Hvers vegna tvö OpenVPN-skírteini geta deilt einni CCD-stefnu

CA getur skrifað undir tvö skírteini sem fá sama OpenVPN biðlara-sértæka stillinguna, og ekkert í hvorugu skírteininu varar neinn við. Raðnúmerin eru mismunandi, lyklarnir eru mismunandi, og fullu viðfangsefnin eru líka mismunandi um leið og skipulagsdeild breytist. Þjónninn ákvarðar stefnu fyrir hvern biðlara í gegnum eitt nafn, og það nafn er eina atriðið sem verður að vera einkvæmt.

Þjónninn leysir nafn, ekki raðnúmer

Við venjulega skírteinisleit tekur þjónninn algenga nafnið úr framlögðu skírteininu og leitar að client-config-dir-færslu með því nafni. Raðnúmerið kemur aldrei inn í leitina. Tvö skírteini sem eru frábrugðin í öllum reitum nema algenga nafninu lenda í sömu skrá, svo önnur tengingin erfr fasta heimilisfang og ýttar leiðir fyrsta tækisins.

Þannig stenst einkvæmisprófun á CA-hliðinni á meðan VPN-ið rekst samt á. Prófin tvö svara mismunandi spurningum.

Ákveðið hvað virka nafnið á að vera áður en þið skrifið undir nokkuð, og skráið það við hlið tækisins eða reikningsins sem það tilheyrir. Skrá yfir nafn, eiganda, tilgang og fingrafar skírteinis nær yfir flestar uppsetningar. Án hennar er skírteinissafnið eina skráin um hvaða nafn tilheyrir hvaða tæki, og það safn getur ekki greint heimilaða skiptingu frá öðru tæki sem gerir tilkall til núverandi nafns. Takið nafnið frá við skráningu, undir láss ef tveir stjórnendur geta gefið út á sama tíma.

Hvaða nafn vörpunin notar í raun

Venjuleg skírteinisleit notar algenga nafnið. Þjónn sem er stilltur til að varpa auðkenndu notandanafni notar það gildi í staðinn, sem gerir algenga nafn skírteinisins óviðkomandi fyrir stefnuval. Lestu stillinguna sem er í gangi til að sjá hvaða vörpun gildir.

Báðar varpanir geta verið til staðar á sama tíma, og þá fer niðurstaðan eftir þeirri röð sem þjónninn leysir þær í. Vörpun notandanafns sem fellur aftur í algenga nafnið mun hljóðlega samþykkja skírteini sem skráin samþykkti aldrei. Skráið virka nafnið við hlið skipunarinnar sem framleiddi það svo næsti stjórnandi þurfi ekki að enduruppgötva röðina. Að prófa eina tengingu fyrir hverja vörpun er ódýrt og leysir spurninguna.

Hvað sem vörpunin framleiðir, það er gildið sem á að taka frá. Að taka frá algeng nöfn í CA á meðan þjónninn byggir á notandanöfnum tekur frá rangt atriði.

Tvö CA geta samþykkt sama nafn

VPN-þjónusta getur treyst fleiri en einni útgefandi stofnun, og hver stofnun heldur sínum hugmyndum um hvaða nöfn eru tekin. Tvö óháð CA geta bæði samþykkt sama algenga nafnið fyrir mismunandi tæki, og þjónninn samþykkir bæði skírteinin án kvartana. Skráið hverja stofnun í traustbuntinum, ekki bara þá sem þið gefið venjulega út frá. Bilunin birtist í fyrsta skipti sem skírteini frá annarri stofnuninni er notað.

Sama röksemd á við um CA sem krefst einkvæmis fulls viðfangsefnis í stað einkvæmis algenga nafnsins.

Tvö skírteini sem deila algengu nafni en eru frábrugðin að skipulagsdeild hafa mismunandi viðfangsefni, svo CA tilkynnir enga árekstra á meðan þjónninn sér eitt nafn. Athugið stillinguna sem útgefanda tólið ykkar notar í raun í stað þess að gera ráð fyrir sjálfgefnu gildi. meðferð unique_subject í openssl ca skjölunum er viðeigandi hnappurinn þar, og umbúðir utan um það tól sýna hann venjulega í stað þess að skipta honum út.

Endurnýjun er frátekin endurnotkun, ekki árekstur

Endurnýjun sem heldur nafninu er viljandi endurnotkun, og skráin ætti að segja það með einföldum orðum. Skráið gamla fingrafarið og hið nýja undir einu nafni svo gagnrýnandi geti greint skiptingu frá yfirtöku. duplicate-cn valkostur þjónsins tengist þessu ekki: hann stjórnar samtímis lotum, ekki skráningu eða nafnafrátekstri. Ákveðið hversu lengi bæði skilríkin mega vera til og hvenær hið gamla er ekki lengur samþykkt.

Áður en þið afhendið skiptinguna, lesið aftur hvað skírteinið inniheldur í raun. Viðfangsefnin er reiturinn sem þjónninn varpar, hvað sem skráarnafnið gefur í skyn.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Afturköllun auðkennir venjulega skírteini undir útgefanda þess, svo að láta eitt raðnúmer fara á eftirlaun hefur ekki áhrif á rétt útgefið skipting frá sömu stofnun. Einmitt þessi hegðun er það sem hrein endurnýjun þarf, og þess vegna getur afturköllun ekki hreinsað nafn sem tvö tæki deila. Staðfestið virka stefnuna og úthlutað heimilisfang á prófunartengingu áður en notandinn sér tækið. Látið svo gamla skilríkið fara á eftirlaun að yfirlögðu ráði og skráið að þið hafið gert það.