Неге екі OpenVPN сертификаты бір CCD саясатын бөлісе алады

CA бірдей OpenVPN клиентке тән конфигурацияны алатын екі сертификатқа қол қоя алады, және екі сертификаттың ешқайсысында ешкімді ескертпейді. Сериялық нөмірлер өзгеше, кілттер өзгеше, және ұйымдық бірлік өзгергенде толық субъектілер де өзгереді. Сервер әр клиенттің саясатын бір ат арқылы шешеді, және сол ат ерекше болуы керек жалғыз нәрсе.

Сервер атты шешеді, сериялық нөмірді емес

Кәдімгі сертификат іздеуінде сервер ұсынылған сертификаттан ортақ атауды алады да, сол атпен client-config-dir жазбасын іздейді. Сериялық нөмір іздеуге ешқашан кірмейді. Ортақ атаудан басқа барлық өрісте өзгеше екі сертификат бір файлға түседі, сондықтан екінші қосылым бірінші құрылғының тіркелген мекенжайын және жіберілген маршруттарын мұраға алады.

Осылайша CA жағындағы бірегейлік тексерісі өтеді, ал VPN әлі де соқтығысады. Екі тексеріс әртүрлі сұрақтарға жауап береді.

Бірдеңеге қол қоймас бұрын тиімді ат қандай болуы керегін шешіп, оны тиесілі құрылғы немесе тіркелгі жанына жазыңыз. Ат, иесі, мақсаты және сертификат саусақ ізі бар тізілім орналастырулардың көбін қамтиды. Онсыз сертификат мұрағаты қай ат қай құрылғыға тиесілі екенінің жалғыз жазбасы болып қалады, және бұл мұрағат рұқсат етілген ауыстыруды бар атауға талап қоятын екінші құрылғыдан ажырата алмайды. Атты тіркеу кезінде резервтеңіз, екі оператор бір уақытта шығара алса, құлып астында.

Сәйкестендіру шынымен қай атты пайдаланады

Кәдімгі сертификат іздеуі ортақ атауды пайдаланады. Аутентификацияланған пайдаланушы атын сәйкестендіруге бапталған сервер оның орнына сол мәнді пайдаланады, бұл сертификаттың ортақ атауын саясат таңдау үшін маңызсыз етеді. Қай сәйкестендіру күшінде екенін көру үшін жұмыс істеп тұрған конфигурацияны оқыңыз.

Екі сәйкестендіру бір уақытта болуы мүмкін, және онда нәтиже сервер оларды шешетін ретке байланысты. Ортақ атауға қайта оралатын пайдаланушы атының сәйкестендіруі тізілім ешқашан мақұлдамаған сертификатты үнсіз қабылдайды. Тиімді атты оны шығарған пәрменнің жанына жазыңыз, келесі оператор ретті қайта ашуға мәжбүр болмасын. Әр сәйкестендіру үшін бір қосылымды сынау арзан және мәселені шешеді.

Сәйкестендіру не шығарса да, сол резервтелетін мән. CA-да ортақ атауларды резервтеп, сервер пайдаланушы аттарына сүйенсе, дұрыс емес нәрсені резервтейді.

Екі CA бір атты мақұлдай алады

VPN қызметі бірнеше шығарушы органға сенім арта алады, және әр орган қай аттар алынғаны туралы өз түсінігін ұстайды. Екі тәуелсіз CA әртүрлі құрылғылар үшін бір ортақ атты мақұлдай алады, және сервер екі сертификатты да шағымсыз қабылдайды. Сенім бумасындағы әр органды түгендеңіз, тек әдетте шығаратын органды ғана емес. Ақау екінші органның сертификаты алғаш пайдаланылғанда көрінеді.

Дәл осы пайымдау ортақ аттың бірегейлігінің орнына толық субъектінің бірегейлігін талап ететін CA-ға да қатысты.

Ортақ атты бөлісіп, бірақ ұйымдық бірлігі өзгеше екі сертификаттың субъектілері өзгеше, сондықтан CA қақтығыс хабарламайды, ал сервер бір атты көреді. Әдепкі мәнді болжаудың орнына шығару құралыңыз шынымен пайдаланатын параметрді тексеріңіз. openssl ca құжаттамасындағы unique_subject өңдеуі сол жердегі тиісті түйме, және сол құрал айналасындағы қаптамалар оны әдетте алмастырудың орнына ашады.

Жаңарту — резервтелген қайта пайдалану, қақтығыс емес

Атты сақтайтын жаңарту әдейі қайта пайдалану, және тізілім мұны қарапайым сөзбен айтуы керек. Ескі саусақ ізі мен жаңасын бір ат астына жазыңыз, рецензент ауыстыруды басып алудан ажырата алсын. Сервердің duplicate-cn опциясы бұған қатысы жоқ: ол бір мезгілдегі сессияларды реттейді, тіркеуді немесе ат резервтеуді емес. Екі тіркелгі дерегі қанша уақыт өмір сүре алатынын және ескісі қашан қабылданбайтынын шешіңіз.

Ауыстыруды тапсырмас бұрын сертификатта шынымен не бар екенін қайта оқыңыз. Субъект жолы — сервер сәйкестендіретін өріс, файл аты қандай нұсқаса да.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Кері қайтару әдетте сертификатты оның шығарушысы астында анықтайды, сондықтан бір сериялық нөмірді зейнетке шығару сол органның дұрыс шығарған ауыстыруына әсер етпейді. Дәл осы мінез қалыпты жаңартуға керек, және бұл да екі құрылғы бөлісетін атты кері қайтару тазалай алмайтынының себебі. Пайдаланушы құрылғыны көрмес бұрын сынақ қосылымында тиімді саясат атын және берілген мекенжайды тексеріңіз. Содан кейін ескі тіркелгі дерегін әдейі зейнетке шығарып, мұны жасағаныңызды жазыңыз.