두 OpenVPN 인증서가 하나의 CCD 정책을 공유할 수 있는 이유

CA는 동일한 OpenVPN 클라이언트별 구성을 받는 두 인증서에 서명할 수 있으며, 두 인증서 어디에도 이를 경고하는 내용이 없습니다. 일련번호는 다르고 키도 다르며, 조직 단위가 바뀌면 전체 주체도 달라집니다. 서버는 하나의 이름으로 클라이언트별 정책을 해석하며, 그 이름만이 고유해야 하는 유일한 요소입니다.

서버가 해석하는 것은 이름이지 일련번호가 아닙니다

일반 인증서 조회에서 서버는 제시된 인증서의 일반 이름을 가져와 그 이름의 client-config-dir 항목을 찾습니다. 일련번호는 조회에 전혀 들어가지 않습니다. 일반 이름만 빼고 모든 필드가 다른 두 인증서가 같은 파일에 도착하므로, 두 번째 연결은 첫 장치의 고정 주소와 푸시된 경로를 물려받습니다.

이렇게 CA 측 고유성 검사는 통과하는데 VPN은 여전히 충돌합니다. 두 검사는 서로 다른 질문에 답합니다.

무엇이든 서명하기 전에 유효 이름이 무엇이어야 하는지 정하고, 그것이 속한 장치나 계정 옆에 기록하십시오. 이름, 소유자, 목적, 인증서 지문으로 이루어진 등록부는 대부분의 배포를 포괄합니다. 그것이 없으면 인증서 저장소가 어떤 이름이 어떤 장치에 속하는지에 대한 유일한 기록이 되며, 그 저장소는 승인된 교체와 기존 이름을 주장하는 두 번째 장치를 구별하지 못합니다. 이름은 등록 시점에, 두 운영자가 동시에 발급할 수 있다면 잠금 아래에서 예약하십시오.

매핑이 실제로 사용하는 이름

일반 인증서 조회는 일반 이름을 사용합니다. 인증된 사용자 이름을 매핑하도록 설정된 서버는 대신 그 값을 사용하므로, 인증서의 일반 이름은 정책 선택과 무관해집니다. 어떤 매핑이 유효한지 보려면 실행 중인 구성을 읽으십시오.

두 매핑이 동시에 존재할 수 있으며, 그러면 결과는 서버가 그것들을 해석하는 순서에 달려 있습니다. 일반 이름으로 되돌아가는 사용자 이름 매핑은 등록부가 승인한 적 없는 인증서를 조용히 받아들입니다. 유효 이름을 그것을 만든 명령 옆에 적어 두어 다음 운영자가 순서를 다시 알아내지 않아도 되게 하십시오. 매핑마다 연결 하나를 시험하는 것은 저렴하고 문제를 매듭짓습니다.

매핑이 무엇을 만들어 내든 그것이 예약할 값입니다. CA에서 일반 이름을 예약하면서 서버가 사용자 이름을 기준으로 삼는다면 잘못된 것을 예약하는 셈입니다.

두 CA가 같은 이름을 승인할 수 있습니다

VPN 서비스는 하나 이상의 발급 기관을 신뢰할 수 있으며, 각 기관은 어떤 이름이 사용 중인지에 대한 자체 판단을 유지합니다. 두 개의 독립적인 CA가 서로 다른 장치에 대해 같은 일반 이름을 승인할 수 있고, 서버는 불평 없이 두 인증서를 모두 받아들입니다. 신뢰 번들의 모든 기관을 목록화하고, 평소 발급하는 기관만 보지 마십시오. 장애는 두 번째 기관의 인증서가 처음 사용될 때 나타납니다.

같은 추론이 일반 이름의 고유성 대신 전체 주체의 고유성을 강제하는 CA에도 적용됩니다.

일반 이름을 공유하지만 조직 단위가 다른 두 인증서는 주체가 다르므로, CA는 충돌을 보고하지 않지만 서버는 하나의 이름을 봅니다. 기본값을 가정하지 말고 발급 도구가 실제로 사용하는 설정을 확인하십시오. openssl ca 문서의 unique_subject 처리 가 거기서 관련된 손잡이이며, 그 도구를 둘러싼 래퍼는 보통 그것을 대체하지 않고 노출합니다.

갱신은 예약된 재사용이며 충돌이 아닙니다

이름을 유지하는 갱신은 의도적인 재사용이며, 등록부는 그것을 평이한 말로 적어야 합니다. 이전 지문과 새 지문을 하나의 이름 아래에 기록하여 검토자가 교체와 탈취를 구별할 수 있게 하십시오. 서버의 duplicate-cn 옵션은 무관하며, 동시 세션을 규율할 뿐 등록이나 이름 예약을 다루지 않습니다. 두 자격 증명이 얼마나 오래 존재할 수 있고 언제 이전 것이 더 이상 받아들여지지 않는지 정하십시오.

교체품을 넘기기 전에 인증서에 실제로 무엇이 들어 있는지 다시 읽으십시오. 주체 줄이 서버가 매핑할 필드이며, 파일 이름이 무엇을 암시하든 마찬가지입니다.

openssl x509 -in device42.crt -noout -subject -serial -issuer

폐기는 보통 인증서를 발급자 아래에서 식별하므로, 일련번호 하나를 은퇴시키는 것은 같은 기관에서 올바르게 발급된 교체품에 영향을 주지 않습니다. 바로 그 동작이 깨끗한 갱신에 필요하며, 폐기가 두 장치가 공유하는 이름을 정리할 수 없는 이유이기도 합니다. 사용자가 장치를 보기 전에 시험 연결에서 유효 정책 이름과 할당된 주소를 검증하십시오. 그런 다음 이전 자격 증명을 의도적으로 은퇴시키고 그렇게 했음을 기록하십시오.