Երկու OpenVPN վկայական, մեկ CCD անուն՝ ինչ սխալ գնաց

Տարբեր սերիական համարներ, տարբեր բանալիներ և նույնիսկ տարբեր ամբողջական սուբյեկտներ ունեցող երկու հաճախորդային վկայականներ դեռ կարող են հանգել մեկ քաղաքականության ֆայլի, որովհետև սերվերը ոչ մեկին չի նայում։ Այն վկայականից անուն է կարդում և բացում համապատասխան հաճախորդի կարգավորման ֆայլը։ Եթե երկու վկայականներն էլ կրում են նույն անունը, ապա երկրորդը ժառանգում է առաջինի քաղաքականությունը միանալու պահին։

Բախումը ստեղծվում է գրանցման պահին և հայտնաբերվում միայն միացման պահին, սովորաբար երբ սարքը ստանում է այլ մեքենային պատկանող հասցե կամ երթուղիների հավաքածու։ Այն կանխելու համար պետք է պայմանավորվել, թե որ դաշտն է քարտեզագրում սերվերը, ապա վերապահել այդ արժեքը մինչև որևէ բան ստորագրելը։

Ձեր վկայականների գործիքները ձեզ չեն զգուշացնի, որովհետև X.509-ի ներսում եզակիությունը և OpenVPN քաղաքականության անվան եզակիությունը տարբեր պահանջներ են, որոնց պարտադրում են տարբեր համակարգեր։

Սերվերը անուն է փնտրում, ոչ մատնահետք

Վկայականների վրա հիմնված սովորական քարտեզագրման դեպքում սերվերը վերցնում է ընդհանուր անունը ներկայացված վկայականից և իր հաճախորդների կարգավորման գրացուցակում փնտրում այդ անունով ֆայլ։ Այդ ֆայլը կարող է ամրագրել ստատիկ հասցե, ուղարկել երթուղիներ կամ կիրառել հրային պատի նշաններ յուրաքանչյուր հաճախորդի համար։ Որոնումը տողի համընկնում է ֆայլի անվան հետ, ուստի մեծատառությունը, բացատները և կետադրությունը բոլորն էլ կարևոր են։

Որոշ տեղադրումներ դիտավորյալ փոխում են քարտեզագրումը, որպեսզի նույնականացված օգտանունը ստանձնի ընդհանուր անվան դերը, և այդ ժամանակ հենց օգտանունն է, որ պետք է եզակի լինի։ Ամեն դեպքում, քաղաքականությունն ընտրող արժեքը հենց այն արժեքն է, որը դուք վերապահում եք։ Որոշեք, թե որն է այն, նախքան որևէ բան թողարկելը. բախումից հետո գուշակելը ավելի թանկ է, քան հարցնելը։

Որտեղ երկու մարմիններ համընկնում են նույն անվան վրա

Կազմակերպությունը, որն ընդունում է վկայականներ մեկից ավելի թողարկող մարմնից, վարում է երկու անկախ գրանցման գործընթաց, որոնք գրում են մեկ անվանատարածքում։ Յուրաքանչյուր մարմնի սեփական եզակիության կանոնները գործում են նրա ներսում, ուստի երկուսն էլ կարող են օրինականորեն թողարկել նույն ընդհանուր անվան համար, առանց որևէ մեկի սխալ նկատելու։

Սերիական համարները չեն օգնում։ X.509-ը պահանջում է, որ սերիական համարը եզակի լինի իր թողարկողի սահմաններում, ինչը այդ մարմնի հաշվառման հատկանիշն է, ոչ թե սարքի համաշխարհային ինքնությունը։ Սուբյեկտի ստուգումը նույնպես տարբերվում է ընդհանուր անվան ստուգումից. երկու վկայական կարող են կիսել CN-ը, բայց տարբերվել կազմակերպական միավորով և դրանով կրել տարբեր սուբյեկտներ։ Այդ հատկանիշներից յուրաքանչյուրը կարող է պահպանվել, մինչ սերվերը դեռ երկու վկայականներն էլ քարտեզագրում է մեկ ֆայլանվան վրա։

OpenSSL CA փաստաթղթերը նկարագրում են unique_subject կարգավորումը, որը կառավարում է իր իսկ տվյալների բազայի կարծիքը, և ազնիվ մեկնարկային կետը ձեր թողարկման կարգավորումը կարդալն է, այլ ոչ թե ենթադրելը, որ գործում է EasyRSA-ի կամ OpenSSL-ի որոշակի լռելյայն։

Վերապահեք արդյունավետ անունը ստորագրումից առաջ

Վարեք գրանցամատյան, որը սարքը քարտեզագրում է իր հաստատված գրառմանը, այնուհետև ճշգրիտ քաղաքականության ֆայլանվան, որպեսզի անունը հատկացվի մեկ անգամ և մնա հատկացված։ Վերապահումը պետք է լինի ատոմային, ինչը գործնականում նշանակում է տվյալների բազայի սահմանափակում կամ կողպեք հատկացրու-ապա-ստորագրիր քայլի շուրջ, այլ ոչ թե երկու մարդու խմբագրած աղյուսակ։

Այնուհետև ստուգումը դարձրեք թողարկման մաս. հրաժարվեք ստորագրելուց, երբ պահանջված անունն արդեն գոյություն ունի, և այդ ստուգման մեջ ներառեք յուրաքանչյուր մարմին, որին վստահում է սերվերը, քանի որ մյուս մարմնի կողմից վերապահված անունը նույնքան զբաղված է։ Հստակ պատճառով մերժված հարցումն ավելի էժան է, քան այն սարքի մասին տոմսը, որն անընդհատ ստանում է ուրիշի ստատիկ հասցեն։

Թարմացումը դիտավորյալ վերօգտագործում է անունը

Գոյություն ունեցող սարքի համար վերստին թողարկումը պետք է տա նոր սերիական համար նույն քաղաքականության անվան ներքո, և դա օրինական վերօգտագործում է, ոչ թե բախում։ Նախապես պետք է որոշել համընկնումը. կարո՞ղ են հին և նոր վկայականները վավեր լինել միաժամանակ, և ինչպես է հին հավատարմագիրը դուրս բերվում։

Մի՛ դիմեք duplicate-cn-ին այն լուծելու համար։ Այդ սերվերի ընտրանքը կառավարում է նույն անունը ներկայացնող միաժամանակյա միացումները. այն չի կողպում գրանցումը, և դրա միացումը մեկ ընդհանուր ստատիկ հասցեն անվտանգ չի դարձնում միաժամանակ երկու մեքենայի համար։ Չեղարկումը սովորաբար վկայականը նույնականացնում է թողարկողով և սերիական համարով, ուստի հին հավատարմագրի դուրսբերումը պարտավոր չէ անվավեր դարձնել դրա փոխարինողին, քանի դեռ սերվերը ստանում և կիրառում է ճիշտ չեղարկման տվյալները։

Հաստատեք քարտեզագրումը մեքենայի վրա եղած գործիքներով

Նախքան սարքին նոր հավատարմագիրը հանձնելը, կարդացեք անունը վկայականից այնպես, ինչպես կաներ սերվերը, ապա համեմատեք այն քաղաքականության ֆայլի հետ, որը սպասում եք, որ կընտրվի։

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Առաջին հրամանը սուբյեկտի դաշտերը տպում է առանձին, ինչը անմիջապես տեսանելի է դարձնում մոլորված կազմակերպական միավորը կամ կրկնակի բացատը։ Երկրորդը հաստատում է, որ հենց այդ անունով գոյություն ունի քաղաքականության ֆայլ, իսկ երրորդը ցույց է տալիս, թե արդյոք սերվերը կարգավորված է մեկ անվան վրա մի քանի նստաշրջան թույլատրելու համար։ Գործարկեք բոլոր երեքը թարմ վկայականի վրա, նախքան այն կլքի գրանցման քայլը, մինչ սխալը դեռ արժե ստորագրություն, ոչ թե միջադեպ։ Պահեք ելքը տոմսի հետ, որպեսզի հաջորդ մարդը տեսնի, թե ինչ անուն է սերվերն իրականում ստացել։

Ավարտեք իրական միացմամբ և համեմատեք հատկացված հասցեն ու ուղարկված երթուղիները քաղաքականության ֆայլի հետ, այլ ոչ թե այն բանի, ինչ դուք մտադիր էիք գրել։ Եթե երկու սարքեր հաղորդում են նույն ստատիկ հասցեն, գրանցամատյանում կա բախում, որը վկայականների ոչ մի ստուգում երբեք չի բացահայտի։