Eitt sameiginlegt nafn, tvö skírteini: leyfislisti eða afturköllun?

Endurútgáfa fartölvuskírteinis undir sama sameiginlega nafni virðist sem skipti, og allir gera ráð fyrir að það gamla sé dautt. Það er það ekki. Forverinn er áfram gilt skírteini undirritað af sömu yfirvaldi, og hvaða stýring sem leyfir biðlara eftir nafni mun halda áfram að leyfa það. Það sem aðgreinir auðkenningu frá athugun skilríkja er raðnúmerið, og þar á leiðréttingin heima.

Byrjið á nafnastefnunni sem þjónninn notar

Tveimur stýringum er ruglað saman: að leyfa biðlara vegna þess hver hann segist vera, og að taka eitt tiltekið skírteini úr þjónustu. Sú fyrri er nafnaathugun, sú síðari er afturköllunarathugun. Þær svara mismunandi spurningum, og uppsetning getur haft aðra án hinnar.

Lestu stillingar þjónsins og taktu eftir hvaða auðkenningargjafi er í gangi. username-as-common-name gerir auðkennda notandanafnið að virka nafninu fyrir biðlarasértækar uppflettingar. Án þess er sameiginlegt nafn viðfangsins úr skírteininu notað. Hvort sem svarið er, skrifaðu það niður áður en þú snertir hvaða leyfislista sem er.

Leiðirnar tvær gefa mismunandi mengi leyfilegra nafna fyrir sama skírteinið. Að giska hér þýðir að breyta rangri skrá og komast að þeirri niðurstöðu að stýringin virki ekki.

Athugaðu hvað leyfir biðlara í raun

Stillingin client-config-dir með samsvarandi skrá veitir valkosti fyrir hvern biðlara; eitt sér er hún ekki leyfisregla. Leyfi eftir nafni krefst ccd-exclusive, sem hafnar biðlarum sem hafa ekki samsvarandi skrá. Að virkja það á lifandi uppsetningu aftengir alla sem hafa ekki skrá fyrir nafnið sitt, svo teldu skrárnar áður en þú breytir einhverju.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Fjöldinn er athugunin: berðu saman skráaskráninguna og auðkennin sem þú býst við að tengist.

Staðfestu síðan að hvert skráarnafn passi nákvæmlega við virka auðkennið, þar á meðal há- og lágstafi og bil. Skrá fyrir office-laptop gerir ekkert fyrir skírteini þar sem viðfangið segir Office-Laptop. Bil í lokin fela sig einnig fyrir venjulegri skráningu, og þannig verður skrá sem virðist vera til ólesin.

Athugaðu CRL sem gáttin hleður

CRL nefnir afturkölluð skírteini eftir útgefanda og raðnúmeri, sem er sá smáatriði sem nafnaathugun vantar. Tvö skírteini geta deilt sameiginlegu nafni og verið ólík í raðnúmeri, og aðeins listi á raðnúmerastigi aðgreinir þau.

Staðfestu stillta slóð, útgáfudag og reitinn fyrir næstu uppfærslu áður en þú treystir skránni yfirhöfuð.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Berðu saman raðnúmerið í CRL við raðnúmerið á skírteininu sem þú ætlar að halda. Sá samanburður er öll prófunin, og að gera hann einu sinni með auganu er meira virði en að treysta skriftu sem enginn hefur lesið. Dreifðu uppfærðu CRL eftir þeirri slóð sem gáttin les þegar. CRL í rangri möppu þvingar ekkert, og engin biðlaraskrá mun minnast á það.

Skiptu út, og sannaðu svo báðar niðurstöður

Gefðu út skiptiskírteinið undir sama sameiginlega nafni, skráðu bæði raðnúmerin, og afturkallaðu það gamla aðeins eftir það. Þessi röð heldur virku auðkenni aðgengilegu á meðan þú undirbýr breytinguna.

Prófaðu skiptiskírteinið fyrst: það ætti að auðkenna sig og ná til alls sem nafn þess á rétt á. Prófaðu síðan gamla skírteinið og staðfestu að því sé hafnað, því árangursrík skipti segja ekkert um afturköllun. Ef bæði tengjast enn er afturköllunarinntakið ekki lesið eða gamla raðnúmerið var aldrei skráð. Ef ekkert tengist hefur þú brotið leyfisregluna, ekki skilríkið.

Þegar stofnaðar lotur eru sérstakt mál, þar sem afturköllun gildir um nýjar auðkenningar nema gáttin sé einnig stillt til að sleppa lifandi tengingum. Ákveddu hvort tafarlaus fjarlæging sé nauðsynleg áður en þú lofar því við einhvern.

Hvað nafnaathugun getur aldrei gert

Leyfislisti svarar því hvort þetta auðkenni megi tengjast. Hann getur ekki sagt hvaða skírteini auðkennið notaði, og hann mun leyfa eldra skilríki svo lengi sem skilríkið heldur gildi og er ekki afturkallað. Það bil kemur í ljós í atviki, þegar skiptin voru gefin út fyrir mánuðum og forverinn virkar enn.

Þar sem stýring á skírteinisstigi er nauðsynleg, notaðu fyrirkomulag sem nefnir skírteinið: CRL-færslur, eða sannprófunarkrók sem athugar fingrafar sem rekstraraðilinn heldur við. Bæði kosta viðhald, og bæði eru heiðarleg um hlutinn sem þau skoða. handbók OpenVPN 2.6 skjalfestir crl-verify og leyfi sérstakt fyrir biðlara sem aðskilda valkosti af þeirri ástæðu.

Skrifaðu niður hvaða stýring vinnur hvaða verk, prófaðu svo neikvæða tilfellið. Afturköllun sem þú hefur aldrei séð hafna tengingu er stilling sem þú vonar að virki.