Een gemeinsamen Numm, zwee Zertifikater: Erlaabneslëscht oder Sperren?

E Laptop-Zertifikat ënner dem selwechten gemeinsamen Numm nei auszestellen fillt sech wéi en Ersatz un, an all een hëlt un, datt dat aalt schonn doud ass. Et ass net sou. Den Virgänger bleift en gültegt Zertifikat, dat vun der selwechter Autoritéit ënnerschriwwen ass, an all Kontroll, deen de Clienten iwwer den Numm zouloosst, wäert en och weider zouloossen. Wat eng Identitéitsprüfung vun enger Berechtegungsprüfung trennt, ass d'Seriennummer, an do gehéiert d'Reparatur hin.

Fänk mat der Benennungspolitik un, déi de Server benotzt

Zwee Kontrollen ginn duercherneen gehäit: e Client zouloossen, well e sech als een Ausgëtt, an een eenzelt Zertifikat aus dem Service huelen. Dat éischt ass eng Nummprüfung, dat zweet ass eng Sperrprüfung. Si beäntweren ënnerschiddlech Froen, an engem Deployment kann dat eng do sinn ouni dat aner.

Lies d'Serverkonfiguratioun an notéier, wéi eng Identitéitsquell am Spill ass. username-as-common-name mécht den authentifizéierten Benotzernumm zum effektiven Numm fir clientspezifesch Ufroen. Ouni dat gëtt de Sujet-Gemeinschaftsnumm aus dem Zertifikat benotzt. Wat d'Äntwert och ass, schreif se op, ier s de un enger Erlaabneslëscht rüselt.

Déi zwou Weeër ginn eng aner Rei vun erlaabten Nimm fir dat selwecht Zertifikat. Hei ze roden heescht déi falsch Datei z'änneren an ofzeschléissen, datt d'Kontroll net funktionnéiert.

Préif, wat e Client tatsächlech zouloosst

Eng client-config-dir mat enger passender Datei liwwert clientspezifesch Optiounen; eleng ass se keng Zouloussregel. D'Zouloosse vum Numm erfuerdert ccd-exclusive, wat Clienten ofleent, déi keng passend Datei hunn. Dat op engem lafende Deployment anzeschalten trennt jiddwereen of, deem säin Numm keng Datei huet, also ziel d'Dateien, ier s eppes ëmdréis.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

D'Zuel ass d'Prüfung: vergläich d'Verzeechneslëscht mat den Identitéiten, déi s erwaart ze verbannen.

Da bestäteg, datt all Dateinumm genau mat der effektiver Identitéit iwwerenee passt, inklusiv Grouss- a Klengschreifung a Spatien. office-laptop mécht näischt fir en Zertifikat, deem säi Sujet Office-Laptop liest. Spatien um Enn verstoppen sech och virun enger einfacher Lëscht, an dofir bleift eng Datei, déi präsent ausgesäit, ongelies.

Préif d'CRL, déi de Gateway lued

Eng CRL bezeechent gespaart Zertifikater iwwer den Aussteller an d'Seriennummer, wat d'Granularitéit ass, déi enger Nummprüfung feelt. Zwee Zertifikater kënnen en gemeinsamen Numm deelen an sech an der Seriennummer ënnerscheeden, an nëmmen eng Lëscht op Seriennummer-Niveau trennt se.

Bestäteg de konfiguréierte Wee, den Ausstellungsdatum an d'Feld vun der nächster Aktualiséierung, ier s der Datei iwwerhaapt vertraust.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Vergläich d'Seriennummer an der CRL mat der Seriennummer um Zertifikat, dat s wëlls behalen. Dee Verglach ass déi ganz Prüfung, an en eemol mat den Aen ze maachen ass méi wäert wéi engem Skript ze vertrauen, deen kee gelies huet. Verdeel d'aktualiséiert CRL iwwer de Wee, deen de Gateway schonn liest. Eng CRL am falschen Verzeechnes setzt näischt duerch, an et gëtt keen Client-Log se ernimmt.

Ersetz, da beweis béid Resultater

Stell den Ersatz ënner dem selwechten gemeinsamen Numm aus, notéier béid Seriennummeren, an eréischt dann sperr deen alen. Dee Reiefolleg hält eng funktionéierend Identitéit disponibel, während s d'Ännerung virbereet.

Test deen Ersatz als éischt: en soll sech authentifizéieren an alles erreechen, wouzou säin Numm berechtegt ass. Da test dat aalt Zertifikat a bestäteg, datt et refuséiert gëtt, well en erfollegräichen Ersatz näischt iwwer d'Sperr seet. Wa béid nach verbannen, gëtt d'Sperrinput net gelies oder déi al Seriennummer gouf ni opgezielt. Wa keng vun béide verbënnt, hues de d'Zouloussregel an net d'Berechtegung zerstéiert.

Sessiounen, déi schonn etabléiert sinn, sinn eng aner Saach, well d'Sperr nëmmen nei Authentifizéierunge betrëfft, ausser de Gateway ass och konfiguréiert, lafend Verbindungen ze trennen. Entscheet, ob eng direkt Entfernung noutwenneg ass, ier s se engem verspréchs.

Wat eng Nummprüfung ni ka maachen

Eng Erlaabneslëscht beäntwert, ob dës Identitéit ka verbannen. Se kann net soen, wéi ee Zertifikat déi Identitéit benotzt huet, an se wäert eng eeler Berechtegung zouloossen, sou laang wéi d'Berechtegung gülteg a net gespaart bleift. Dës Lück kënnt während engem Tëschefall eraus, wann den Ersatz viru Méint ausgestallt gouf an de Virgänger nach funktionéiert.

Wou eng Kontroll op Zertifikatsniveau gefuerdert ass, benotz e Mechanismus, deen d'Zertifikat nennt: CRL-Anträg oder en Verify-Hook, deen e Fangerofdrock préift, deen den Operateur ënnerhält. Béid kaschten Ënnerhalt, a béid si éierlech iwwer den Objet, deen se ënnersichen. OpenVPN 2.6 Handbuch dokumentéiert crl-verify an clientspezifesch Zoulouss als getrennt Optiounen, aus deem Grond.

Schreif op, wéi eng Kontroll wéi eng Aufgab mécht, da test de négative Fall. Eng Sperr, déi s ni gesinn hues eng Verbindung refuséieren, ass eng Konfiguratioun, op déi s hofft, datt se funktionnéiert.