OpenVPN client-config-dir: faila nosaukums pret sertifikāta CN

Divi nosaukumi ir spēlē jau pirms klienta pievienošanās: faila nosaukums klēpjdatorā (nuc.ovpn) un identitāte, ko serveris iegūst no akreditācijas datiem. client-config-dir meklēšana izmanto otro. Profila pārdēvēšana klientā vai .conf pievienošana servera failam nemaina neko tajā, kuru failu serveris atver.

Noderīgais salīdzinājums nav «kuru nosaukumu es izmantoju», bet «kuru noteikumu serveris piemēro», jo autentifikācija ar sertifikātu un autentifikācija ar lietotājvārdu/paroli var radīt atšķirīgus faktiskos nosaukumus no vienas un tās pašas pieteikšanās.

Profila nosaukums pret sertifikāta parasto nosaukumu

Noklusējuma sertifikātā balstītā iestatījumā serveris ņem X.509 parasto nosaukumu un meklē failu ar tieši šo nosaukumu client-config-dir iekšienē. Profils ar nosaukumu nuc.ovpn, kura sertifikāts saka tester, tiek atrisināts uz /etc/openvpn/server/ccd/tester. Klienta faila nosaukums nekad neietilpst aprēķinā. Šī ir pirmā vieta, kur slēpjas neatbilstība.

Tāpēc direktorijs, pilns ar rūpīgi nosauktiem profiliem, var izlaist katru reizi. Fails tiek saskaņots nevis pēc subject, ne pēc e-pasta adreses, ne pēc GUI redzamā nosaukuma; tas tiek saskaņots pēc parastā nosaukuma virknes.

Failu sistēmā, kas šķir lielos un mazos burtus, Tester un tester ir divi dažādi faili, un tiek atvērts tikai viens. Pārbaudiet parasto nosaukumu sertifikātā, ko klients faktiski uzrāda, nevis savu piezīmju kopijā.

username-as-common-name apgriež noteikumu

Kad serveris izmanto lietotājvārda/paroles autentifikāciju ar username-as-common-name, autentificētais lietotājvārds aizstāj sertifikāta parasto nosaukumu šai meklēšanai.

Salīdziniet abus gadījumus tieši: ar sertifikāta identitāti fails seko sertifikātam un paroles maiņa nav svarīga; ar lietotājvārda identitāti fails seko pieteikšanās vārdam un sertifikāta atkārtota izsniegšana nav svarīga. Kurš lauks serverim tiek aizstāts, pēc tā arī jāpārdēvē. Atkārtoti izsniegts sertifikāts ar jaunu CN klusi maina meklēšanas mērķi, un vecais CCD fails paliek diskā un izskatās pareizi.

Pastāv jauktas konfigurācijas, un tieši tur sākas lielākā daļa apjukuma. Ja viens pakalpojuma bloks ieslēdz aizstāšanu, bet otrs ne, faktiskais nosaukums ir atkarīgs no tā, kura instance apstrādāja savienojumu. Apstipriniet aktīvo konfigurāciju, nevis pieņemiet, ka darbojas globālais fails. Oriģinālā servera opciju uzziņa apraksta meklēšanu pēc nosauktā faila un neobligāto rezerves variantu.

Ko serveris lasa un ko tas klusi izlaiž

Par to, vai fails tiks atlasīts, izšķiras divas nelielas atšķirības. Pirmā ir pievienots paplašinājums. Otrā ir nejauša rakstzīme nosaukumā.

OpenVPN nepievieno .conf meklētajam nosaukumam, tāpēc tester.conf neatbilst tester. Redaktors, kas slēpj paplašinājumus, var atstāt failu, kas sarakstā izskatās pareizi un nekad neatbilst.

Ja nav atbilstoša faila, serveris var pāriet uz failu ar nosaukumu DEFAULT. Tāpēc dažu iestatījumu saņemšana nav pierādījums, ka tika izmantots fails konkrētajam klientam. Salīdziniet piešķirto adresi vai uzstumtos maršrutus ar to, ko dotu fails konkrētajam klientam. Atļaujas ir trešais filtrs, jo serveris atver failu pēc tam, kad ir atteicies no privilēģijām; root čaula, kas to var nolasīt, neko nepierāda.

Pareizs faila nosaukums neapstiprina saturu

Atlase un saturs ir atsevišķi bojājumi. Kad pareizais fails ir atvērts, tā direktīvām joprojām jābūt derīgām šim klientam.

ifconfig-push ir jāpiešķir adrese, ko topoloģija patiešām var izmantot, un iroute ir jēga tikai maršrutētam apakštīklam aiz šī klienta.

Viena identitāte, vairākas ierīces

Divi klēpjdatori, kas uzrāda vienu un to pašu parasto nosaukumu, izvēlas vienu un to pašu failu un saņem vienus un tos pašus klientam raksturīgos iestatījumus. Ja jums vajadzīgas atsevišķas adreses vai atsevišķa atsaukšana, jums vajadzīgas atsevišķas identitātes, nevis divas viena faila kopijas.

Salīdzinājums ir starp identitātes koplietošanu un viena sertifikāta izsniegšanu katrai ierīcei. Koplietošana ir vienkāršāka administrēšanā un rupjāka atsaukšanā, savukārt sertifikāti katrai ierīcei prasa vairāk iestatīšanas un dod jums tīru vienību, ko atspējot.