OpenVPN client-config-dir: файл атауы немесе сертификаттың CN-і

Клиент қосылғанға дейін екі ат ойында: ноутбуктегі файл аты (nuc.ovpn) және сервердің тіркелгі деректерінен шығаратын идентитеті. client-config-dir іздеуі екіншісін пайдаланады. Клиенттегі профиль атын өзгерту немесе сервер файлына .conf қосу сервер қай файлды ашатынына ештеңе өзгертпейді.

Пайдалы салыстыру «қай атты қолдандым» емес, «сервер қай ережені қолданады», өйткені сертификатпен аутентификация және пайдаланушы аты/құпиясөзбен аутентификация бір кіруден әртүрлі тиімді аттар бере алады.

Профиль аты және сертификаттың ортақ аты

Әдепкі сертификатқа негізделген баптауда сервер X.509 ортақ атын алады және client-config-dir ішінен дәл сол атты файл іздейді. Сертификаты tester деп көрсететін nuc.ovpn атты профиль /etc/openvpn/server/ccd/tester жолына шешіледі. Клиент файлының аты есептеуге ешқашан кірмейді. Сәйкессіздік тығылатын бірінші орын осы.

Сондықтан мұқият аталған профильдерге толы каталог әр жолы мүлт кетуі мүмкін. Файл subject, электрондық пошта мекенжайы немесе GUI-де көрсетілетін ат бойынша сәйкестендірілмейді; ол ортақ ат жолы бойынша сәйкестендіріледі.

Әріп регистріне сезімтал файлдық жүйеде Tester мен tester екі түрлі файл, және тек біреуі ашылады. Ортақ атты клиент шынымен ұсынатын сертификаттан тексеріңіз, жазбаларыңыздағы көшірмеден емес.

username-as-common-name ережені кері айналдырады

Сервер пайдаланушы аты/құпиясөз аутентификациясын username-as-common-name көмегімен іске қосқанда, аутентификацияланған пайдаланушы аты осы іздеу үшін сертификаттың ортақ атын алмастырады.

Екі жағдайды тікелей салыстырыңыз: сертификат идентитетінде файл сертификатты ұстанады және құпиясөзді өзгерту маңызсыз; пайдаланушы аты идентитетінде файл кіру атын ұстанады және сертификатты қайта шығару маңызсыз. Сервер қай өрісті алмастырса, атты соған қарай өзгерту керек. Жаңа CN-мен қайта шығарылған сертификат іздеу мақсатын үнсіз өзгертеді, ал ескі CCD файлы дискіде дұрыс көрініп қалады.

Аралас конфигурациялар бар, және шатасудың көбі сол жерден басталады. Егер бір қызмет блогы алмастыруды қосса, екіншісі қоспаса, тиімді ат қосылымды қай дана өңдегеніне байланысты. Жаһандық файл қолданылады деп болжаудың орнына белсенді конфигурацияны растаңыз. Жоғарыдағы сервер параметрлерінің анықтамасы аталған файл бойынша іздеуді және қосымша қосалқы нұсқаны сипаттайды.

Сервер нені оқиды және нені үнсіз өткізіп жібереді

Файлдың таңдалуын екі шағын айырмашылық шешеді. Біріншісі — қосылған кеңейту. Екіншісі — атта қалып қойған кездейсоқ таңба.

OpenVPN іздейтін атқа .conf қоспайды, сондықтан tester.conf tester-ге сәйкес келмейді. Кеңейтулерді жасыратын редактор тізімде дұрыс көрінетін және ешқашан сәйкес келмейтін файл қалдыруы мүмкін.

Сәйкес файл болмаса, сервер DEFAULT атты файлға ауыса алады. Сондықтан кейбір параметрлердің келуі әр клиентке арналған файлдың қолданылғанына дәлел емес. Берілген мекенжайды немесе итерілген маршруттарды әр клиентке арналған файл беретін нәрсемен салыстырыңыз. Рұқсаттар — үшінші сүзгі, өйткені сервер файлды артықшылықтардан бас тартқаннан кейін ашады; оны оқи алатын root қабығы ештеңені дәлелдемейді.

Дұрыс файл аты мазмұнды растамайды

Таңдау мен мазмұн — бөлек ақаулар. Дұрыс файл ашылғаннан кейін оның директивалары сол клиент үшін жарамды болуы керек.

ifconfig-push топология шынымен пайдалана алатын мекенжайды тағайындауы керек, ал iroute тек сол клиенттің артындағы маршрутталған ішкі желі үшін мағыналы.

Бір идентитет, бірнеше құрылғы

Бірдей ортақ атты ұсынатын екі ноутбук бір файлды таңдайды және бірдей клиентке тән параметрлерді алады. Бөлек мекенжайлар немесе бөлек кері қайтару қажет болса, бөлек идентитеттер қажет, бір файлдың екі көшірмесі емес.

Салыстыру идентитетті бөлісу мен әр құрылғыға бір сертификат шығару арасында. Бөлісу басқаруға оңайырақ және кері қайтаруға дөрекірек, ал құрылғыға арналған сертификаттар көбірек баптауды талап етеді және сөндіру үшін таза бірлік береді.