OpenVPN client-config-dir: ფაილის სახელი თუ სერტიფიკატის CN

ორი სახელია თამაშში სანამ კლიენტი საერთოდ დაუკავშირდება: ფაილის სახელი ლეპტოპზე (nuc.ovpn) და ის იდენტობა, რომელსაც სერვერი სერტიფიკატიდან იღებს. client-config-dir ძიება მეორეს იყენებს. კლიენტზე პროფილის გადარქმევა ან სერვერის ფაილზე .conf-ის დამატება არაფერს ცვლის იმაში, თუ რომელ ფაილს ხსნის სერვერი.

სასარგებლო შედარება არ არის «რომელი სახელი გამოვიყენე», არამედ «რომელ წესს იყენებს სერვერი», რადგან სერტიფიკატით ავთენტიფიკაცია და მომხმარებლის სახელი/პაროლით ავთენტიფიკაცია ერთი და იმავე შესვლიდან სხვადასხვა ეფექტურ სახელს წარმოქმნიან.

პროფილის სახელი სერტიფიკატის საერთო სახელის წინააღმდეგ

ნაგულისხმევ სერტიფიკატზე დაფუძნებულ კონფიგურაციაში სერვერი იღებს X.509 საერთო სახელს და client-config-dir-ის შიგნით ეძებს ზუსტად ასეთი სახელის ფაილს. პროფილი სახელად nuc.ovpn, რომლის სერტიფიკატიც ამბობს tester-ს, გადაიქცევა /etc/openvpn/server/ccd/tester-ად. კლიენტის ფაილის სახელი არასოდეს შედის გამოთვლაში. ეს არის პირველი ადგილი, სადაც შეუსაბამობა იმალება.

ამიტომ ფრთხილად დასახელებული პროფილებით სავსე საქაღალდე შეიძლება ყოველ ჯერზე გამოტოვოს. ფაილი არ შედარებდება subject-ით, ელფოსტის მისამართით ან GUI-ში ნაჩვენები სახელით; იგი შედარებდება საერთო სახელის სტრიქონით.

ასოების რეგისტრისადმი მგრძნობიარე ფაილურ სისტემაზე Tester და tester ორი სხვადასხვა ფაილია და მხოლოდ ერთი იხსნება. შეამოწმეთ საერთო სახელი იმ სერტიფიკატიდან, რომელსაც კლიენტი ნამდვილად წარმოადგენს და არა თქვენი ჩანაწერების ასლიდან.

username-as-common-name წესს აბრუნებს

როცა სერვერი მომხმარებლის სახელი/პაროლით ავთენტიფიკაციას username-as-common-name-ით აწარმოებს, ავთენტიფიცირებული მომხმარებლის სახელი ჩაანაცვლებს სერტიფიკატის საერთო სახელს ამ ძიებისთვის.

პირდაპირ შეადარეთ ორი შემთხვევა: სერტიფიკატის იდენტობით ფაილი მიჰყვება სერტიფიკატს და პაროლის შეცვლა უმნიშვნელოა; მომხმარებლის სახელის იდენტობით ფაილი მიჰყვება შესვლის სახელს და სერტიფიკატის ხელახლა გაცემა უმნიშვნელოა. რომელი ველსაც სერვერი ჩაანაცვლებს, იმის მიხედვით უნდა მოხდეს გადარქმევა. ახალი CN-ით ხელახლა გაცემული სერტიფიკატი ჩუმად ცვლის ძიების სამიზნეს, ხოლო ძველი CCD ფაილი დისკზე რჩება და სწორად გამოიყურება.

არსებობს შერეული კონფიგურაციები და სწორედ იქ იწყება დაბნეულობის უმეტესობა. თუ სერვისის ერთი ბლოკი ჩართავს ჩანაცვლებას, მეორე კი არა, ეფექტური სახელი დამოკიდებულია იმაზე, რომელმა ეგზემპლარმა მოემსახურა კავშირს. დაადასტურეთ აქტიური კონფიგურაცია იმის ნაცვლად, რომ ივარაუდოთ გლობალური ფაილის მოქმედება. სერვერის პარამეტრების ცნობარი აღწერს დასახელებული ფაილის ძიებას და არასავალდებულო სარეზერვო ვარიანტს.

რას კითხულობს სერვერი და რას გამოტოვებს ჩუმად

ორი მცირე განსხვავება წყვეტს, აირჩევა თუ არა ფაილი. პირველი დამატებული გაფართოებაა. მეორე სახელში მოხვედრილი შემთხვევითი სიმბოლო.

OpenVPN არ ამატებს .conf-ს იმ სახელს, რომელსაც ეძებს, ამიტომ tester.conf არ ემთხვევა tester-ს. რედაქტორმა, რომელიც გაფართოებებს მალავს, შეიძლება დატოვოს ფაილი, რომელიც სიაში სწორად გამოიყურება და არასოდეს ემთხვევა.

როცა შესაბამისი ფაილი არ არსებობს, სერვერს შეუძლია გადავიდეს DEFAULT სახელის ფაილზე. ამიტომ ზოგიერთი პარამეტრის მოსვლა არ არის მტკიცებულება, რომ კლიენტისეული ფაილი გამოიყენეს. შეადარეთ მინიჭებული მისამართი ან გაშვებული მარშრუტები იმას, რასაც კლიენტისეული ფაილი მოგვცემდა. ნებართვები მესამე ფილტრია, რადგან სერვერი ფაილს პრივილეგიების დათმობის შემდეგ ხსნის; root-ის გარსი, რომელსაც შეუძლია მისი წაკითხვა, არაფერს ამტკიცებს.

სწორი ფაილის სახელი შიგთავსს არ ამოწმებს

არჩევა და შიგთავსი ცალკეული ხარვეზებია. სწორი ფაილის გახსნის შემდეგ მისი დირექტივები კვლავ უნდა იყოს მოქმედი იმ კლიენტისთვის.

ifconfig-push-მა უნდა მიუთითოს მისამართი, რომელსაც ტოპოლოგია ნამდვილად გამოიყენებს, და iroute-ს აზრი მხოლოდ იმ კლიენტის უკან მდებარე მარშრუტიზებული ქვექსელისთვის აქვს.

ერთი იდენტობა, რამდენიმე მოწყობილობა

ორი ლეპტოპი, რომლებიც ერთსა და იმავე საერთო სახელს წარმოადგენენ, ერთსა და იმავე ფაილს ირჩევენ და ერთსა და იმავე კლიენტისთვის სპეციფიკურ პარამეტრებს იღებენ. თუ გჭირდებათ ცალკე მისამართები ან ცალკე გაუქმება, გჭირდებათ ცალკე იდენტობები და არა ერთი ფაილის ორი ასლი.

შედარება იდენტობის გაზიარებასა და თითო მოწყობილობაზე ერთი სერტიფიკატის გაცემას შორისაა. გაზიარება უფრო მარტივია ადმინისტრირებაში და უფრო უხეში გაუქმებაში, ხოლო მოწყობილობისეული სერტიფიკატები მეტ კონფიგურაციას მოითხოვს და გაძლევთ სუფთა ერთეულს გამორთვისთვის.