Эки OpenVPN сертификаты, бир CCD аты: эмне туура эмес болду

Ар башка сериялык номерлери, ар башка ачкычтары жана турмушта ар башка толук субъектилери бар эки клиент сертификаты бир эле саясат файлына келип калышы мүмкүн, анткени сервер алардын эч бирине карабайт. Ал сертификаттан атты окуп, ага туура келген клиент конфигурация файлын ачат. Эгер эки сертификат тең бирдей атты алып жүрсө, экинчиси туташкан учурда биринчисинин саясатын мураска алат.

Кагылышуу каттоо учурунда пайда болот жана туташуу учурунда гана аныкталат, адатта түзмөк башка машинага таандык дарек же маршруттар топтомун алганда. Аны болтурбоо үчүн сервер кайсы талааны салыштыраарын макулдашып, анан бир нерсеге кол коюлганга чейин ошол маанини резервдеш керек.

Сертификат куралдары сизди эскертпейт, анткени X.509 ичиндеги уникалдуулук жана OpenVPN саясат атынын уникалдуулугу ар башка системалар колдонгон ар башка талаптар.

Сервер атты издейт, манжа изин эмес

Сертификатка негизделген кадимки салыштырууда сервер көрсөтүлгөн сертификаттан жалпы атты алып, өзүнүн клиент конфигурация каталогунан ошол аттагы файлды издейт. Бул файл статикалык даректи беките алат, маршруттарды жөнөтө алат же ар бир клиент үчүн брандмауэр белгилерин колдоно алат. Издөө файл аты менен саптык дал келүү, ошондуктан тамга регистри, боштуктар жана тыныш белгилери баары маанилүү.

Кээ бир жайгаштыруулар салыштырууну атайын алмаштырып, аутентификацияланган колдонуучу аты жалпы аттын ордун ээлейт, ошондо уникалдуу болушу керек нерсе — колдонуучу аты. Кандай болбосун, саясатты тандаган маани — сиз резервдеген маани. Бир нерсе чыгарганга чейин кайсы экенин чечиңиз; кагылышуудан кийин божомолдоо суроодон кымбат.

Эки орган бир атка келген жер

Бирден ашык чыгаруучу органдын сертификаттарын кабыл алган уюм бир ат мейкиндигине жазуучу эки көз карандысыз каттоо процессин жүргүзөт. Ар бир органдын өзүнүн уникалдуулук эрежелери анын ичинде колдонулат, ошондуктан экөө тең бирдей жалпы атка мыйзамдуу түрдө чыгара алат жана эч кимиси каталыкты байкабайт.

Сериялык номерлер жардам бербейт. X.509 сериялык номердин өз чыгаруучусунун чегинде уникалдуу болушун талап кылат, бул ошол органдын эсебинин касиети, түзмөктүн глобалдык инсандыгы эмес. Субъектини текшерүү да жалпы атты текшерүүдөн башка сынак: эки сертификат CNди бөлүшү мүмкүн, бирок уюмдук бирдикте айырмаланат жана ошондуктан өзгөчө субъектилерди алып жүрөт. Бул касиеттердин ар бири аткарылып турса да, сервер эки сертификатты тең бир файл атына салыштырат.

OpenSSL CA документтери өз маалымат базасынын пикирин башкарган unique_subject параметрин камтыйт, ал эми ак ниеттүү башталгыч чекит — белгилүү бир EasyRSA же OpenSSL демейки мааниси колдонулат деп божомолдоонун ордуна өзүңүздүн чыгаруучу конфигурацияңызды окуу.

Кол коюудан мурун натыйжалуу атты резервдеңиз

Түзмөктү анын бекитилген жазуусуна, андан ары так саясат файлынын атына салыштырган реестрди жүргүзүңүз, ошентип ат бир жолу бөлүнүп, бөлүнгөн боюнча калат. Резервдөө атомдук болушу керек, бул иш жүзүндө бөл-анан-кол-кой кадамын курчаган маалымат базасынын чектөөсү же кулпусу дегенди билдирет, эки адам түзөткөн таблица эмес.

Андан кийин текшерүүнү чыгаруунун бөлүгү кылыңыз: суралган ат мурунтан бар болсо, кол коюудан баш тартыңыз жана бул текшерүүгө сервер ишенген ар бир органды кошуңуз, анткени башка орган резервдеген ат да ошондой эле ээленген. Ачык себеби бар четке кагылган суроо башка бирөөнүн статикалык дарегин тынымсыз алган түзмөк тууралуу билеттен арзан.

Жаңыртуу атты атайын кайра колдонот

Бар түзмөк үчүн кайра чыгаруу ошол саясат атынын астында жаңы сериялык номер бериши керек, жана бул кагылышуу эмес, мыйзамдуу кайра колдонуу. Алдын ала чечүү керек нерсе — катмарлануу: эски жана жаңы сертификат бир убакта жарактуу боло алабы, жана эски ишеним кат кантип чыгарылат.

Муну чечүү үчүн duplicate-cn параметрине кайрылбаңыз. Бул сервер параметри бирдей атты сунуштаган бир убактагы туташууларды башкарат; ал каттоону кулпулабайт жана аны күйгүзүү бир жалпы статикалык даректи бир убакта эки машина үчүн коопсуз кылбайт. Керүү адатта сертификатты чыгаруучу жана сериялык номер боюнча аныктайт, ошондуктан эски ишеним катты чыгаруу анын алмаштыргычын жараксыз кылышы шарт эмес, сервер туура керүү маалыматтарын алып, аткарса болду.

Салыштырууну машинадагы куралдар менен ырастаңыз

Түзмөккө жаңы ишеним катын берүүдөн мурун, атты сервер окуган ыкма менен сертификаттан окуңуз, анан аны тандалат деп күткөн саясат файлы менен салыштырыңыз.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Биринчи буйрук субъект талааларын өзүнчө басып чыгарат, бул адашкан уюмдук бирдикти же эки эселенген боштукту дароо көрүнүктүү кылат. Экинчиси так ошол ат менен саясат файлы бар экенин ырастайт, ал эми үчүнчүсү сервер бир атта бир нече сессияга уруксат берүүгө конфигурацияланганын көрсөтөт. Ката азыр окуя эмес, кол коюуга турган кезде, үчөөнү тең жаңы сертификатта каттоо кадамынан чыкпай туруп иштетиңиз. Чыгарылышты билет менен бирге сактаңыз, кийинки адам серверге чындыгында кайсы ат берилгенин көрө алат.

Чыныгы туташуу менен аяктап, бөлүнгөн даректи жана жөнөтүлгөн маршруттарды жазганга ниеттенгениңиз менен эмес, саясат файлы менен салыштырыңыз. Эгер эки түзмөк бирдей статикалык дарек тууралуу кабарласа, реестрде эч кандай сертификат текшерүүсү эч качан ачпай турган кагылышуу бар.