Бір ортақ атау, екі сертификат: рұқсат тізімі ме, әлде кері қайтару ма?

Бір ортақ атаумен ноутбук сертификатын қайта шығару ауыстыру сияқты көрінеді және бәрі ескісі өлді деп ойлайды. Олай емес. Алдыңғысы сол орган қол қойған жарамды сертификат болып қалады және клиенттерді атауы бойынша қабылдайтын кез келген бақылау оны қабылдауды жалғастырады. Сәйкестікті тексеруді тіркелгі деректерін тексеруден бөлетін нәрсе — сериялық нөмір, және түзету дәл сол жерде болуы керек.

Сервер қолданатын атау саясатынан бастаңыз

Екі бақылау шатасады: клиентті өзі кіммін деп мәлімдеуіне қарай қабылдау және нақты бір сертификатты қызметтен шығару. Біріншісі — атауды тексеру, екіншісі — кері қайтаруды тексеру. Олар түрлі сұрақтарға жауап береді және орналастыруда біреуі екіншісінсіз болуы мүмкін.

Сервер конфигурациясын оқып, қай сәйкестік көзі қолданылып жатқанын белгілеңіз. username-as-common-name аутентификацияланған пайдаланушы атын клиентке тән іздеулер үшін тиімді атауға айналдырады. Онсыз сертификаттағы субъектінің ортақ атауы қолданылады. Жауап қандай болса да, кез келген рұқсат тізіміне тиіспес бұрын оны жазып қойыңыз.

Екі жол бір сертификат үшін рұқсат етілген атаулардың түрлі жиынын береді. Мұнда болжау қате файлды өңдеп, бақылау жұмыс істемейді деген қорытындыға келуді білдіреді.

Клиентті нақты ненің қабылдайтынын тексеріңіз

Сәйкес файлы бар client-config-dir әр клиент үшін параметрлер береді; өздігінен бұл қабылдау ережесі емес. Атау бойынша қабылдау үшін қажет ccd-exclusive, ол сәйкес файлы жоқ клиенттерден бас тартады. Оны жұмыс істеп тұрған орналастыруда қосу атына файл жоқ барлығын ажыратады, сондықтан бірдеңені өзгертуден бұрын файлдарды санаңыз.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Санақ — тексерудің өзі: каталог тізімін қосылуды күткен сәйкестіктермен салыстырыңыз.

Содан кейін әр файл атауы тиімді сәйкестікке дәл сәйкес келетінін растаңыз, бас әріптер мен бос орындарды қоса. office-laptop үшін файл субъектісінде Office-Laptop жазылған сертификатқа ештеңе істемейді. Соңғы бос орындар да қарапайым тізімнен жасырылады, осылайша бар болып көрінген файл оқылмай қалады.

Шлюз жүктейтін CRL-ді тексеріңіз

CRL кері қайтарылған сертификаттарды шығарушы және сериялық нөмір бойынша атайды, бұл — атауды тексеруге жетіспейтін дәлдік. Екі сертификат ортақ атауды бөлісіп, сериялық нөмірімен ерекшеленуі мүмкін, және оларды тек сериялық нөмір деңгейіндегі тізім ажыратады.

Файлға мүлдем сенбес бұрын конфигурацияланған жолды, шығарылған күнді және келесі жаңарту өрісін растаңыз.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL-дегі сериялық нөмірді сақтағыңыз келетін сертификаттың сериялық нөмірімен салыстырыңыз. Осы салыстыру — бүкіл сынақ, және оны бір рет көзбен жасау ешкім оқымаған скриптке сенуден қымбат. Жаңартылған CRL-ді шлюз әлдеқашан оқитын жол арқылы таратыңыз. Қате каталогта тұрған CRL ештеңені мәжбүрлемейді және ешбір клиент журналы оны атамайды.

Ауыстырыңыз, содан кейін екі нәтижені дәлелдеңіз

Ауыстырманы сол ортақ атаумен шығарыңыз, екі сериялық нөмірді де жазып алыңыз, содан кейін ғана ескісін кері қайтарыңыз. Бұл реттілік өзгерісті дайындап жатқанда жұмыс істейтін сәйкестікті қолжетімді ұстайды.

Алдымен ауыстырманы сынаңыз: ол аутентификациядан өтіп, атауына құқығы бар нәрсенің бәріне жетуі керек. Содан кейін ескі сертификатты сынап, оның қабылданбайтынын растаңыз, өйткені сәтті ауыстыру кері қайтару туралы ештеңе айтпайды. Егер екеуі де әлі қосылса, кері қайтару кірісі оқылмайды немесе ескі сериялық нөмір ешқашан тізімге енбеген. Егер ешқайсысы қосылмаса, сіз тіркелгі деректерін емес, қабылдау ережесін бұздыңыз.

Қазірдің өзінде орнатылған сессиялар — бөлек мәселе, өйткені кері қайтару жаңа аутентификацияларға қолданылады, егер шлюз тірі қосылымдарды үзуге де конфигурацияланбаған болса. Біреуге уәде бермес бұрын дереу жою қажет пе, соны шешіңіз.

Атауды тексеру ешқашан не істей алмайды

Рұқсат тізімі бұл сәйкестіктің қосылуға құқығы бар-жоғын жауаптайды. Ол сол сәйкестіктің қай сертификатты қолданғанын айта алмайды және тіркелгі деректері жарамды әрі қайтарылмаған күйде қалғанша ескі тіркелгі деректерін қабылдай береді. Бұл алшақтық оқиға кезінде бетіне шығады: ауыстырма бірнеше ай бұрын шығарылған, ал алдыңғысы әлі жұмыс істейді.

Сертификат деңгейіндегі бақылау қажет болған жерде сертификатты атайтын механизмді қолданыңыз: CRL жазбалары немесе оператор ұстайтын саусақ ізін тексеретін верификация ілгегі. Екеуі де техникалық қызмет көрсетуді қажет етеді және екеуі де зерттейтін нысаны туралы адал. OpenVPN 2.6 нұсқаулығы құжаттайды crl-verify және клиентке тән қабылдауды осы себепті бөлек параметрлер ретінде.

Қай бақылау қандай жұмыс атқаратынын жазыңыз, содан кейін теріс жағдайды сынаңыз. Қосылымнан бас тартқанын ешқашан көрмеген кері қайтару — жұмыс істейді деп үміттенетін конфигурация.