OpenVPN username-as-common-name: CN текшерүүңүз эмнеге бош
common_name менен username салыштырган client-connect скрипти атты өзү менен салыштырышы мүмкүн. Алмаштыруу аткарылганга чейин сертификатты аккаунтка байланыштырыңыз.
Сиз client-connect скрипти кошосуз, ал common_name username-ден айырмаланган ар кандай туташууну четке кагат, жана бул сертификат менен аккаунттун ортосундагы байланыш сыяктуу көрүнөт. username-as-common-name иштеген серверде бул салыштыруу скрипт иштегенге чейин эле маанисин жоготкон. Эки маани тең бир эле сап, ошондуктан тест такыр башка адамга берилген сертификат үчүн да өтөт.
Текшерүү скрипт жаман жазылгандыктан туура эмес эмес. Ал окуган маани ошол эле туташууда мурун алмаштырылгандыктан туура эмес.
Салыштыруу эмнени далилдеп жаткандай көрүнөт
Сертификат менен аутентификациялоо жана сырсөз менен аутентификациялоо өзүнчө далилдер, жана сервер алардын бир адамга таандык экендигин талап кылбастан экисин тең талап кыла алат. Ажырым чыныгы: жарактуу түзмөк сертификаты плюс каалаган жарактуу аккаунт ошол эле сертификат плюс бир аталган аккаунттан башка билдирүү. common_name менен username салыштырган скрипт экөөнүн ортосундагы жок звенодой окулат. Эгер common_name дагы эле сертификат айтканды билдирсе, ошондой болмок.
Ошондойбу же жокпу, бир сервер параметрине көз каранды, жана бул параметр адатта байланышсыз себептен күйгүзүлөт, мисалы ар бир колдонуучунун конфигурация файлдарын атоону жеңилдетүү үчүн.
username-as-common-name ат менен эмне кылат
username-as-common-name күйгүзүлгөндө, OpenVPN колдонуучунун аты жана сырсөзү текшерилгенден кийин сертификаттын жалпы атын аутентификацияланган колдонуучунун атына алмаштырат. Ошол текшерүү учурунда иштеген текшерүү илгичи дагы эле сертификаттын жалпы атын алат, анткени алмаштыруу эми боло элек. Андан кийинкинин баары, client-connect кошкондо, колдонуучунун атын көрөт. Ошондуктан кийинки чакыруу бир эле инсанды эки жолу алат жана аны көрсөтүлгөн сертификат менен салыштыра албайт.
| Stage | What common_name holds |
|---|---|
| Username and password verification hook | The certificate common name, for example bob-device |
| After the replacement | The authenticated account, alice |
| client-connect callback | The account again, alice |
Бир мисал туташууну карап көрөлү: bob-device үчүн берилген сертификат, alice катары ийгиликтүү каталогго кирүү жана параметр күйгүзүлгөн. Текшерүү баскычы дагы эле эки башка сапты көрө алат. Туташуу баскычы alice жана alice көрөт.
Бул мисал салыштыруунун эмнеге бош экенин көрсөтөт. Ал туташуу башкача кабыл алынат беле дегенди көрсөтпөйт, анткени сертификатты текшерүү жана сырсөздү текшерүү дагы эле өз алдынча иштейт.
Байланышты эки инсан тең дагы бар жерге коюңуз
Эреже сертификаттын инсанын жана аккаунтту бир убакта көргөн баскычта колдонулушу керек, бул иш жүзүндө колдонуучунун аты менен сырсөздү текшерүү илгичин же ошол жерде жүктөлгөн плагинди билдирет. Сырсөздү текшерүүнү мурунтан аткарган колдоого алынган плагин адатта жуп эрежесин кошууга туура жер, анткени аны аттарды салыштыруу менен алмаштыруу сырсөз текшерүүсүн толугу менен жок кылат.
Код жазганга чейин картаңызды аныктаңыз, анткени теңдик сейрек чыныгы саясат болот. Сертификат көбүнчө түзмөктү, ал эми кирүү адамды аныктайт, жана бир түзмөк бир нече адамга мыйзамдуу түрдө кызмат кыла алат. Мамилени берүүсүн өзүңүз көзөмөлдөгөн формада сактаңыз жана ат өзгөртүү, кайра берүү жана домен менен квалификацияланган аттар учурунда эмне болорун чечиңиз. Каталогду түшүнбөй туруп кичине тамгага өткөрүү же домен префиксин алып салуу өзүнчө калышы керек болгон эки аккаунтту бириктириши мүмкүн.
Параметр кайсы кардар конфигурациясынын колдонуларын да өзгөртөрүн унутпаңыз, анткени client-config-dir жалпы ат менен байланышкан.
Жупту эки жарактуу каттоо маалыматы менен сынаңыз
Саясатыңыз уруксат берген жуптан баштап, анын туташарын ырастаңыз. Анан ошол эле жарактуу сертификатты башка, бирок башкача жарактуу аккаунт менен көрсөтүңүз: бул аракет ийгиликсиз болушу керек, жана ал туура эмес терүүлгөн сырсөздөн эмес, жуп эрежесинен улам ийгиликсиз болушу керек. Туура эмес сырсөз сырсөз текшерүүсү иштеп жатканын далилдейт жана сертификат менен аккаунттун ортосундагы эреже жөнүндө эч нерсе айтпайды.
Сертификат жок жана жараксыз сертификат жолдорун да текшериңиз жана сервер кардар параметрлери үчүн кайсы инсанды колдонорун ырастаңыз. Эгер салыштыруунун иштешинин жалгыз жолу username-as-common-name өчүрүү болсо, адегенде ошол өзгөртүүнүн баасын эсептеңиз, анткени ал ар бир кардардын конфигурация издөөсүн сертификаттын атына кайтарат.