OpenVPN client-config-dir: skráarheiti á móti CN vottorðsins

Tvö heiti koma við sögu áður en biðlarinn tengist: skráarheitið á fartölvunni (nuc.ovpn) og auðkennið sem þjónninn dregur úr skírteininu. Uppfletting í client-config-dir notar hið síðara. Að endurnefna sniðmátið á biðlinum, eða bæta .conf við skrána á þjóninum, breytir engu um hvaða skrá þjónninn opnar.

Samanburðurinn sem gagnast er ekki «hvaða heiti notaði ég» heldur «hvaða reglu beitir þjónninn», því auðkenning með vottorði og auðkenning með notandanafni/lykilorði geta gefið mismunandi raunveruleg heiti úr sömu innskráningu.

Heiti sniðmáts á móti sameiginlegu heiti vottorðsins

Í sjálfgefnu vottorðsmiðuðu uppsetningunni tekur þjónninn X.509 sameiginlega heitið og leitar að skrá með nákvæmlega því heiti inni í client-config-dir. Sniðmát sem heitir nuc.ovpn og vottorðið segir tester leysist í /etc/openvpn/server/ccd/tester. Skráarheiti biðlarans kemur aldrei inn í útreikninginn. Þetta er fyrsti staðurinn þar sem misræmi felur sig.

Mappa full af vandlega nefndum sniðmátum getur því klikkað í hvert sinn. Skráin er ekki pöruð eftir subject, netfangi eða heitinu sem birtist í GUI; hún er pöruð eftir streng sameiginlega heitisins.

Á skráarkerfi sem greinir milli há- og lágstafa eru Tester og tester tvær ólíkar skrár, og aðeins ein er nokkurn tíma opnuð. Athugið sameiginlega heitið í vottorðinu sem biðlarinn leggur í raun fram, ekki afrit í athugasemdunum ykkar.

username-as-common-name snýr reglunni við

Þegar þjónninn keyrir auðkenningu með notandanafni/lykilorði með username-as-common-name, kemur auðkennda notandanafnið í stað sameiginlega heitis vottorðsins fyrir þessa uppflettingu.

Berið tilfellin tvö saman beint: með auðkenni vottorðs fylgir skráin vottorðinu og lykilorðsbreyting skiptir ekki máli; með auðkenni notandanafns fylgir skráin innskráningarheitinu og endurútgáfa vottorðsins skiptir ekki máli. Hvaða sviði þjónninn skiptir út er það sem á að endurnefna eftir. Endurútgefið vottorð með nýju CN breytir leitarviðmiðinu hljóðlaust, og gamla CCD-skráin verður eftir á disknum og lítur rétt út.

Til eru blönduð stillingar, og þar byrjar mestur ruglingur. Ef einn þjónustuhluti virkjar skiptinguna og annar ekki, fer raunverulega heitið eftir því hvaða eintak afgreiddi tenginguna. Staðfestið virku stillinguna í stað þess að gera ráð fyrir að almenna skráin gildi. Upprunalega tilvísunin um valkosti þjóns skjalfestir uppflettinguna eftir nefndri skrá og varaleiðina sem er valfrjáls.

Hvað þjónninn les, og hverju hann sleppir hljóðlaust

Tveir litlir munir ráða því hvort skrá er valin. Sá fyrri er viðbætt skráarending. Sá síðari er villtur stafur í heitinu.

OpenVPN bætir ekki .conf við heitið sem það leitar að, svo tester.conf passar ekki við tester. Ritill sem felur skráarendingar getur skilið eftir skrá sem lítur rétt út í lista og passar aldrei.

Þegar engin samsvarandi skrá er til getur þjónninn fallið aftur á skrá sem heitir DEFAULT. Að einhverjar stillingar berist er því ekki sönnun þess að skráin fyrir hvern biðlara hafi verið notuð. Berið saman úthlutað vistfang eða ýttu leiðirnar við það sem skráin fyrir hvern biðlara myndi gefa. Heimildir eru þriðja síið, því þjónninn opnar skrána eftir að hafa látið af réttindum; root-skurn sem getur lesið hana sannar ekkert.

Rétt skráarheiti staðfestir ekki innihaldið

Val og innihald eru aðskilin mistök. Þegar rétta skráin hefur verið opnuð verða fyrirmælin hennar samt að gilda fyrir þann biðlara.

ifconfig-push verður að úthluta vistfangi sem staðfræðin getur í raun notað, og iroute á aðeins við um beinað undirnet bak við þann biðlara.

Eitt auðkenni, nokkur tæki

Tvær fartölvur sem leggja fram sama sameiginlega heiti velja sömu skrá og fá sömu biðlarasértæku stillingarnar. Ef þið þurfið aðskilin vistföng eða aðskilda afturköllun þurfið þið aðskilin auðkenni, ekki tvö afrit af einni skrá.

Samanburðurinn er á milli þess að deila auðkenni og að gefa út eitt vottorð fyrir hvert tæki. Deiling er einfaldari í stjórnun og grófari í afturköllun, en vottorð fyrir hvert tæki kosta meiri uppsetningu og gefa ykkur hreina einingu til að slökkva á.