Эмне үчүн эки OpenVPN сертификаты бир CCD саясатын бөлүшө алат

CA бирдей OpenVPN кардарга тиешелүү конфигурацияны алган эки сертификатка кол кое алат, жана эки сертификаттын эч биринде эч кимди эскертпейт. Сериялык номерлер башкача, ачкычтар башкача, жана уюштуруу бирдиги өзгөргөндө толук субъектилер да башкача болот. Сервер ар бир кардардын саясатын бир ат аркылуу чечет, жана ошол ат гана уникалдуу болушу керек.

Сервер атты чечет, сериялык номерди эмес

Кадимки сертификат издөөдө сервер сунушталган сертификаттан жалпы атты алат жана ошол ат менен client-config-dir жазуусун издейт. Сериялык номер издөөгө эч качан кирбейт. Жалпы аттан башка бардык талаада айырмаланган эки сертификат бир файлга түшөт, ошондуктан экинчи туташуу биринчи түзмөктүн туруктуу дарегин жана жиберилген маршруттарын мураска алат.

Ошентип CA тараптагы уникалдуулук текшерүүсү өтөт, ал эми VPN дагы эле кагылышат. Эки текшерүү ар башка суроолорго жооп берет.

Бир нерсеге кол коюудан мурун эффективдүү ат кандай болушу керектигин чечип, аны тиешелүү түзмөктүн же эсептин жанына жазыңыз. Ат, ээси, максаты жана сертификаттын манжа изи бар реестр жайгаштыруулардын көбүн камтыйт. Ансыз сертификат архиви кайсы ат кайсы түзмөккө таандык экендигинин жалгыз жазуусу болуп калат, жана бул архив уруксат берилген алмаштырууну учурдагы атка доо койгон экинчи түзмөктөн ажырата албайт. Атты каттоо учурунда резервдеңиз, эки оператор бир убакта чыгара алса, кулпунун астында.

Салыштыруу чынында кайсы атты колдонот

Кадимки сертификат издөө жалпы атты колдонот. Аутентификацияланган колдонуучу атын салыштырууга жөндөлгөн сервер анын ордуна ошол маанини колдонот, бул сертификаттын жалпы атын саясат тандоо үчүн маанисиз кылат. Кайсы салыштыруу күчүндө экенин көрүү үчүн иштеп жаткан конфигурацияны окуңуз.

Эки салыштыруу бир убакта болушу мүмкүн, жана анда натыйжа сервер аларды чечкен тартипке көз каранды. Жалпы атка кайра түшкөн колдонуучу атынын салыштыруусу реестр эч качан жактырбаган сертификатты үнсүз кабыл алат. Эффективдүү атты аны чыгарган буйруктун жанына жазыңыз, кийинки оператор тартипти кайра ачууга аргасыз болбосун. Ар бир салыштыруу үчүн бир туташууну сыноо арзан жана маселени чечет.

Салыштыруу эмне чыгарса да, ошол резервделе турган маани. CAда жалпы аттарды резервдеп, сервер колдонуучу аттарына таянып турса, туура эмес нерсени резервдейт.

Эки CA бир атты жактыра алат

VPN кызматы бирден ашык чыгаруучу органга ишениши мүмкүн, жана ар бир орган кайсы аттар алынгандыгы тууралуу өз түшүнүгүн сактайт. Эки көз карандысыз CA ар башка түзмөктөр үчүн бир жалпы атты жактыра алат, жана сервер эки сертификатты тең даттануусуз кабыл алат. Ишеним байламындагы ар бир органды тизмектеңиз, адатта чыгарган органды гана эмес. Жаңылыштык экинчи органдын сертификаты биринчи жолу колдонулганда көрүнөт.

Ушундай эле ой жүгүртүү жалпы аттын уникалдуулугунун ордуна толук субъектинин уникалдуулугун талап кылган CAга да тиешелүү.

Жалпы атты бөлүшүп, бирок уюштуруу бирдиги боюнча айырмаланган эки сертификаттын субъектилери башкача, ошондуктан CA кагылышууну билдирбейт, ал эми сервер бир атты көрөт. Демейки маанини божомолдоонун ордуна чыгаруучу куралыңыз чынында колдонгон параметрди текшериңиз. openssl ca документтериндеги unique_subject иштетүү ошол жердеги тиешелүү баскыч, жана ошол куралдын айланасындагы каптар аны адатта алмаштыруунун ордуна ачып берет.

Жаңыртуу – резервделген кайра колдонуу, кагылышуу эмес

Атты сактаган жаңыртуу атайын кайра колдонуу, жана реестр муну жөнөкөй сөз менен айтышы керек. Эски манжа изин жана жаңысын бир аттын астына жазыңыз, рецензент алмаштырууну басып алуудан ажырата алсын. Сервердин duplicate-cn опциясы буга тиешеси жок: ал бир мезгилдеги сессияларды жөнгө салат, каттоону же ат резервдөөнү эмес. Эки эсептик дарек канча убакыт жашай аларын жана эскиси качан кабыл алынбайын чечиңиз.

Алмаштырууну өткөрүп берүүдөн мурун сертификатта чынында эмне бар экенин кайра окуңуз. Субъект сабы – сервер салыштыра турган талаа, файл аты эмнени сунуштаса да.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Кайтаруу адатта сертификатты анын чыгаруучусунун астында аныктайт, ошондуктан бир сериялык номерди зейнетке чыгаруу ошол органдын туура чыгарган алмаштыруусуна таасир этпейт. Ушундай жүрүш-туруш таза жаңыртууга керек, жана бул да эки түзмөк бөлүшкөн атты кайтаруу тазалай албастыгынын себеби. Колдонуучу түзмөктү көрүүдөн мурун сыноо туташуусунда эффективдүү саясат атын жана берилген даректи текшериңиз. Андан кийин эски эсептик даректи атайын зейнетке чыгарып, муну жасаганыңызды жазыңыз.