Ընդհանուր CA, առանձին դռներ՝ մեկ ծառայություն մեկ ընդունելության ֆայլի համար

Ընդհանուր իշխանության դեմ վավերացվող վկայագիրն անցել է վստահության փորձություն, ոչ անդամակցության փորձություն։ Այս երկու որոշումները հաճախ միաձուլվում են, քանի որ երկուսն էլ տեղի են ունենում միացման պահին, և այդ միաձուլումը մնում է անտեսանելի, քանի դեռ ծառայություն չի ընդունվում մեկը, ով չպետք է այնտեղ լիներ։ Լուծումը երկրորդ իշխանություն չէ, այլ երկրորդ որոշում՝ կայացված յուրաքանչյուր ծառայության համար և գրանցված այնտեղ, որտեղ դեյմոնը կարդում է այն։ Առանձնացրեք երկուսը, և այս ոլորտի շփոթության մեծ մասը կվերանա։

Վստահելի շղթան ոչինչ չի ասում ծառայության անդամակցության մասին

Երկու ծառայություն կարող են ընդունել նույն թողարկող հիերարխիան և այդուհանդերձ ունենալ տարբեր բնակչություն։ Մեկ նոթբուք պատկանում է առաջինին և չպետք է հասնի երկրորդին, մինչդեռ նույն հիերարխիայի այլ հաճախորդներ իսկապես այնտեղ են պատկանում։ Այդ ծառայությունից իշխանությունը հեռացնելը կարգելափակեր բոլորին, ովքեր օրինականորեն օգտվում են դրանից, ուստի աշխատանքը ընդունելություն է, ոչ վստահություն։

Օգտակար է պատկերացնել երկու կողպեք մեկ դռան վրա։ Վկայագիրը բացում է արտաքին կողպեքը, իսկ ծառայության համար որոշումը՝ ներքինը, և ոչ մեկը չի փոխարինում մյուսին։ Միայն արտաքին կողպեքով ծառայությունը ընդհանրապես անդամակցություն չի պարտադրում, այն միայն նույնականացնում է։ Գրառեք երկու որոշումներն էլ նախքան որևէ բան փոխելը, որովհետև միայն աշխատող միացման տեսքով գոյություն ունեցող քաղաքականությունը հնարավոր չէ աուդիտ անել։ Հետևյալը ներքին կողպեքի մասին է։

Ընտրովի վերագրանցումները դարձրեք ընդունելության դարպաս

Հաճախորդի կազմաձևի թղթապանակը սովորաբար հարմարություն է՝ դրա ֆայլերը վերագրանցում են այն հաճախորդների կարգավորումները, որոնց անվանում են, իսկ ֆայլ չունեցող հաճախորդը պարզապես աշխատում է սերվերի լռելյայն արժեքներով։ Մեկ հրահանգ այդ հարմարությունը դարձնում է դարպաս, այնպես որ բացակայող ֆայլը նշանակում է միացման մերժում։

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Համայնքային թողարկումը OpenVPN 2.6 ccd-exclusive իր ձեռնարկի էջում փաստագրում է հենց այս պայմանը, և անվանված ֆայլի որոնումը հիմնված է հաճախորդի արդյունավետ ինքնության վրա։ Այլ կառուցումներ և արտադրանքով կառավարվող սերվերներ կարող են տարբերվել, ուստի հաստատեք տեղադրված տարբերակը նախքան այլ տեղ նույն իմաստաբանությանը ապավինելը։

Վերևի ուղին համարեք օրինակ և ստուգեք տեղակայված դասավորությունը՝ փոխարենը չստեղծելով ուղեցույցի հնարած թղթապանակ։ Թողեք գործող վկայագրի ստուգումները, սերվերի ինքնության ստուգումները և հաշվի նույնականացումը ճիշտ այնպես, ինչպես եղել են, որովհետև հատվածը ավելացնում է պայման և ոչինչ չի հեռացնում։ Պատրաստեք փոփոխությունը մինչև արտադրություն, քանի որ սխալ պահին բարձրացված մերժումը նման է վկայագրի խափանման և հետաքննությունը ուղղում է իշխանությանը։ Այնուհետև հաստատեք, որ մերժված հաճախորդի մատյան տողը նշում է բացակայող կազմաձևի ֆայլը, ոչ շղթան։

Մեկ թղթապանակ մեկ ծառայության համար, ոչ մեկ ընդհանուր ցանկ

Անդամակցությունը պատկանում է այն ծառայությանը, որը պարտադրում է այն, ուստի յուրաքանչյուր ծառայություն պահում է իր թղթապանակը և իր ֆայլերը։ Երկու ծառայություն մեկ ցանկին ուղղելը ստիպում է նրանց կիսել անդամակցությունը անկախ նրանից՝ ինչ-որ մեկը դա մտադրվել է, թե ոչ, և առաջացած փոփոխությունը դժվար է հետագծել մինչև որոշում։ Ընդհանուր իշխանությունը կարող է մնալ ընդհանուր, բայց ընդունելության ֆայլերը՝ ոչ։ Դրանք առանձին պահելը նաև նշանակում է, որ մի ծառայության սխալը չի կարող լուռ ընդլայնել մյուսը։

DEFAULT գրառումը այն դեպքն է, որը մոլորեցնում է մարդկանց։ Այն տալիս է պահուստային կարգավորումներ, երբ անվանված ֆայլ չի գտնվել, բայց դա այն անվանված ֆայլը չէ, որը պահանջում է դարպասը, ուստի ինքնուրույն չի կարող ընդունել հաճախորդին։ Փորձարկեք հաճախորդ, որը ընդհանրապես գրառում չունի, և հաստատեք մերժումը։ Եթե այդ հաճախորդն ընդունվում է, ապա գործում է պահուստը և ccd-exclusive այդ օրինակում ուժի մեջ չէ։

Արդյունավետ ինքնությունը որոշում է, թե որ ֆայլն է կարդացվում

Որոնումն օգտագործում է այն ինքնությունը, որով հաճախորդն իրականում նույնականացել է, որը սովորաբար վկայագրի ընդհանուր անունն է։ Երբ սերվերը նաև ստուգում է օգտանուն և գաղտնաբառ և այդ անունը քարտեզագրում է ընդհանուր անվան մեջ, ֆայլը պետք է համապատասխանի նույնականացված օգտանվանը։ Անհամապատասխանությունը թողնում է թղթապանակ՝ լի հավանական ֆայլանուններով, որոնք երբեք չեն ընտրվում։

Ընթերցումը մյուս կեսն է։ Դեյմոնը սովորաբար գործարկումից հետո թողնում է արտոնությունները, ուստի կրճատված հաշվին անհրաժեշտ է ընթերցման հասանելիություն թղթապանակին և դրա յուրաքանչյուր գրառմանը։ Հաճախորդները չպետք է կարողանան ստեղծել իրենց գրառումը որևէ գրելի ուղով, որովհետև ինքնասպասարկման ընդունելությունը լիովին զրոյացնում է մեխանիզմը։ Ստուգեք ամրակցման և համօգտագործման թույլտվությունները, ոչ միայն ֆայլի ռեժիմը, քանի որ մի հաշվի համար փակ թվացող թղթապանակը կարող է բաց լինել մյուսի համար։ Այնուհետև հաստատեք, թե որ հաշիվն է իրականում օգտագործում աշխատող գործընթացը, ոչ թե ինչ հաշիվ է նշում unit ֆայլը։ Այդ երկուսը նույնն են միայն այն ժամանակ, երբ այլ բան չի փոխել դրանք։

Դիտարկեք մերժումը, ընդունելությունը և չեղարկումը առանձին

Փորձեք ծառայությանը պատկանող ինքնություն և հաստատեք, որ այն միանում է։ Փորձեք վավեր վկայագիր առանց գրառման և հաստատեք, որ այն մերժվում է։ Փորձեք ինքնություն, որն ընդունված է մյուս ծառայությանը, և հաստատեք, որ այստեղ այն չի ընդունվում։ Գրանցեք ծառայության օրինակը և արդյունավետ ինքնությունը յուրաքանչյուր արդյունքի կողքին, որովհետև առանց այդ համատեքստի արդյունքը ոչ ոք չի կարող վերարտադրել։

Հետկանչումը առանձին գործողություն է չեղարկումից։ Ընդունելության ֆայլի խմբագրումը հեռացնում է մեկ ծառայության իրավունք, մինչ ինքնությունը մնում է վավեր այլուր, մինչդեռ վտանգված բանալին պահանջում է կազմակերպության չեղարկման արձագանքը։ Նախապես որոշեք, թե ինչ կլինի արդեն բացված սեսիաների հետ, որովհետև ոչ թղթապանակի խմբագրումը, ոչ չեղարկման ցանկը ինքնուրույն չեն ավարտում դրանք։

Ընդունելությունը նաև միայն առաջին դարպասն է։ Ծառայությանը միանալը ոչինչ չի ասում դրա հետևում գտնվող ենթացանցերի, տվյալների բազաների կամ կառավարման ինտերֆեյսների մասին, և այդ ռեսուրսների քաղաքականությունը պետք է գրվի և փորձարկվի առանձին։