Жалпы CA, өзүнчө эшиктер: бир кабыл алуу файлына бир кызмат

Жалпы органга каршы текшерилген сертификат ишеним сынагынан өттү, мүчөлүк сынагынан эмес. Бул эки чечим көп учурда бириктирилет, анткени экөө тең туташуу учурунда болот, жана бул биригүү кызматта болбошу керек адам ошол жерге кабыл алынганга чейин көрүнбөйт. Чечим экинчи орган эмес; бул экинчи чечим, ар бир кызмат үчүн кабыл алынып, демон аны окуган жерде жазылат. Экөөнү өзүнчө кармаңыз, бул тармактагы башаламандыктын көбү жоголот.

Ишенимдүү чынжыр кызмат мүчөлүгү жөнүндө эч нерсе айтпайт

Эки кызмат бирдей чыгаруучу иерархияны кабыл алып, ошентсе да ар башка популяцияга ээ болушу мүмкүн. Бир ноутбук биринчисине таандык жана экинчисине жетпеши керек, ал эми ошол иерархиянын башка кардарлары чындыгында ошол жерге таандык. Ошол кызматтан органды алып салуу аны мыйзамдуу колдонгондордун бардыгын кулпулайт, ошондуктан жумуш кабыл алуу, ишеним эмес.

Бир эшикте эки кулпуну элестетүү жардам берет. Сертификат сырткы кулпуну ачат, ал эми кызматка тиешелүү чечим ички кулпуну ачат; эч бири экинчисин алмаштырбайт. Сырткы кулпу гана бар кызмат мүчөлүктү такыр аткарбайт, ал жөн гана аутентификациялайт. Бир нерсени өзгөртүүдөн мурун эки чечимди тең жазып коюңуз, анткени иштеп турган туташуу формасындагы гана саясатты аудиттөө мүмкүн эмес. Андан ары ички кулпу жөнүндө.

Милдеттүү эмес кайра жазууларды кабыл алуу дарбазасына айландырыңыз

Кардар конфигурациясынын каталогу адатта ыңгайлуулук: андагы файлдар өздөрү атаган кардарлардын параметрлерин кайра жазат, файлы жок кардар сервердин демейки маанилери менен иштейт. Бир директива ошол ыңгайлуулукту дарбазага айландырат, ошондуктан файлдын жоктугу туташуудан баш тартууну билдирет.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Коомчулук версиясы OpenVPN 2.6 ccd-exclusive өзүнүн колдонмо баракчасында дал ушул шартты документтейт, жана аталган файлды издөө кардардын реалдуу инсандыгына негизделет. Башка курулуштар жана продукт башкарган серверлер айырмаланышы мүмкүн, ошондуктан башка жерде ошол эле семантикага таянуудан мурун орнотулган версияны ырастаңыз.

Жогорудагы жолду мисал катары карап, колдонмо ойлоп тапкан каталогду түзүүнүн ордуна иш жүзүндө жайгаштырылган схеманы текшериңиз. Бар сертификат текшерүүлөрүн, сервер инсандыгын текшерүүлөрдү жана эсеп аутентификациясын мурункудай эле калтырыңыз, анткени фрагмент шарт кошот жана эч нерсени албайт. Өзгөртүүнү өндүрүшкө чейин даярдаңыз, анткени туура эмес жерде көтөрүлгөн баш тартуу сертификат бузулушуна окшошуп, иликтөөнү органга багыттайт. Андан кийин баш тартылган кардардын журнал сабы чынжырды эмес, жетишпеген конфигурация файлын атай турганын ырастаңыз.

Ар бир кызматка бир каталог, бир жалпы тизме эмес

Мүчөлүк аны аткарган кызматка таандык, ошондуктан ар бир кызмат өз каталогун жана өз файлдарын кармайт. Эки кызматты бир тизмеге багыттоо аларды мүчөлүктү бөлүшүүгө мажбурлайт бирөө муну көздөгөнбү же жокпу, ошого карабастан, жана келип чыккан өзгөртүүнү чечимге чейин кайра байлоо кыйын. Жалпы орган жалпы бойдон кала алат; кабыл алуу файлдары кала албайт. Аларды өзүнчө кармоо ошондой эле бир кызматтагы ката экинчисин үнсүз кеңейте албай турганын билдирет.

DEFAULT жазуусу адамдарды адаштырган учур. Аталган файл табылбаганда ал камдык параметрлерди берет, бирок бул дарбаза талап кылган аталган файл эмес, ошондуктан ал жалгыз кардарды кабыл ала албайт. Такыр жазуусу жок кардарды сынап, баш тартууну ырастаңыз; эгер ал кардар кабыл алынса, камдык колдонулуп жатат жана ccd-exclusive ошол инстанцияда күчүндө эмес.

Реалдуу инсандык кайсы файл окулаарын чечет

Издөө кардар чындыгында аутентификацияланган инсандыкты колдонот, ал адатта сертификаттын жалпы аты. Сервер колдонуучунун атын жана сырсөзүн да текшерген жана ошол атты жалпы атка салыштырган жерде файл анын ордуна аутентификацияланган колдонуучунун атына туура келиши керек. Шайкешсиздик каталогду эч качан тандалбаган ишенимдүү файл аттары менен толтуруп калтырат.

Окуу — экинчи жарымы. Демон адатта иштетилгенден кийин артыкчылыктардан баш тартат, ошондуктан чектелген эсепке каталогго жана андагы ар бир жазууга окуу укугу керек. Кардарлар каалаган жазууга боло турган жол аркылуу өз жазууларын түзө албашы керек, анткени өзүн-өзү тейлөө кабыл алуу механизмди толугу менен жокко чыгарат. Тек файл режимин эмес, туташтыруу жана бөлүшүү укуктарын да текшериңиз, анткени бир эсеп үчүн жабык көрүнгөн каталог башкасына ачык болушу мүмкүн. Андан кийин иштеп жаткан процесс чындыгында кайсы эсеп колдоноорун ырастаңыз, unit файлы кайсы эсепти эскерип жатканын эмес. Бул экөө башка эч нерсе аларды өзгөртпөгөндө гана бирдей болот.

Баш тартууну, кабыл алууну жана кайтарып алууну өзүнчө байкаңыз

Кызматка таандык инсандыкты сынап, анын туташканын ырастаңыз. Жазуусуз жарактуу сертификатты сынап, андан баш тартыларын ырастаңыз. Башка кызматка кабыл алынган инсандыкты сынап, анын бул жерде кабыл алынбай турганын ырастаңыз. Ар бир жыйынтыктын жанына кызмат инстанциясын жана реалдуу инсандыкты жазыңыз, анткени бул контекстсиз жыйынтыкты эч ким кайталай албайт.

Кайтарып алуу — күчүн жокко чыгаруудан өзүнчө аракет. Кабыл алуу файлын оңдоо бир кызматтын укугун алып салат, ал эми инсандык башка жерде жарактуу бойдон калат, ал эми бузулган ачкыч уюмдун жокко чыгаруу жообун талап кылат. Мурун ачылган сессияларга эмне болорун алдын ала чечиңиз, анткени каталогду оңдоо да, жокко чыгаруу тизмеси да аларды өз алдынча бүтүрбөйт.

Кабыл алуу да биринчи дарбаза гана. Кызматка кошулуу анын артындагы субнеттер, маалымат базалары же башкаруу интерфейстери жөнүндө эч нерсе айтпайт, жана ал ресурс саясаты өзүнчө жазылып, текшерилиши керек.