OpenVPN client-config-dir: failo pavadinimas ar sertifikato CN

Du vardai dalyvauja dar prieš klientui prisijungiant: failo pavadinimas nešiojamajame kompiuteryje (nuc.ovpn) ir tapatybė, kurią serveris išveda iš prisijungimo duomenų. client-config-dir paieška naudoja antrąjį. Profilio pervadinimas kliente arba .conf pridėjimas prie serverio failo nieko nekeičia tame, kurį failą serveris atidaro.

Naudingas palyginimas yra ne „kokį vardą naudojau“, o „kokią taisyklę taiko serveris“, nes autentifikacija sertifikatu ir autentifikacija naudotojo vardu/slaptažodžiu gali duoti skirtingus faktinius vardus iš to paties prisijungimo.

Profilio vardas ir sertifikato bendrasis vardas

Pagal numatytąją sertifikatu pagrįstą sąranką serveris paima X.509 bendrąjį vardą ir ieško failo tiksliai tokiu vardu client-config-dir kataloge. Profilis pavadinimu nuc.ovpn, kurio sertifikate nurodyta tester, išsprendžiamas į /etc/openvpn/server/ccd/tester. Kliento failo pavadinimas niekada nepatenka į skaičiavimą. Tai pirmoji vieta, kurioje slypi neatitikimas.

Todėl katalogas, pilnas kruopščiai pavadintų profilių, gali nepataikyti kiekvieną kartą. Failas derinamas ne pagal subject, ne pagal el. pašto adresą ir ne pagal GUI rodomą vardą; jis derinamas pagal bendrojo vardo eilutę.

Failų sistemoje, kuri skiria didžiąsias ir mažąsias raides, Tester ir tester yra du skirtingi failai, ir atidaromas tik vienas. Tikrinkite bendrąjį vardą tame sertifikate, kurį klientas iš tikrųjų pateikia, o ne savo užrašų kopijoje.

username-as-common-name apverčia taisyklę

Kai serveris vykdo autentifikaciją naudotojo vardu/slaptažodžiu su username-as-common-name, autentifikuotas naudotojo vardas pakeičia sertifikato bendrąjį vardą šiai paieškai.

Palyginkite abu atvejus tiesiogiai: su sertifikato tapatybe failas seka sertifikatą, o slaptažodžio keitimas neturi reikšmės; su naudotojo vardo tapatybe failas seka prisijungimo vardą, o sertifikato išdavimas iš naujo neturi reikšmės. Kurį lauką serveris pakeičia, pagal jį ir reikia pervadinti. Iš naujo išduotas sertifikatas su nauju CN tyliai pakeičia paieškos tikslą, o senas CCD failas lieka diske ir atrodo teisingai.

Egzistuoja mišrios konfigūracijos, ir būtent ten prasideda didžioji dalis sumaišties. Jei vienas paslaugos blokas įjungia pakeitimą, o kitas ne, faktinis vardas priklauso nuo to, kuri kopija apdorojo ryšį. Patvirtinkite aktyvią konfigūraciją, o ne manykite, kad galioja bendrasis failas. Originali serverio parinkčių nuoroda dokumentuoja paiešką pagal pavadintą failą ir neprivalomą atsarginį variantą.

Ką serveris skaito ir ką jis tyliai praleidžia

Ar failas bus pasirinktas, sprendžia du nedideli skirtumai. Pirmasis yra pridėtas plėtinys. Antrasis yra atsitiktinis ženklas pavadinime.

OpenVPN neprideda .conf prie ieškomo pavadinimo, todėl tester.conf neatitinka tester. Redaktorius, kuris slepia plėtinius, gali palikti failą, kuris sąraše atrodo teisingai ir niekada neatitinka.

Kai nėra atitinkančio failo, serveris gali pereiti prie failo pavadinimu DEFAULT. Todėl kai kurių nustatymų gavimas nėra įrodymas, kad buvo naudojamas failas konkrečiam klientui. Palyginkite priskirtą adresą arba stumiamus maršrutus su tuo, ką duotų failas konkrečiam klientui. Teisės yra trečiasis filtras, nes serveris atidaro failą atsisakęs privilegijų; root apvalkalas, galintis jį perskaityti, nieko neįrodo.

Teisingas failo pavadinimas nepatvirtina turinio

Pasirinkimas ir turinys yra atskiros gedimų rūšys. Atidarius teisingą failą, jo direktyvos vis tiek turi būti galiojančios tam klientui.

ifconfig-push turi priskirti adresą, kurį topologija iš tikrųjų gali naudoti, o iroute turi prasmę tik maršrutizuotam potinkliui už to kliento.

Viena tapatybė, keli įrenginiai

Du nešiojamieji kompiuteriai, pateikiantys tą patį bendrąjį vardą, pasirenka tą patį failą ir gauna tuos pačius klientui būdingus nustatymus. Jei jums reikia atskirų adresų ar atskiro atšaukimo, reikia atskirų tapatybių, o ne dviejų vieno failo kopijų.

Palyginimas yra tarp tapatybės bendrinimo ir vieno sertifikato vienam įrenginiui išdavimo. Bendrinimą lengviau administruoti ir grubiau atšaukti, o sertifikatai vienam įrenginiui reikalauja daugiau sąrankos ir suteikia švarų vienetą, kurį galima išjungti.