Tvö OpenVPN-skilríki, eitt CCD-heiti: hvað fór úrskeiðis

Tvö biðlara-skilríki með ólík raðnúmer, ólíka lykla og jafnvel ólík full skilyrði geta samt lent í sömu stefnuskrá, því þjónninn horfir á ekkert af þessu. Hann les heiti úr skilríkinu og opnar samsvarandi biðlarastillingarskrá. Ef bæði skilríkin bera sama heiti erfir hið síðara stefnu hins fyrra á þeirri stundu sem það tengist.

Áreksturinn verður til við skráninguna og kemur aðeins í ljós við tengingu, venjulega þegar tæki fær vistfang eða leiðasett sem tilheyrir annarri vél. Að koma í veg fyrir hann þýðir að semja um hvaða sviði þjónninn varpar, og taka síðan það gildi frá áður en nokkuð er undirritað.

Skilríkjaverkfærin þín vara þig ekki við, því einstakt innan X.509 og einstakt stefnuheiti OpenVPN eru ólíkar kröfur sem ólík kerfi framfylgja.

Þjónninn flettir upp heiti, ekki fingrafari

Við hina venjulegu skilríkjamiðuðu vörpun tekur þjónninn algenga heitið úr framlögðu skilríkinu og leitar að skrá með því heiti í biðlarastillingamöppunni sinni. Sú skrá getur fest kyrrstöðuvistfang, ýtt leiðum eða beitt eldveggsmerkjum fyrir hvern biðlara. Uppflettingin er strengjasamsvörun við skráarheiti, svo stórir og litlir stafir, bil og greinarmerki skipta öll máli.

Sumar uppsetningar víxla vörpuninni viljandi svo auðkennt notandanafn taki við af algenga heitinu, og þá er notandanafnið það sem verður að vera einstakt. Hvort sem er, gildið sem velur stefnu er gildið sem þú tekur frá. Ákveddu hvort það er fyrir útgáfu hvers sem er; að giska eftir árekstur kostar meira en að spyrja.

Þar sem tveir yfirvöld falla að sama heiti

Stofnun sem tekur við skilríkjum frá fleiri en einu útgefandi yfirvaldi rekur tvö sjálfstæð skráningarferli sem skrifa í eitt heitarými. Einstaklingsreglur hvers yfirvalds gilda innan þess, svo bæði geta gefið út lögmætlega fyrir sama algenga heitið án þess að annað taki eftir neinu rangt.

Raðnúmer hjálpa ekki. X.509 krefst þess að raðnúmer sé einstakt innan sviðs útgefandans, sem er eiginleiki bókhalds þess yfirvalds en ekki alþjóðleg tækjauðkenni. Skilyrðisprófun er líka annað próf en algengis-heitisprófun: tvö skilríki geta deilt CN en verið ólík í skipulagsdeild og bera þar af leiðandi ólík skilyrði. Sérhver þessara eiginleika getur staðist á meðan þjónninn varpar samt báðum skilríkjunum á eitt skráarheiti.

OpenSSL CA-skjöl fjalla um stillinguna unique_subject sem stjórnar skoðun eigin gagnagrunns, og heiðarlegur útgangspunktur er að lesa útgefandi stillingarnar þínar í stað þess að gera ráð fyrir að ákveðið sjálfgefið EasyRSA eða OpenSSL gildi.

Taktu raunverulega heitið frá fyrir undirritun

Haltu skrá sem varpar tæki á samþykkta færslu þess og þaðan á nákvæmt stefnuskráarheiti, svo heiti sé úthlutað einu sinni og haldist úthlutað. Frátekan verður að vera atómísk, sem í reynd þýðir gagnagrunnstakmörkun eða lás í kringum skrefið úthluta-og-síðan-undirrita, ekki töflureikni sem tveir breyta.

Gerðu prófunina síðan hluta útgáfunnar: neitaðu að undirrita þegar umbeðið heiti er þegar til, og hafðu hvert yfirvald sem þjónninn treystir í þeirri prófun, því heiti sem hitt yfirvaldið tók frá er jafn upptekið. Hafnaðri beiðni með skýrri ástæðu er ódýrara en miða um tæki sem fær stöðugt kyrrstöðuvistfang annars.

Endurnýjun endurnýtir heiti viljandi

Endurútgáfa fyrir fyrirliggjandi tæki ætti að gefa nýtt raðnúmer undir sama stefnuheiti, og það er lögmæt endurnotkun en ekki árekstur. Það sem verður að ákveða fyrirfram er skörunin: hvort gamalt og nýtt skilríki megi vera gild samtímis, og hvernig gamla auðkennið er afturkallað.

Teigðu ekki í duplicate-cn til að leysa þetta. Sá þjónvalkostur stjórnar samtímis tengingum sem framvísa sama heiti; hann læsir ekki skráningu, og að virkja hann gerir eitt sameiginlegt kyrrstöðuvistfang ekki öruggt fyrir tvær vélar samtímis. Afturköllun auðkennir venjulega skilríki með útgefanda og raðnúmeri, svo afturköllun gamla auðkennisins þarf ekki að gera staðgengil þess ógildan svo framarlega sem þjónninn tekur við réttum afturköllunargögnum og framfylgir þeim.

Staðfestu vörpunina með verkfærunum á vélinni

Áður en þú afhendir tæki nýja auðkennið þess, lestu heitið úr skilríkinu eins og þjónninn mun gera, og berðu það síðan saman við stefnuskrána sem þú býst við að verði valin.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Fyrsta skipunin prentar skilyrðissviðin hvert fyrir sig, sem gerir flakkt skipulagsdeild eða tvöfalt bil sýnilegt samstundis. Önnur staðfestir að stefnuskrá sé til undir nákvæmlega þessu heiti, og sú þriðja sýnir hvort þjónninn sé stilltur til að leyfa nokkrar lotur á einu heiti. Keyrðu allar þrjár á nýju skilríki áður en það yfirgefur skráningarþrepið, meðan mistök kosta enn undirskrift í stað atviks. Geymdu úttakið með miðanum svo næsta manneskja sjái hvaða heiti þjónninn fékk í raun.

Ljúktu með raunverulegri tengingu og berðu úthlutað vistfang og ýttar leiðir saman við stefnuskrána í stað þess sem þú ætlaðir að skrifa. Ef tvö tæki tilkynna sama kyrrstöðuvistfang hefur skráin árekstur sem engin skilríkjaskoðun mun nokkurn tíma afhjúpa.