OpenVPN username-as-common-name: CN тексеруіңіз неге бос

Сіз client-connect скриптін қосасыз, ол common_name username-ден өзгеше болатын кез келген қосылымды қабылдамайды, және бұл сертификат пен тіркелгіні байланыстырғандай көрінеді. username-as-common-name іске қосылған серверде бұл салыстыру скрипт іске қосылғанға дейін-ақ мағынасын жоғалтқан. Екі мән де бірдей жол, сондықтан сынақ мүлдем басқа адамға берілген сертификат үшін де өтеді.

Тексеру скрипт нашар жазылғандықтан қате емес. Ол оқитын мән сол қосылымда бұрын ауыстырылғандықтан қате.

Салыстыру нені дәлелдейтін сияқты көрінеді

Сертификатпен аутентификациялау мен құпиясөзбен аутентификациялау — жеке дәлелдер, және сервер олардың бір адамға тиесілі болуын талап етпей-ақ екеуін де талап ете алады. Алшақтық шынайы: жарамды құрылғы сертификаты плюс кез келген жарамды тіркелгі сол сертификат плюс бір аталған тіркелгіден өзге мәлімдеме. common_name мен username салыстыратын скрипт екеуінің арасындағы жетіспейтін буын сияқты оқылады. Егер common_name әлі де сертификат айтқанды білдірсе, солай болар еді.

Олай болуы бір сервер параметріне байланысты, және бұл параметр әдетте байланысы жоқ себеппен қосылады, мысалы әр пайдаланушының конфигурация файлдарын атауды жеңілдету үшін.

username-as-common-name атаумен не істейді

username-as-common-name қосылған кезде OpenVPN пайдаланушы аты мен құпиясөз тексерілгеннен кейін сертификаттың ортақ атауын аутентификацияланған пайдаланушы атына ауыстырады. Сол тексеру кезінде іске қосылатын тексеру ілгегі әлі де сертификаттың ортақ атауын алады, өйткені ауыстыру әлі болған жоқ. Одан кейінгінің бәрі, client-connect қоса, пайдаланушы атын көреді. Сондықтан кейінгі шақыру бір сәйкестікті екі рет алады және оны ұсынылған сертификатпен салыстыра алмайды.

Бір мысал қосылымды қарастырайық: bob-device үшін берілген сертификат, alice ретінде сәтті каталогқа кіру және параметр қосылған. Тексеру кезеңі әлі де екі түрлі жолды көре алады. Қосылу кезеңі alice мен alice көреді.

Бұл мысал салыстырудың неге бос екенін көрсетеді. Ол қосылымның өзге жағдайда қабылданатынын көрсетпейді, өйткені сертификатты тексеру мен құпиясөзді тексеру әлі де өздігінен жүреді.

Байланысты екі сәйкестік те әлі бар жерге қойыңыз

Ереже сертификат сәйкестігі мен тіркелгіні бір уақытта көретін кезеңде қолданылуы керек, бұл іс жүзінде пайдаланушы аты мен құпиясөзді тексеру ілгегін немесе сол жерде жүктелген қосымшаны білдіреді. Құпиясөзді тексеруді әлдеқашан орындайтын қолдау көрсетілген қосымша әдетте жұп ережесін қосуға дұрыс орын, өйткені оны атауларды салыстырумен алмастыру құпиясөз тексеруін мүлдем жоғалтады.

Код жазбас бұрын салыстыру кестесін анықтаңыз, өйткені теңдік сирек нақты саясат болады. Сертификат көбіне құрылғыны, ал кіру адамды сәйкестендіреді, және бір құрылғы бірнеше адамға заңды түрде қызмет ете алады. Қатынасты берілуін өзіңіз басқаратын пішінде сақтаңыз және қайта атау, қайта беру және доменмен біліктіленген атаулар кезінде не болатынын шешіңіз. Каталогты түсінбей-ақ кіші әріпке көшіру немесе домен префиксін алып тастау бөлек қалуға тиіс екі тіркелгіні біріктіруі мүмкін.

Параметр қай клиенттік конфигурацияның қолданылатынын да өзгертетінін ұмытпаңыз, өйткені client-config-dir ортақ атаумен байланыстырылған.

Жұпты екі жарамды тіркелу дерегімен сынаңыз

Саясатыңыз рұқсат ететін жұптан бастап, оның қосылатынын растаңыз. Содан кейін сол жарамды сертификатты басқа, бірақ өзгеше жарамды тіркелгімен ұсыныңыз: бұл әрекет сәтсіз болуы керек және ол қате терілген құпиясөзден емес, жұп ережесінен сәтсіз болуы керек. Қате құпиясөз құпиясөз тексеруінің жұмыс істейтінін дәлелдейді және сертификат пен тіркелгі арасындағы ереже туралы ештеңе айтпайды.

Сертификат жоқ және жарамсыз сертификат жолдарын да тексеріңіз және сервер клиенттік параметрлер үшін қай сәйкестікті пайдаланатынын растаңыз. Егер салыстырудың жұмыс істеуінің жалғыз жолы username-as-common-name өшіру болса, алдымен сол өзгерістің құнын бағалаңыз, өйткені ол әр клиенттің конфигурация іздеуін сертификат атауына қайтарады.