Ինչու երկու OpenVPN վկայականներ կարող են կիսել մեկ CCD քաղաքականություն

CA-ն կարող է ստորագրել երկու վկայական, որոնք ստանում են նույն OpenVPN հաճախորդին հատուկ կարգավորումը, և ոչ մեկում ոչինչ որևէ մեկին չի զգուշացնում։ Սերիական համարները տարբերվում են, բանալիները տարբերվում են, և ամբողջական սուբյեկտները նույնպես տարբերվում են, հենց որ փոխվում է կազմակերպչական միավորը։ Սերվերը որոշում է յուրաքանչյուր հաճախորդի քաղաքականությունը մեկ անվան միջոցով, և այդ անունն է միակ բանը, որ պետք է եզակի լինի։

Սերվերը լուծում է անուն, ոչ թե սերիական համար

Սովորական վկայականի որոնման դեպքում սերվերը վերցնում է ներկայացված վկայականի ընդհանուր անունը և փնտրում այդ անունով client-config-dir գրառում։ Սերիական համարը երբեք չի մտնում որոնման մեջ։ Երկու վկայական, որոնք տարբերվում են բոլոր դաշտերում, բացի ընդհանուր անունից, հայտնվում են նույն ֆայլում, ուստի երկրորդ կապը ժառանգում է առաջին սարքի ֆիքսված հասցեն և ուղարկված երթուղիները։

Այսպես է անցնում CA-ի կողմի եզակիության ստուգումը, մինչդեռ VPN-ը դեռ բախվում է։ Երկու ստուգումները պատասխանում են տարբեր հարցերի։

Որոշեք, թե ինչ պետք է լինի արդյունավետ անունը, նախքան որևէ բան ստորագրելը, և գրանցեք այն սարքի կամ հաշվի կողքին, որին այն պատկանում է։ Անվանի, սեփականատիրոջ, նպատակի և վկայականի մատնահետքի գրանցամատյանը ծածկում է տեղակայումների մեծ մասը։ Առանց դրա վկայականների արխիվը միակ գրառումն է, թե որ անունն է պատկանում որ սարքին, և այդ արխիվը չի կարող տարբերել լիազորված փոխարինումը երկրորդ սարքից, որը հավակնում է գոյություն ունեցող անվանը։ Ամրագրեք անունը գրանցման պահին, կողպեքի ներքո, եթե երկու օպերատոր կարող են միաժամանակ թողարկել։

Որ անունն է իրականում օգտագործում քարտեզագրումը

Սովորական վկայականի որոնումը օգտագործում է ընդհանուր անունը։ Նույնականացված օգտանունը քարտեզագրելու համար կարգավորված սերվերը փոխարենը օգտագործում է այդ արժեքը, ինչը վկայականի ընդհանուր անունը դարձնում է անհամապատասխան քաղաքականության ընտրության համար։ Կարդացեք աշխատող կարգավորումը՝ տեսնելու, թե որ քարտեզագրումն է ուժի մեջ։

Երկու քարտեզագրումները կարող են լինել միաժամանակ, և այդ դեպքում արդյունքը կախված է այն հերթականությունից, որով սերվերը լուծում է դրանք։ Օգտանվան քարտեզագրումը, որը հետ է ընկնում ընդհանուր անվանը, լուռ կընդունի վկայական, որը գրանցամատյանը երբեք չի հաստատել։ Գրեք արդյունավետ անունը այն հրամանի կողքին, որն այն արտադրել է, որպեսզի հաջորդ օպերատորը ստիպված չլինի նորից բացահայտել հերթականությունը։ Մեկ կապ փորձարկելը յուրաքանչյուր քարտեզագրման համար էժան է և լուծում է հարցը։

Ինչ էլ արտադրի քարտեզագրումը, այդ է ամրագրվող արժեքը։ Ընդհանուր անուններ ամրագրելը CA-ում, մինչդեռ սերվերը հենվում է օգտանունների վրա, ամրագրում է սխալ բանը։

Երկու CA կարող են հաստատել նույն անունը

VPN ծառայությունը կարող է վստահել մեկից ավելի թողարկող մարմնի, և յուրաքանչյուր մարմին պահում է իր պատկերացումն այն մասին, թե որ անուններն են զբաղված։ Երկու անկախ CA կարող են երկուսն էլ հաստատել նույն ընդհանուր անունը տարբեր սարքերի համար, և սերվերը ընդունում է երկու վկայականներն առանց բողոքի։ Գույքագրեք վստահության փաթեթի յուրաքանչյուր մարմին, ոչ միայն այն, որից սովորաբար թողարկում եք։ Խափանումը ի հայտ է գալիս առաջին անգամ, երբ օգտագործվում է երկրորդ մարմնի վկայականը։

Նույն տրամաբանությունը վերաբերում է CA-ին, որը պարտադրում է ամբողջական սուբյեկտի եզակիություն, այլ ոչ թե ընդհանուր անվան եզակիություն։

Ընդհանուր անուն կիսող, բայց կազմակերպչական միավորով տարբերվող երկու վկայական ունեն տարբեր սուբյեկտներ, ուստի CA-ն հակասություն չի հաղորդում, մինչդեռ սերվերը տեսնում է մեկ անուն։ Ստուգեք այն կարգավորումը, որն իրականում օգտագործում է ձեր թողարկող գործիքը, փոխարենը ենթադրելու լռելյայն արժեք։ unique_subject-ի մշակումը openssl ca փաստաթղթերում այնտեղ համապատասխան կոճակն է, և այդ գործիքի շուրջ փաթաթաները սովորաբար բացահայտում են այն՝ փոխարենը չփոխարինելով։

Թարմացումը ամրագրված վերօգտագործում է, ոչ բախում

Անունը պահպանող թարմացումը դիտավորյալ վերօգտագործում է, և գրանցամատյանը պետք է դա ասի պարզ բառերով։ Գրանցեք հին մատնահետքը և նորը մեկ անվան ներքո, որպեսզի գրաքննիչը կարողանա տարբերել փոխարինումը զավթումից։ Սերվերի duplicate-cn տարբերակը կապ չունի դրա հետ. այն կառավարում է միաժամանակյա սեսիաները, ոչ թե գրանցումը կամ անվան ամրագրումները։ Որոշեք, թե որքան ժամանակ կարող են գոյություն ունենալ երկու հավատարմագրերը և երբ հինն այլևս չի ընդունվի։

Փոխարինումը հանձնելուց առաջ ընթերցեք, թե ինչ է իրականում պարունակում վկայականը։ Սուբյեկտի տողն այն դաշտն է, որը սերվերը կքարտեզագրի, ինչ էլ որ ֆայլի անունը հուշի։

openssl x509 -in device42.crt -noout -subject -serial -issuer

Չեղարկումը սովորաբար նույնականացնում է վկայականը իր թողարկողի ներքո, ուստի մեկ սերիական համար թոշակի ուղարկելը չի ազդում նույն մարմնի ճիշտ թողարկված փոխարինման վրա։ Հենց այդ վարքագիծն է պետք մաքուր թարմացմանը, և հենց դա է պատճառը, որ չեղարկումը չի կարող մաքրել երկու սարքերի կիսած անունը։ Վավերացրեք արդյունավետ քաղաքականության անունը և հատկացված հասցեն փորձնական կապով, նախքան օգտվողը կտեսնի սարքը։ Ապա դիտավորյալ թոշակի ուղարկեք հին հավատարմագիրը և գրանցեք, որ դա արել եք։