OpenVPN client-config-dir: Dateinumm géint Zertifikats-CN

Zwee Nimm sinn am Spill, ier de Client iwwerhaapt verbënnt: den Dateinumm um Laptop (nuc.ovpn) an d'Identitéit, déi de Server aus dem Zertifikat ofleet. Eng client-config-dir-Sich benotzt déi zweet. De Profil um Client ëmbenennen oder .conf un d'Serverdatei bäisetzen ännert näischt dorunner, wéi eng Datei de Server opmécht.

Den nëtzlechen Verglach ass net „wéi en Numm hunn ech benotzt“, mä „wéi eng Regel den Server uwënnt“, well Zertifikatsauthentifizéierung a Benotzernumm/Passwuert-Authentifizéierung aus dem selwechte Login ënnerschiddlech effektiv Nimm kënne maachen.

Profilnumm géint de Common Name vum Zertifikat

An der Standard-Zertifikatskonfiguratioun hëlt de Server den X.509-Common-Name a sicht eng Datei mat genee deem Numm bannen client-config-dir. E Profil mam Numm nuc.ovpn, deem säi Zertifikat tester seet, gëtt op /etc/openvpn/server/ccd/tester opgeléist. Den Numm vun der Clientdatei kënnt ni an d'Berechnung. Dat ass déi éischt Plaz, wou sech eng Onstëmmegkeet verstoppt.

En Dossier voller suergfälteg benannte Profiller kann dofir all Kéier danebegräifen. D'Datei gëtt net no Subject, net no E-Mail-Adress an net no dem Numm an enger GUI verglach; si gëtt no der Common-Name-Zeechenketten verglach.

Op engem Dateiesystem, deen tëschent Grouss- a Klengschreiwen ënnerscheet, sinn Tester an tester zwou verschidden Dateien, an et gëtt nëmmen eng opgemaach. Préift den Common Name aus dem Zertifikat, deen de Client tatsächlech virleet, net aus enger Kopie an Ären Notizen.

username-as-common-name dréit d'Regel ëm

Wann de Server eng Benotzernumm/Passwuert-Authentifizéierung mat username-as-common-name lafe léisst, ersetzt de authentifizéierte Benotzernumm fir dës Sich den Common Name vum Zertifikat.

Vergläicht déi zwou Fäll direkt: bei Zertifikatsidentitéit follegt d'Datei dem Zertifikat an eng Passwuertännerung ass irrelevant; bei Benotzernumm-Identitéit follegt d'Datei dem Login-Numm an eng Neiausstellung vum Zertifikat ass irrelevant. Dat Feld, dat de Server ersetzt, ass dat, géint dat ëmbenannt muss ginn. En nei ausgestallte Zertifikat mat engem neien CN ännert d'Sichzil stëll, an déi al CCD-Datei bleift op der Plack a gesäit richteg aus.

Et gëtt gemëscht Konfiguratiounen, an do fänkt de gréissten Deel vum Duercherneen un. Wann ee Servicebloc d'Ersetzung aschalt an en aneren net, hänkt den effektiven Numm dovun of, wéi eng Instanz d'Verbindung behandelt huet. Bestätegt déi aktiv Konfiguratioun, amplaz unzehuelen, datt déi global Datei gëllt. Déi ursprénglech Referenz vun de Serveroptiounen dokumentéiert d'Sich no der benannter Datei an de fakultativen Zeréckgrëff.

Wat de Server liest a wat e stëll iwwerspréngt

Zwou kleng Ënnerscheeder entscheeden, ob eng Datei ausgesicht gëtt. Déi éischt ass eng ugehaachten Extensioun. Déi zweet ass en eenzele Charakter am Numm.

OpenVPN hängt .conf net un den Numm un, deen et sicht, dofir passt tester.conf net zu tester. En Editeur, deen Extensiounen ausblendet, kann eng Datei hannerloossen, déi an enger Lëscht richteg ausgesäit an ni passt.

Wann et keng passend Datei gëtt, kann de Server op eng Datei mam Numm DEFAULT zeréckgräifen. Datt e puer Astellungen ukommen, ass dofir kee Beweis, datt d'Datei pro Client benotzt gouf. Vergläicht déi zougewisen Adress oder déi gedréckt Strecken mat deem, wat d'Datei pro Client géif produzéieren. D'Berechtegungen sinn den drëtte Filter, well de Server d'Datei opmécht, nodeems e seng Privilegien opginn huet; eng Root-Shell déi se liese kann, beweist näischt.

E richtegen Dateinumm validéiert den Inhalt net

Auswiel an Inhalt si getrennt Feeler. Nodeems déi richteg Datei opgemaach ass, musse seng Direktiven nach ëmmer fir dee Client gülteg sinn.

ifconfig-push muss eng Adress zouweisen, déi d'Topologie wierklech ka benotzen, an iroute gëtt nëmmen e Sënn fir en gerouteten Subnetz hannert deem Client.

Eng Identitéit, verschidde Geräter

Zwee Laptopen, déi dee selwechte Common Name virleeën, wielen déiselwecht Datei a kréien déiselwecht clientspezifesch Astellungen. Wann Dir separat Adressen oder eng separat Revokatioun braucht, braucht Dir separat Identitéiten, net zwou Kopië vun enger Datei.

De Verglach ass tëschent dem Deelen vun enger Identitéit an dem Ausstelle vun engem Zertifikat pro Gerät. Deelen ass méi einfach ze administréieren a méi graff ze revokéieren, wärend Zertifikater pro Gerät méi Opstellung kaschten an Iech eng propper Eenheet ginn, déi Dir kënnt deaktivéieren.