ಎರಡು OpenVPN ಪ್ರಮಾಣಪತ್ರಗಳು, ಒಂದು CCD ಹೆಸರು: ಏನು ತಪ್ಪಾಯಿತು

ಬೇರೆ ಬೇರೆ ಸರಣಿ ಸಂಖ್ಯೆಗಳು, ಬೇರೆ ಬೇರೆ ಕೀಗಳು ಮತ್ತು ಬೇರೆ ಬೇರೆ ಸಂಪೂರ್ಣ ವಿಷಯಗಳನ್ನು ಹೊಂದಿರುವ ಎರಡು ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳು ಇನ್ನೂ ಒಂದೇ ನೀತಿ ಫೈಲ್‌ಗೆ ತಲುಪಬಹುದು, ಏಕೆಂದರೆ ಸರ್ವರ್ ಅವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ನೋಡುವುದಿಲ್ಲ. ಅದು ಪ್ರಮಾಣಪತ್ರದಿಂದ ಹೆಸರನ್ನು ಓದಿ ಅದಕ್ಕೆ ಹೊಂದುವ ಕ್ಲೈಂಟ್ ಕಾನ್ಫಿಗ್ ಫೈಲ್ ಅನ್ನು ತೆರೆಯುತ್ತದೆ. ಎರಡೂ ಪ್ರಮಾಣಪತ್ರಗಳು ಒಂದೇ ಹೆಸರನ್ನು ಹೊಂದಿದ್ದರೆ, ಎರಡನೆಯದು ಸಂಪರ್ಕಗೊಂಡ ಕ್ಷಣವೇ ಮೊದಲನೆಯದರ ನೀತಿಯನ್ನು ಪಡೆದುಕೊಳ್ಳುತ್ತದೆ.

ಘರ್ಷಣೆ ನೋಂದಣಿಯ ಸಮಯದಲ್ಲಿ ಉಂಟಾಗುತ್ತದೆ ಮತ್ತು ಸಂಪರ್ಕದ ಸಮಯದಲ್ಲಿ ಮಾತ್ರ ಪತ್ತೆಯಾಗುತ್ತದೆ, ಸಾಮಾನ್ಯವಾಗಿ ಸಾಧನವೊಂದು ಇನ್ನೊಂದು ಯಂತ್ರಕ್ಕೆ ಸೇರಿದ ವಿಳಾಸ ಅಥವಾ ಮಾರ್ಗಗಳ ಗುಂಪನ್ನು ಪಡೆದಾಗ. ಅದನ್ನು ತಡೆಯಲು ಸರ್ವರ್ ಯಾವ ಕ್ಷೇತ್ರವನ್ನು ನಕ್ಷೆ ಮಾಡುತ್ತದೆ ಎಂಬುದನ್ನು ಒಪ್ಪಿಕೊಂಡು, ನಂತರ ಏನನ್ನೂ ಸಹಿ ಮಾಡುವ ಮೊದಲು ಆ ಮೌಲ್ಯವನ್ನು ಕಾಯ್ದಿರಿಸಬೇಕು.

ನಿಮ್ಮ ಪ್ರಮಾಣಪತ್ರ ಉಪಕರಣಗಳು ನಿಮಗೆ ಎಚ್ಚರಿಕೆ ನೀಡುವುದಿಲ್ಲ, ಏಕೆಂದರೆ X.509 ಒಳಗಿನ ಅನನ್ಯತೆ ಮತ್ತು OpenVPN ನೀತಿ ಹೆಸರಿನ ಅನನ್ಯತೆ ಬೇರೆ ಬೇರೆ ವ್ಯವಸ್ಥೆಗಳು ಜಾರಿಗೊಳಿಸುವ ಬೇರೆ ಬೇರೆ ಅಗತ್ಯಗಳು.

ಸರ್ವರ್ ಹೆಸರನ್ನು ಹುಡುಕುತ್ತದೆ, ಬೆರಳಚ್ಚನ್ನು ಅಲ್ಲ

ಸಾಮಾನ್ಯ ಪ್ರಮಾಣಪತ್ರ ಆಧಾರಿತ ನಕ್ಷೆಯಲ್ಲಿ, ಸರ್ವರ್ ಪ್ರಸ್ತುತಪಡಿಸಿದ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ತೆಗೆದುಕೊಂಡು ತನ್ನ ಕ್ಲೈಂಟ್ ಕಾನ್ಫಿಗ್ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ಆ ಹೆಸರಿನ ಫೈಲ್ ಅನ್ನು ಹುಡುಕುತ್ತದೆ. ಆ ಫೈಲ್ ಸ್ಥಿರ ವಿಳಾಸವನ್ನು ಪಿನ್ ಮಾಡಬಹುದು, ಮಾರ್ಗಗಳನ್ನು ಪುಷ್ ಮಾಡಬಹುದು ಅಥವಾ ಪ್ರತಿ ಕ್ಲೈಂಟ್‌ಗೆ ಫೈರ್‌ವಾಲ್ ಗುರುತುಗಳನ್ನು ಅನ್ವಯಿಸಬಹುದು. ಹುಡುಕಾಟವು ಫೈಲ್ ಹೆಸರಿನೊಂದಿಗೆ ಸ್ಟ್ರಿಂಗ್ ಹೊಂದಾಣಿಕೆ, ಆದ್ದರಿಂದ ಅಕ್ಷರದ ಗಾತ್ರ, ಅಂತರ ಮತ್ತು ವಿರಾಮಚಿಹ್ನೆಗಳು ಎಲ್ಲವೂ ಮುಖ್ಯ.

ಕೆಲವು ನಿಯೋಜನೆಗಳು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ನಕ್ಷೆಯನ್ನು ಬದಲಿಸುತ್ತವೆ, ಇದರಿಂದ ದೃಢೀಕೃತ ಬಳಕೆದಾರಹೆಸರು ಸಾಮಾನ್ಯ ಹೆಸರಿನ ಸ್ಥಾನವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಆಗ ಅನನ್ಯವಾಗಿರಬೇಕಾದದ್ದು ಬಳಕೆದಾರಹೆಸರು. ಹೇಗಾದರೂ, ನೀತಿಯನ್ನು ಆಯ್ಕೆ ಮಾಡುವ ಮೌಲ್ಯವೇ ನೀವು ಕಾಯ್ದಿರಿಸುವ ಮೌಲ್ಯ. ಏನನ್ನೂ ನೀಡುವ ಮೊದಲು ಯಾವುದು ಎಂದು ನಿರ್ಧರಿಸಿ; ಘರ್ಷಣೆಯ ನಂತರ ಊಹಿಸುವುದು ಕೇಳುವುದಕ್ಕಿಂತ ಹೆಚ್ಚು ದುಬಾರಿ.

ಎರಡು ಪ್ರಾಧಿಕಾರಗಳು ಒಂದೇ ಹೆಸರಿಗೆ ಬರುವ ಸ್ಥಳ

ಒಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ನೀಡುಗ ಪ್ರಾಧಿಕಾರಗಳಿಂದ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಸ್ವೀಕರಿಸುವ ಸಂಸ್ಥೆ ಒಂದೇ ಹೆಸರಿನ ಜಾಗದಲ್ಲಿ ಬರೆಯುವ ಎರಡು ಸ್ವತಂತ್ರ ನೋಂದಣಿ ಪ್ರಕ್ರಿಯೆಗಳನ್ನು ನಡೆಸುತ್ತದೆ. ಪ್ರತಿ ಪ್ರಾಧಿಕಾರದ ಸ್ವಂತ ಅನನ್ಯತೆ ನಿಯಮಗಳು ಅದರ ಒಳಗೆ ಅನ್ವಯವಾಗುತ್ತವೆ, ಆದ್ದರಿಂದ ಎರಡೂ ಅದೇ ಸಾಮಾನ್ಯ ಹೆಸರಿಗೆ ಕಾನೂನುಬದ್ಧವಾಗಿ ನೀಡಬಹುದು ಮತ್ತು ಯಾವುದಕ್ಕೂ ತಪ್ಪು ಕಾಣುವುದಿಲ್ಲ.

ಸರಣಿ ಸಂಖ್ಯೆಗಳು ಸಹಾಯ ಮಾಡುವುದಿಲ್ಲ. X.509 ಸರಣಿ ಸಂಖ್ಯೆ ತನ್ನ ನೀಡುಗರ ವ್ಯಾಪ್ತಿಯೊಳಗೆ ಅನನ್ಯವಾಗಿರಬೇಕೆಂದು ಒತ್ತಾಯಿಸುತ್ತದೆ, ಅದು ಆ ಪ್ರಾಧಿಕಾರದ ಲೆಕ್ಕಪತ್ರದ ಗುಣಲಕ್ಷಣ, ಜಾಗತಿಕ ಸಾಧನ ಗುರುತಲ್ಲ. ವಿಷಯ ಪರಿಶೀಲನೆಯೂ ಸಾಮಾನ್ಯ-ಹೆಸರಿನ ಪರಿಶೀಲನೆಗಿಂತ ಬೇರೆ ಪರೀಕ್ಷೆ: ಎರಡು ಪ್ರಮಾಣಪತ್ರಗಳು ಒಂದು CN ಅನ್ನು ಹಂಚಿಕೊಳ್ಳಬಹುದು ಆದರೆ ಸಾಂಸ್ಥಿಕ ಘಟಕದಲ್ಲಿ ಭಿನ್ನವಾಗಿರಬಹುದು ಮತ್ತು ಆದ್ದರಿಂದ ವಿಭಿನ್ನ ವಿಷಯಗಳನ್ನು ಹೊಂದಿರಬಹುದು. ಈ ಗುಣಲಕ್ಷಣಗಳೆಲ್ಲವೂ ಇದ್ದರೂ ಸರ್ವರ್ ಇನ್ನೂ ಎರಡೂ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಒಂದೇ ಫೈಲ್ ಹೆಸರಿಗೆ ನಕ್ಷೆ ಮಾಡುತ್ತದೆ.

OpenSSL CA ದಸ್ತಾವೇಜು ತನ್ನದೇ ಡೇಟಾಬೇಸ್‌ನ ಅಭಿಪ್ರಾಯವನ್ನು ನಿಯಂತ್ರಿಸುವ unique_subject ಸೆಟ್ಟಿಂಗ್ ಅನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಪ್ರಾಮಾಣಿಕ ಆರಂಭ ಸ್ಥಾನ ನಿಮ್ಮ ನೀಡುಗ ಸಂರಚನೆಯನ್ನು ಓದುವುದು, ನಿರ್ದಿಷ್ಟ EasyRSA ಅಥವಾ OpenSSL ಡೀಫಾಲ್ಟ್ ಅನ್ವಯವಾಗುತ್ತದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು.

ಸಹಿ ಮಾಡುವ ಮೊದಲು ಪರಿಣಾಮಕಾರಿ ಹೆಸರನ್ನು ಕಾಯ್ದಿರಿಸಿ

ಸಾಧನವನ್ನು ಅದರ ಅನುಮೋದಿತ ದಾಖಲೆಗೆ ಮತ್ತು ಅಲ್ಲಿಂದ ನಿಖರವಾದ ನೀತಿ ಫೈಲ್ ಹೆಸರಿಗೆ ನಕ್ಷೆ ಮಾಡುವ ನೋಂದಣಿ ನಿರ್ವಹಿಸಿ, ಇದರಿಂದ ಹೆಸರು ಒಮ್ಮೆ ಹಂಚಿಕೆಯಾಗಿ ಹಂಚಿಕೆಯಾಗಿಯೇ ಉಳಿಯುತ್ತದೆ. ಕಾಯ್ದಿರಿಸುವಿಕೆ ಪರಮಾಣು ಆಗಿರಬೇಕು, ಅಂದರೆ ಪ್ರಾಯೋಗಿಕವಾಗಿ ಹಂಚು-ನಂತರ-ಸಹಿ ಹಂತದ ಸುತ್ತ ಡೇಟಾಬೇಸ್ ನಿರ್ಬಂಧ ಅಥವಾ ಲಾಕ್, ಇಬ್ಬರು ಸಂಪಾದಿಸುವ ಸ್ಪ್ರೆಡ್‌ಶೀಟ್ ಅಲ್ಲ.

ನಂತರ ಪರಿಶೀಲನೆಯನ್ನು ನೀಡುವಿಕೆಯ ಭಾಗ ಮಾಡಿ: ಕೋರಿದ ಹೆಸರು ಈಗಾಗಲೇ ಇದ್ದರೆ ಸಹಿ ಮಾಡಲು ನಿರಾಕರಿಸಿ, ಮತ್ತು ಆ ಪರಿಶೀಲನೆಯಲ್ಲಿ ಸರ್ವರ್ ನಂಬುವ ಪ್ರತಿ ಪ್ರಾಧಿಕಾರವನ್ನೂ ಸೇರಿಸಿ, ಏಕೆಂದರೆ ಇನ್ನೊಂದು ಪ್ರಾಧಿಕಾರ ಕಾಯ್ದಿರಿಸಿದ ಹೆಸರೂ ಅಷ್ಟೇ ಆಕ್ರಮಿತ. ಸ್ಪಷ್ಟ ಕಾರಣದೊಂದಿಗೆ ತಿರಸ್ಕರಿಸಿದ ವಿನಂತಿ ಬೇರೊಬ್ಬರ ಸ್ಥಿರ ವಿಳಾಸವನ್ನು ಪಡೆಯುತ್ತಲೇ ಇರುವ ಸಾಧನದ ಟಿಕೆಟ್‌ಗಿಂತ ಅಗ್ಗ.

ನವೀಕರಣ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಹೆಸರನ್ನು ಮರುಬಳಕೆ ಮಾಡುತ್ತದೆ

ಇರುವ ಸಾಧನಕ್ಕೆ ಮರುನೀಡಿಕೆ ಅದೇ ನೀತಿ ಹೆಸರಿನ ಅಡಿಯಲ್ಲಿ ಹೊಸ ಸರಣಿ ಸಂಖ್ಯೆಯನ್ನು ನೀಡಬೇಕು, ಮತ್ತು ಅದು ಘರ್ಷಣೆ ಅಲ್ಲ, ಕಾನೂನುಬದ್ಧ ಮರುಬಳಕೆ. ಮೊದಲೇ ನಿರ್ಧರಿಸಬೇಕಾದದ್ದು ಒಂದರ ಮೇಲೊಂದು ಬರುವಿಕೆ: ಹಳೆಯ ಮತ್ತು ಹೊಸ ಪ್ರಮಾಣಪತ್ರಗಳು ಒಟ್ಟಿಗೆ ಮಾನ್ಯವಾಗಿರಬಹುದೇ, ಮತ್ತು ಹಳೆಯ ರುಜುವಾತು ಹೇಗೆ ನಿವೃತ್ತವಾಗುತ್ತದೆ.

ಇದನ್ನು ಪರಿಹರಿಸಲು duplicate-cn ಕಡೆಗೆ ಹೋಗಬೇಡಿ. ಆ ಸರ್ವರ್ ಆಯ್ಕೆ ಒಂದೇ ಹೆಸರನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುವ ಏಕಕಾಲಿಕ ಸಂಪರ್ಕಗಳನ್ನು ನಿಯಂತ್ರಿಸುತ್ತದೆ; ಅದು ನೋಂದಣಿಯನ್ನು ಲಾಕ್ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು ಅದನ್ನು ಸಕ್ರಿಯಗೊಳಿಸಿದರೆ ಒಂದು ಹಂಚಿಕೆಯ ಸ್ಥಿರ ವಿಳಾಸ ಒಟ್ಟಿಗೆ ಎರಡು ಯಂತ್ರಗಳಿಗೆ ಸುರಕ್ಷಿತವಾಗುವುದಿಲ್ಲ. ರದ್ದತಿ ಸಾಮಾನ್ಯವಾಗಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀಡುಗ ಮತ್ತು ಸರಣಿ ಸಂಖ್ಯೆಯಿಂದ ಗುರುತಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಹಳೆಯ ರುಜುವಾತನ್ನು ನಿವೃತ್ತಗೊಳಿಸುವುದು ಅದರ ಬದಲಿಗನ್ನು ಅಮಾನ್ಯಗೊಳಿಸಬೇಕಿಲ್ಲ, ಸರ್ವರ್ ಸರಿಯಾದ ರದ್ದತಿ ಡೇಟಾವನ್ನು ಪಡೆದು ಜಾರಿಗೊಳಿಸಿದರೆ ಸಾಕು.

ಯಂತ್ರದಲ್ಲಿರುವ ಉಪಕರಣಗಳಿಂದ ನಕ್ಷೆಯನ್ನು ದೃಢೀಕರಿಸಿ

ಸಾಧನಕ್ಕೆ ಅದರ ಹೊಸ ರುಜುವಾತನ್ನು ನೀಡುವ ಮೊದಲು, ಸರ್ವರ್ ಓದುವ ರೀತಿಯಲ್ಲೇ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಹೆಸರನ್ನು ಓದಿ, ನಂತರ ಆಯ್ಕೆಯಾಗುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸುವ ನೀತಿ ಫೈಲ್‌ನೊಂದಿಗೆ ಹೋಲಿಸಿ.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

ಮೊದಲ ಆದೇಶ ವಿಷಯ ಕ್ಷೇತ್ರಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಮುದ್ರಿಸುತ್ತದೆ, ಇದು ದಾರಿತಪ್ಪಿದ ಸಾಂಸ್ಥಿಕ ಘಟಕ ಅಥವಾ ಎರಡು ಪಟ್ಟು ಅಂತರವನ್ನು ತಕ್ಷಣ ಕಾಣಿಸುವಂತೆ ಮಾಡುತ್ತದೆ. ಎರಡನೆಯದು ಅದೇ ಹೆಸರಿನ ಅಡಿಯಲ್ಲಿ ನೀತಿ ಫೈಲ್ ಇದೆ ಎಂದು ದೃಢೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ಮೂರನೆಯದು ಸರ್ವರ್ ಒಂದೇ ಹೆಸರಿನಲ್ಲಿ ಹಲವು ಅಧಿವೇಶನಗಳನ್ನು ಅನುಮತಿಸಲು ಸಂರಚಿತವಾಗಿದೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ. ತಪ್ಪು ಇನ್ನೂ ಘಟನೆಯ ಬದಲು ಸಹಿಯಷ್ಟೇ ವೆಚ್ಚವಾಗುವಾಗ, ನೋಂದಣಿ ಹಂತವನ್ನು ಬಿಡುವ ಮೊದಲು ಮೂರನ್ನೂ ಹೊಸ ಪ್ರಮಾಣಪತ್ರದ ಮೇಲೆ ಚಲಾಯಿಸಿ. ಔಟ್‌ಪುಟ್ ಅನ್ನು ಟಿಕೆಟ್‌ನೊಂದಿಗೆ ಇರಿಸಿ, ಇದರಿಂದ ಮುಂದಿನ ವ್ಯಕ್ತಿ ಸರ್ವರ್‌ಗೆ ನಿಜವಾಗಿ ಯಾವ ಹೆಸರು ನೀಡಲಾಯಿತು ಎಂದು ನೋಡಬಹುದು.

ನಿಜವಾದ ಸಂಪರ್ಕದೊಂದಿಗೆ ಮುಗಿಸಿ ಮತ್ತು ಹಂಚಿಕೆಯಾದ ವಿಳಾಸ ಹಾಗೂ ಪುಷ್ ಮಾಡಿದ ಮಾರ್ಗಗಳನ್ನು ನೀವು ಬರೆಯಲು ಉದ್ದೇಶಿಸಿದ್ದರೊಂದಿಗೆ ಅಲ್ಲ, ನೀತಿ ಫೈಲ್‌ನೊಂದಿಗೆ ಹೋಲಿಸಿ. ಎರಡು ಸಾಧನಗಳು ಒಂದೇ ಸ್ಥಿರ ವಿಳಾಸವನ್ನು ವರದಿ ಮಾಡಿದರೆ, ನೋಂದಣಿಯಲ್ಲಿ ಯಾವುದೇ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆ ಎಂದಿಗೂ ಬಯಲು ಮಾಡದ ಘರ್ಷಣೆ ಇದೆ.