայլեր են, և բացվում է միայն մեկը։ Ստուգեք ընդհանուր անունը այն վկայագրից, որը հաճախորդն իրոք ներկայացնում է, ոչ թե ձեր նշումների պատճենից։

username-as-common-name-ը շրջում է կանոնը

Երբ սերվերը վարում է օգտվողի անուն/գաղտնաբառ նույնականացում username-as-common-name-ով, նույնականացված օգտվողի անունը փոխարինում է վկայագրի ընդհանուր անվանը այս որոնման համար։

Համեմատեք երկու դեպքերն ուղղակիորեն՝ վկայագրի ինքնության դեպքում ֆայլը հետևում է վկայագրին, և գաղտնաբառի փոփոխությունն անտեղի է՝ օգտվողի անվան ինքնության դեպքում ֆայլը հետևում է մուտքի անվանը, և վկայագրի վերաթողարկումն անտեղի է։ Որ դաշտն է սերվերը փոխարինում, դրա հիման վրա էլ պետք է վերանվանել։ Նոր CN-ով վերաթողարկված վկայագիրը լուռ փոխում է որոնման թիրախը, և հին CCD ֆայլը մնում է սկավառակի վրա՝ ճիշտ տեսք ունենալով։

Գոյություն ունեն խառը կարգավորումներ, և հենց այնտեղ է սկսվում շփոթության մեծ մասը։ Եթե ծառայության մի բլոկը միացնում է փոխարինումը, մյուսը՝ ոչ, արդյունավետ անունը կախված է նրանից, թե որ օրինակն է սպասարկել կապը։ Հաստատեք ակտիվ կարգավորումը՝ փոխարենը չենթադրելով, որ գլոբալ ֆայլն է գործում։ Սերվերի ընտրանքների հղումը վերևում նկարագրում է անվանված ֆայլի որոնումը և ընտրովի պահուստը։

Ինչ է կարդում սերվերը, և ինչ է լուռ բաց թողնում

Երկու փոքր տարբերություն որոշում է՝ ֆայլը կընտրվի՞ արդյոք։ Առաջինը ավելացված ընդլայնումն է։ Երկրորդը անվան մեջ մնացած պատահական նշանը։

OpenVPN-ը .conf չի ավելացնում իր փնտրած անվանը, ուստի tester.conf-ը չի համապատասխանում tester-ին։ Ընդլայնումները թաքցնող խմբագրիչը կարող է թողնել ֆայլ, որը ցանկում ճիշտ է երևում և երբեք չի համապատասխանում։

Երբ համապատասխան ֆայլ չկա, սերվերը կարող է անցնել DEFAULT անունով ֆայլին։ Ուստի որոշ կարգավորումների հասնելը ապացույց չէ, որ օգտագործվել է յուրաքանչյուր հաճախորդի ֆայլը։ Համեմատեք հատկացված հասցեն կամ հրված երթուղիները նրա հետ, ինչ կտար յուրաքանչյուր հաճախորդի ֆայլը։ Թույլտվությունները երրորդ զտիչն են, որովհետև սերվերը ֆայլը բացում է արտոնություններից հրաժարվելուց հետո՝ root shell-ը, որը կարող է կարդալ այն, ոչինչ չի ապացուցում։

Ճիշտ ֆայլի անունը չի վավերացնում բովանդակությունը

Ընտրությունը և բովանդակությունը առանձին ձախողումներ են։ Ճիշտ ֆայլը բացվելուց հետո դրա հրահանգները դեռ պետք է վավեր լինեն այդ հաճախորդի համար։

ifconfig-push-ը պետք է հատկացնի հասցե, որն իսկապես կարող է օգտագործել տոպոլոգիան, և iroute-ը իմաստ ունի միայն այդ հաճախորդի հետևում գտնվող երթուղայնացված ենթացանցի համար։

Մեկ ինքնություն, մի քանի սարք

Երկու նոթբուք, որոնք ներկայացնում են նույն ընդհանուր անունը, ընտրում են նույն ֆայլը և ստանում նույն հաճախորդին հատուկ կարգավորումները։ Եթե ձեզ պետք են առանձին հասցեներ կամ առանձին չեղարկում՝ ձեզ պետք են առանձին ինքնություններ, ոչ թե մեկ ֆայլի երկու պատճեն։

Համեմատությունը ինքնությունը կիսելու և յուրաքանչյուր սարքի համար մեկ վկայագիր թողարկելու միջև է։ Կիսելը ավելի հեշտ է կառավարել և ավելի կոպիտ՝ չեղարկել, մինչդեռ սարքի համար վկայագրերը ավելի շատ կարգավորում են պահանջում և ձեզ տալիս են մաքուր միավոր՝ անջատելու համար։