Kodėl du OpenVPN sertifikatai gali dalytis viena CCD politika

CA gali pasirašyti du sertifikatus, kurie gauna tą pačią OpenVPN klientui būdingą konfigūraciją, ir niekas nė viename iš jų nieko neįspėja. Serijos numeriai skiriasi, raktai skiriasi, o pilni subjektai taip pat skiriasi, kai pasikeičia organizacinis padalinys. Serveris nustato kiekvieno kliento politiką per vieną vardą, ir tas vardas yra vienintelis dalykas, kuris turi būti unikalus.

Serveris nustato vardą, o ne serijos numerį

Įprastos sertifikatų paieškos metu serveris paima bendrą vardą iš pateikto sertifikato ir ieško client-config-dir įrašo su tuo vardu. Serijos numeris į paiešką niekada nepatenka. Du sertifikatai, kurie skiriasi visuose laukuose, išskyrus bendrą vardą, patenka į tą patį failą, todėl antrasis ryšys paveldi pirmojo įrenginio fiksuotą adresą ir stumiamus maršrutus.

Taip CA pusės unikalumo patikra praeina, nors VPN vis tiek susiduria. Abi patikros atsako į skirtingus klausimus.

Nuspręskite, koks turi būti efektyvusis vardas, prieš ką nors pasirašydami, ir užsirašykite jį prie įrenginio ar paskyros, kuriai jis priklauso. Vardo, savininko, paskirties ir sertifikato pirštų atspaudo registras apima daugumą diegimų. Be jo sertifikatų archyvas yra vienintelis įrašas, kuris vardas priklauso kuriam įrenginiui, ir tas archyvas negali atskirti įgalioto pakeitimo nuo antrojo įrenginio, pretenduojančio į esamą vardą. Rezervuokite vardą registracijos metu, po užraktu, jei du operatoriai gali išduoti vienu metu.

Kokį vardą susiejimas iš tikrųjų naudoja

Įprasta sertifikatų paieška naudoja bendrą vardą. Serveris, sukonfigūruotas susieti autentifikuotą naudotojo vardą, vietoj jo naudoja tą reikšmę, todėl sertifikato bendras vardas tampa nereikšmingas politikos pasirinkimui. Perskaitykite veikiančią konfigūraciją, kad pamatytumėte, kuris susiejimas galioja.

Abu susiejimai gali egzistuoti vienu metu, ir tada rezultatas priklauso nuo eilės, kuria serveris juos išsprendžia. Naudotojo vardo susiejimas, kuris grįžta prie bendro vardo, tyliai priims sertifikatą, kurio registras niekada nepatvirtino. Užrašykite efektyvųjį vardą prie komandos, kuri jį sukūrė, kad kitam operatoriui nereikėtų iš naujo atrasti eilės. Vieno ryšio vienam susiejimui testavimas yra pigus ir išsprendžia klausimą.

Kad ir ką susiejimas sukurtų, tai ir yra rezervuotina reikšmė. Rezervuoti bendrus vardus CA, kai serveris remiasi naudotojo vardais, reiškia rezervuoti ne tą dalyką.

Du CA gali patvirtinti tą patį vardą

VPN paslauga gali pasitikėti daugiau nei viena išduodančiąja institucija, ir kiekviena institucija turi savo supratimą, kurie vardai užimti. Du nepriklausomi CA gali abu patvirtinti tą patį bendrą vardą skirtingiems įrenginiams, ir serveris priima abu sertifikatus be priekaištų. Surašykite kiekvieną pasitikėjimo rinkinio instituciją, ne tik tą, iš kurios paprastai išduodate. Gedimas pasirodo pirmą kartą panaudojus antrosios institucijos sertifikatą.

Tas pats samprotavimas galioja CA, kuri reikalauja viso subjekto unikalumo, o ne bendro vardo unikalumo.

Du sertifikatai, turintys bendrą vardą, bet besiskiriantys organizaciniu padaliniu, turi skirtingus subjektus, todėl CA nepraneša konflikto, o serveris mato vieną vardą. Patikrinkite nustatymą, kurį jūsų išdavimo įrankis iš tikrųjų naudoja, užuot darę prielaidą apie numatytąją reikšmę. unique_subject tvarkymas openssl ca dokumentacijoje yra atitinkamas jungiklis ten, o to įrankio apvalkalai paprastai jį atskleidžia, o ne pakeičia.

Atnaujinimas yra rezervuotas pakartotinis naudojimas, o ne susidūrimas

Atnaujinimas, kuris išlaiko vardą, yra sąmoningas pakartotinis naudojimas, ir registras turėtų tai pasakyti paprastais žodžiais. Užrašykite seną pirštų atspaudą ir naują po vienu vardu, kad recenzentas galėtų atskirti pakeitimą nuo perėmimo. Serverio parinktis duplicate-cn nėra susijusi: ji reguliuoja lygiagrečias sesijas, o ne registraciją ar vardų rezervaciją. Nuspręskite, kiek laiko abu prisijungimo duomenys gali egzistuoti ir kada senasis nustos būti priimamas.

Prieš perduodami pakeitimą, perskaitykite, ką sertifikatas iš tikrųjų turi. Subjekto eilutė yra laukas, kurį serveris susies, kad ir ką siūlytų failo pavadinimas.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Atšaukimas paprastai identifikuoja sertifikatą pagal jo išdavėją, todėl vieno serijos numerio išėmimas nesudaro įtakos tinkamai išduotam tos pačios institucijos pakeitimui. Būtent tokio elgesio reikia švariai atnaujinimui, ir būtent todėl atšaukimas negali sutvarkyti vardo, kurį dalijasi du įrenginiai. Patikrinkite efektyvų politikos vardą ir priskirtą adresą bandomajame ryšyje, prieš naudotojui pamatant įrenginį. Tada sąmoningai išimkite seną prisijungimo duomenį ir užrašykite, kad tai padarėte.