Firwat zwee OpenVPN-Zertifikater eng CCD-Richtlinn deele kënnen

Eng CA kann zwee Zertifikater ënnerschreiwen, déi déi selwecht OpenVPN clientspezifesch Konfiguratioun kréien, an näischt an engem vun deenen zwee Zertifikater warnt een. D'Seriennummeren ënnerscheeden sech, d'Schlëssel ënnerscheeden sech, an d'vollstänneg Sujeten ënnerscheede sech och, soubal eng Organisatiounseenheet ännert. De Server entscheet d'Politik pro Client iwwer een Numm, an deen Numm ass dat eenzegt, wat eenzegaarteg muss sinn.

De Server léist en Numm op, net eng Seriennummer

Bei der einfacher Zertifikatssich hëlt de Server de Common Name aus dem virgeluechten Zertifikat a sicht eng client-config-dir-Androuung mat deem Numm. D'Seriennummer kënnt ni an d'Sich. Zwee Zertifikater, déi sech an all Feld ausser dem Common Name ënnerscheeden, landen an der selwechter Datei, sou datt déi zweet Verbindung d'fest Adress an déi gedréckt Routen vum éischten Apparat ierft.

Sou geet eng Eenzegaartegkeetskontroll op der CA-Säit duerch, wärend de VPN nach ëmmer kollidéiert. Déi zwou Kontrolle beäntweren ënnerschiddlech Froen.

Entscheet, wat den effektiven Numm soll sinn, ier Dir eppes ënnerschreift, an hält en nieft dem Apparat oder Kont fest, zu deem en gehéiert. E Register aus Numm, Besëtzer, Zweck an Zertifikatsfangerofdrock deckt déi meescht Deployementer of. Ouni dat ass den Zertifikatsarchiv den eenzegen Nowäis, wéi en Numm zu wéi engem Apparat gehéiert, an deen Archiv kann en autoriséierte Ersatz net vun engem zweeten Apparat ënnerscheeden, dee en existéierenden Numm beusprocht. Reservéiert den Numm bei der Umeldung, ënner engem Schloss, wann zwee Bedreiwer gläichzäiteg ausstelle kënnen.

Wéi en Numm d'Mapéierung tatsächlech benotzt

Déi einfach Zertifikatssich benotzt de Common Name. E Server, dee fir d'Mapéiere vun engem authentifizéierte Benotzernumm ageriicht ass, benotzt deen Wäert amplaz, wat den Common Name vum Zertifikat fir d'Politikauswiel irrelewant mécht. Liest déi lafend Konfiguratioun, fir ze gesinn wéi eng Mapéierung gëllt.

Déi zwou Mapéierunge kënnen zur selwechter Zäit präsent sinn, an dann hänkt d'Resultat vun der Reihenfolleg of, an där de Server se opléist. Eng Benotzernumm-Mapéierung, déi op de Common Name zréckfält, akzeptéiert roueg en Zertifikat, dat d'Register ni genehmegt huet. Schreift den effektiven Numm nieft de Befehl, deen en erstallt huet, sou datt den nächsten Bedreiwer d'Reihenfolleg net nei entdecke muss. Eng Verbindung pro Mapéierung ze testen ass bëlleg an entscheet d'Fro.

Wat och ëmmer d'Mapéierung produzéiert, dat ass de Wäert, deen ze reservéieren ass. Common Name an der CA reservéieren, wärend de Server op Benotzernimm setzt, reservéiert dat Falscht.

Zwou CA kënnen deen selwechten Numm genehmegen

E VPN-Service kann méi wéi enger ausstellender Autoritéit vertrauen, an all Autoritéit hält seng eege Iddi, wéi eng Nimm geholl sinn. Zwou onofhängeg CA kënnen allebéid deen selwechten Common Name fir verschidde Apparater genehmegen, an de Server akzeptéiert béid Zertifikater ouni Beschwäerb. Inventariséiert all Autoritéit am Vertrauensbündel, net nëmmen déi, vun där Dir normalerweis ausstellt. De Feeler weist sech déi éischte Kéier, wéi en Zertifikat vun der zweeter Autoritéit benotzt gëtt.

Déi selwecht Begrënnung gëllt fir eng CA, déi Vollsuject-Eenzegaartegkeet amplaz Common-Name-Eenzegaartegkeet duerchsetzt.

Zwee Zertifikater, déi en Common Name deelen, awer an der Organisatiounseenheet ënnerscheeden, hunn ënnerschiddlech Sujeten, sou datt d'CA kee Konflikt mellt, wärend de Server een Numm gesäit. Kontrolléiert d'Astellung, déi ären Ausstellungsinstrument tatsächlech benotzt, amplaz eng Standardannahm ze maachen. D'Behandlung vum unique_subject an der openssl ca-Dokumentatioun ass dee relevante Schalter do, an d'Wrapper ronderëm deen Instrument leeën en normalerweis oppen, amplaz en z'ersetzen.

Renovéierung ass eng reservéiert Widderbenotzung, keng Kollisioun

Eng Renovéierung, déi den Numm behält, ass eng bewosst Widderbenotzung, an d'Register sollt dat a kloren Wierder soen. Hält den ale Fangerofdrock an den neien ënner engem eenzegen Numm fest, sou datt e Rezensent en Ersatz vun enger Iwwernahm ënnerscheede kann. D'duplicate-cn-Optioun vum Server ass onofhängeg dovun: si regelt gläichzäiteg Sessiounen, net Umeldung oder Nummreservatiounen. Entscheet, wéi laang béid Umeldungsdaten däerfe bestoen a wéini déi al net méi akzeptéiert gëtt.

Ier Dir den Ersatz iwwergitt, liest zréck, wat d'Zertifikat tatsächlech enthält. D'Sujetlinn ass d'Feld, dat de Server abilt, wat och ëmmer den Dateinumm suggeréiert.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Eng Widderruffung identifizéiert e Zertifikat normalerweis ënner sengem Aussteller, sou datt d'Pensionéiere vun enger Seriennummer engem korrekt ausgestallten Ersatz vun der selwechter Autoritéit net schuet. Genee dee Verhalen brauch eng propper Renovéierung, an dofir kann eng Widderruffung keen Numm botzen, deen zwee Apparater deelen. Validéiert den effektiven Politiknumm an déi zougewisen Adress op enger Testverbindung, ier de Benotzer den Apparat gesäit. Pensionéiert duerno déi al Umeldungsdaten bewosst a notéiert, datt Dir dat gemaach hutt.