Ортақ CA, бөлек есіктер: бір қабылдау файлына бір қызмет

Ортақ органға қарсы тексерілетін сертификат сенім сынағынан өтті, мүшелік сынағынан емес. Бұл екі шешім жиі біріктіріледі, өйткені екеуі де қосылу кезінде болады, және бұл бірігу қызметте болмауы керек адамды сол жерге қабылдағанша көрінбейді. Шешім екінші орган емес; бұл екінші шешім, әр қызмет үшін қабылданып, демон оны оқитын жерде жазылады. Екеуін бөлек ұстаңыз, осы саладағы шатасудың көбі жоғалады.

Сенімді тізбек қызмет мүшелігі туралы ештеңе айтпайды

Екі қызмет бірдей шығарушы иерархияны қабылдай алады және бәрібір әртүрлі популяцияға ие бола алады. Бір ноутбук біріншісіне жатады және екіншісіне жетпеуі керек, ал сол иерархияның басқа клиенттері шынымен сол жерге жатады. Сол қызметтен органды алып тастау оны заңды пайдаланатындардың бәрін құлыптайды, сондықтан жұмыс қабылдау, сенім емес.

Бір есікте екі құлыпты елестету көмектеседі. Сертификат сыртқы құлыпты ашады, ал қызметке арналған шешім ішкі құлыпты ашады; ешқайсысы екіншісін алмастырмайды. Тек сыртқы құлыбы бар қызмет мүшелікті мүлде орындамайды, ол тек аутентификация жасайды. Бірдеңені өзгертуден бұрын екі шешімді де жазып қойыңыз, өйткені тек жұмыс істеп тұрған қосылым түрінде ғана бар саясатты аудиттеу мүмкін емес. Әрі қарайғы әңгіме ішкі құлып туралы.

Міндетті емес қайта жазуларды қабылдау қақпасына айналдырыңыз

Клиент конфигурациясының каталогы әдетте қолайлылық: ондағы файлдар өздері атайтын клиенттердің параметрлерін қайта жазады, ал файлы жоқ клиент сервердің әдепкі мәндерімен жұмыс істейді. Бір директива сол қолайлылықты қақпаға айналдырады, сондықтан файлдың болмауы қосылымнан бас тартуды білдіреді.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Қауымдастық нұсқасы OpenVPN 2.6 ccd-exclusive өзінің нұсқаулық бетінде дәл осы шартты құжаттайды, және аталған файлды іздеу клиенттің нақты сәйкестігіне негізделеді. Басқа құрастырулар мен өнім басқаратын серверлер өзгеше болуы мүмкін, сондықтан басқа жерде сол семантикаға сүйенбес бұрын орнатылған нұсқаны растаңыз.

Жоғарыдағы жолды мысал ретінде қарастырыңыз және нұсқаулық ойлап тапқан каталогты жасаудың орнына нақты орналасқан схеманы тексеріңіз. Бар сертификат тексерулерін, сервер сәйкестігін тексерулерді және шот аутентификациясын дәл бұрынғыдай қалдырыңыз, өйткені фрагмент шарт қосады және ештеңе алып тастамайды. Өзгерісті өндіріске дейін дайындаңыз, өйткені дұрыс емес жерде көтерілген бас тарту сертификат ақауына ұқсайды және тергеуді органға бағыттайды. Содан кейін бас тартылған клиенттің журнал жолы тізбекті емес, жетіспейтін конфигурация файлын атайтынын растаңыз.

Әр қызметке бір каталог, бір ортақ тізім емес

Мүшелік оны орындайтын қызметке тиесілі, сондықтан әр қызмет өз каталогын және өз файлдарын ұстайды. Екі қызметті бір тізімге бағыттау оларды мүшелікті бөлісуге мәжбүр етеді біреу мұны көздеді ме, жоқ па, соған қарамастан, және туындаған өзгерісті шешімге дейін қайта байлау қиын. Ортақ орган ортақ күйінде қала алады; қабылдау файлдары қала алмайды. Оларды бөлек ұстау сонымен қатар бір қызметтегі қате екіншісін үнсіз кеңейте алмайтынын білдіреді.

DEFAULT жазбасы адамдарды адастыратын жағдай. Аталған файл табылмағанда ол қосалқы параметрлерді береді, бірақ бұл қақпа талап ететін аталған файл емес, сондықтан ол жалғыз клиентті қабылдай алмайды. Мүлде жазбасы жоқ клиентті сынап, бас тартуды растаңыз; егер ол клиент қабылданса, қосалқы қолданылып жатыр және ccd-exclusive сол данада күшінде емес.

Нақты сәйкестік қай файл оқылатынын шешеді

Іздеу клиент шынымен аутентификацияланған сәйкестікті пайдаланады, ол әдетте сертификаттың жалпы аты. Сервер пайдаланушы аты мен құпия сөзді де тексеретін және сол атауды жалпы атқа сәйкестендіретін жерде файл оның орнына аутентификацияланған пайдаланушы атына сай болуы керек. Сәйкессіздік каталогты ешқашан таңдалмайтын сенімді файл аттарымен толтырып қалдырады.

Оқу — екінші жартысы. Демон әдетте іске қосылғаннан кейін артықшылықтардан бас тартады, сондықтан шектелген шотқа каталогқа және ондағы әрбір жазбаға оқу рұқсаты қажет. Клиенттер кез келген жазуға болатын жол арқылы өз жазбаларын жасай алмауы керек, өйткені өзіне-өзі қызмет көрсету қабылдауы механизмді толығымен жояды. Тек файл режимін ғана емес, тіркеу мен бөлісу рұқсаттарын да тексеріңіз, өйткені бір шотқа жабық көрінетін каталог басқасына ашық болуы мүмкін. Содан кейін жұмыс істеп тұрған процесс шынымен қай шотты пайдаланатынын растаңыз, unit файлы қай шотты атайтынын емес. Бұл екеуі басқа ештеңе оларды өзгертпегенде ғана бірдей болады.

Бас тартуды, қабылдауды және кері қайтарып алуды бөлек бақылаңыз

Қызметке жататын сәйкестікті сынап, оның қосылатынын растаңыз. Жазбасыз жарамды сертификатты сынап, одан бас тартылатынын растаңыз. Басқа қызметке қабылданған сәйкестікті сынап, оның мұнда қабылданбайтынын растаңыз. Әр нәтиженің қасына қызмет данасы мен нақты сәйкестікті жазыңыз, өйткені осы контекстсіз нәтижені ешкім қайталай алмайды.

Кері қайтарып алу — күшін жоюдан бөлек әрекет. Қабылдау файлын өңдеу бір қызмет құқығын алып тастайды, ал сәйкестік басқа жерде жарамды күйінде қалады, ал бұзылған кілт ұйымның күшін жою жауабын қажет етеді. Әлдеқашан ашылған сессияларға не болатынын алдын ала шешіңіз, өйткені каталогты өңдеу де, күшін жою тізімі де оларды өздігінен аяқтамайды.

Қабылдау да тек бірінші қақпа. Қызметке қосылу оның артындағы қосалқы желілер, дерекқорлар немесе басқару интерфейстері туралы ештеңе айтпайды, және сол ресурс саясаты бөлек жазылып, тексерілуі керек.