Бир жалпы аталыш, эки сертификат: ак тизмеби же жокко чыгаруубу?

Ноутбук сертификатын ошол эле жалпы аталышта кайра берүү алмаштыруудай сезилет, жана баары эскиси өлдү деп ойлойт. Бирок андай эмес. Мурунку сертификат ошол эле орган тарабынан кол коюлган жарактуу сертификат бойдон калат, жана кардарларды аталышы боюнча кабыл алган ар кандай көзөмөл аны кабыл алуусун уланта берет. Идентификация текшерүүсүн каттоо текшерүүсүнөн айырмалаган нерсе — сериялык номер, жана оңдоо дал ошол жерде болушу керек.

Сервер колдонгон атоо саясатынан баштаңыз

Эки көзөмөл аралашат: кардарды өзү ким деп атаса, ошого жараша кабыл алуу жана бир конкреттүү сертификатты тейлөөдөн чыгаруу. Биринчиси — аталыш текшерүүсү, экинчиси — жокко чыгаруу текшерүүсү. Алар башка суроолорго жооп берет, жана бир орнотууда бири бар, экинчиси жок болушу мүмкүн.

Сервердин конфигурациясын окуп, кайсы идентификация булагы колдонулуп жатканын белгилеңиз. username-as-common-name деген параметр аутентификацияланган колдонуучу атын кардарга тиешелүү издөөлөр үчүн натыйжалуу ат кылат. Ал жок болсо, сертификаттагы субъекттин жалпы аталышы колдонулат. Жооп кандай болбосун, ак тизмеге тийүүдөн мурун аны жазып кой.

Эки жол бир эле сертификат үчүн уруксат берилген аттардын башка топтомун берет. Бул жерде божомолдоо — туура эмес файлды оңдоп, көзөмөл иштебейт деген жыйынтыкка келүү.

Кардарды чындыгында эмне кабыл аларын текшериңиз

Дал келген файлы бар client-config-dir кардарга жеке параметрлерди берет; өзү гана кабыл алуу эрежеси эмес. Аталыш боюнча кабыл алуу үчүн ccd-exclusive керек, ал дал келген файлы жок кардарларды четке кагат. Аны иштеп жаткан орнотууда күйгүзсөңүз, файлы жок бардык аттардын байланышы үзүлөт, ошондуктан эч нерсени өзгөртүүдөн мурун файлдарды санаңыз.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Санак — бул текшерүү: каталог тизмесин туташат деп күткөн идентификациялар менен салыштырыңыз.

Андан кийин ар бир файлдын аты натыйжалуу идентификацияга регистр жана боштуктарды кошкондо так дал келерин текшериңиз. office-laptop үчүн файл субъекти Office-Laptop деп окулган сертификатка эч нерсе кылбайт. Аягындагы боштук да жөнөкөй тизмеден жашырынат, ошондуктан бардай көрүнгөн файл окулбай калат.

Шлюз жүктөгөн CRLди текшериңиз

CRL жокко чыгарылган сертификаттарды берүүчү жана сериялык номер боюнча атайт, бул аталыш текшерүүсүндө жок деталдуулук. Эки сертификат жалпы аталышты бөлүшүп, сериялык номерде айырмаланышы мүмкүн, жана аларды сериялык деңгээлдеги тизме гана ажыратат.

Файлга таянуудан мурун конфигурацияланган жолду, берилген күндү жана кийинки жаңыртуу талаасын текшериңиз.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRLдеги сериялык номерди сактагыңыз келген сертификаттагы сериялык номер менен салыштырыңыз. Ошол салыштыруу — бүт сынак, жана бир жолу көз менен жасоо эч ким окубаган скриптке ишенүүдөн артык. Жаңыртылган CRLди шлюз мурунтан окуп жаткан жол аркылуу таратыңыз. Туура эмес каталогдо турган CRL эч нерсени аткарбайт, жана эч бир кардар журналы аны эскерип кетпейт.

Алмаштырыңыз, анан эки жыйынтыкты тең далилдеңиз

Ошол эле жалпы аталышта алмаштырманы бериңиз, эки сериялык номерди тең жазып алыңыз, анан гана эскисин жокко чыгарыңыз. Бул тартип өзгөртүүнү даярдап жатканда иштеген идентификацияны жеткиликтүү кармайт.

Алгач алмаштырманы сынаңыз: ал аутентификациядан өтүп, атына таандык нерселерге жетиши керек. Андан кийин эски сертификатты сынап, четке кагыларын ырастаңыз, анткени ийгиликтүү алмаштыруу жокко чыгаруу тууралуу эч нерсе айтпайт. Экоо тең дагы эле туташса, жокко чыгаруу киргизүүсү окулбай жатат же эски сериялык номер тизмеге киргизилген эмес. Экоо тең туташпаса, сиз каттоону эмес, кабыл алуу эрежесин буздуңуз.

Мурунтан орнотулган сессиялар өзүнчө маселе, анткени шлюз активдүү байланыштарды үзүүгө конфигурацияланбаса, жокко чыгаруу жаңы аутентификацияларга гана тиешелүү. Бирөөгө убада кылуудан мурун дароо алып салуу талап кылынарын чечиңиз.

Аталыш текшерүүсү эч качан жасай албаган нерсе

Ак тизме бул идентификация туташа алабы же жокпу дегенге жооп берет. Ал ошол идентификация кайсы сертификатты колдонгонун айта албайт, жана каттоо жарактуу жана жокко чыгарылбай турган убакытта эски каттоону кабыл ала берет. Бул кемчилик окуя учурунда көрүнөт, алмаштырма айлар мурун берилип, мурункусу дагы эле иштеп жатканда.

Сертификат деңгээлиндеги көзөмөл керек болсо, сертификатты атаган механизмди колдонуңуз: CRL жазуулары же оператор кармаган изин текшерүүчү текшерүү илгичи. Экоону тең тейлөө талап кылат, жана экоо тең өздөрү текшерген объект жөнүндө чынчыл. OpenVPN 2.6 колдонмосу боюнча crl-verify жана кардарга тиешелүү кабыл алуу өзүнчө параметрлер катары документтелген, дал ошол себептен.

Кайсы көзөмөл кайсы ишти аткарарын жазып кой, анан терс учурду сына. Байланышты четке какканын эч качан көрбөгөн жокко чыгаруу — иштейт деп үмүт кылган конфигурация.