Kāpēc divi OpenVPN sertifikāti var dalīt vienu CCD politiku

CA var parakstīt divus sertifikātus, kas iegūst to pašu OpenVPN klientam raksturīgo konfigurāciju, un nekas nevienā no abiem sertifikātiem nevienu nebrīdina. Sērijas numuri atšķiras, atslēgas atšķiras, un arī pilni subjekti atšķiras, tiklīdz mainās organizatoriskā vienība. Serveris nosaka politiku katram klientam caur vienu vārdu, un šis vārds ir vienīgais, kam jābūt unikālam.

Serveris nosaka vārdu, nevis sērijas numuru

Parastā sertifikāta meklēšanā serveris paņem parasto vārdu no uzrādītā sertifikāta un meklē client-config-dir ierakstu ar šo vārdu. Sērijas numurs meklēšanā nekad neiekļūst. Divi sertifikāti, kas atšķiras visos laukos, izņemot parasto vārdu, nonāk vienā failā, tāpēc otrais savienojums manto pirmās ierīces fiksēto adresi un nosūtītos maršrutus.

Tā CA puses unikalitātes pārbaude iztur, kamēr VPN joprojām saduras. Abas pārbaudes atbild uz dažādiem jautājumiem.

Izlemiet, kādam jābūt efektīvajam vārdam, pirms kaut ko parakstāt, un pierakstiet to blakus ierīcei vai kontam, kuram tas pieder. Reģistrs ar vārdu, īpašnieku, mērķi un sertifikāta pirkstu nospiedumu aptver lielāko daļu ieviešanu. Bez tā sertifikātu arhīvs ir vienīgais ieraksts par to, kurš vārds pieder kurai ierīcei, un šis arhīvs nevar atšķirt atļautu aizstāšanu no otras ierīces, kas pieprasa esošu vārdu. Rezervējiet vārdu reģistrācijas laikā, zem slēdzenes, ja divi operatori var izsniegt vienlaikus.

Kādu vārdu kartēšana patiešām izmanto

Parastā sertifikāta meklēšana izmanto parasto vārdu. Serveris, kas iestatīts autentificēta lietotājvārda kartēšanai, tā vietā izmanto šo vērtību, kas padara sertifikāta parasto vārdu politkas izvēlei nenozīmīgu. Izlasiet darbojošos konfigurāciju, lai redzētu, kura kartēšana ir spēkā.

Abas kartēšanas var pastāvēt vienlaikus, un tad rezultāts ir atkarīgs no secības, kādā serveris tās atrisina. Lietotājvārda kartēšana, kas atkrīt uz parasto vārdu, klusi pieņems sertifikātu, ko reģistrs nekad nav apstiprinājis. Ierakstiet efektīvo vārdu blakus komandai, kas to radīja, lai nākamajam operatoram nebūtu no jauna jāatklāj secība. Viena savienojuma pārbaude katrai kartēšanai ir lēta un izšķir jautājumu.

Lai ko kartēšana radītu, tā ir rezervējamā vērtība. Rezervēt parastos vārdus CA, kamēr serveris balstās uz lietotājvārdiem, nozīmē rezervēt nepareizo lietu.

Divi CA var apstiprināt vienu un to pašu vārdu

VPN pakalpojums var uzticēties vairāk nekā vienai izsniedzējiestādei, un katra iestāde patur savu priekšstatu par to, kuri vārdi ir aizņemti. Divi neatkarīgi CA var abi apstiprināt vienu un to pašu parasto vārdu dažādām ierīcēm, un serveris pieņem abus sertifikātus bez iebildumiem. Uzskaitiet katru uzticības paketes iestādi, ne tikai to, no kuras parasti izsniedzat. Kļūme parādās pirmajā reizē, kad tiek izmantots otrās iestādes sertifikāts.

Tas pats pamatojums attiecas uz CA, kas pieprasa visa subjekta unikalitāti, nevis parastā vārda unikalitāti.

Diviem sertifikātiem, kuriem ir kopīgs parastais vārds, bet atšķiras organizatoriskā vienība, ir dažādi subjekti, tāpēc CA neziņo par konfliktu, kamēr serveris redz vienu vārdu. Pārbaudiet iestatījumu, ko jūsu izsniegšanas rīks patiešām izmanto, tā vietā lai pieņemtu noklusējumu. unique_subject apstrāde openssl ca dokumentācijā ir attiecīgais slēdzis tur, un šī rīka apvalki parasti to atklāj, nevis aizstāj.

Atjaunošana ir rezervēta atkārtota izmantošana, nevis sadursme

Atjaunošana, kas saglabā vārdu, ir apzināta atkārtota izmantošana, un reģistram tas jāsaka vienkāršiem vārdiem. Ierakstiet veco pirkstu nospiedumu un jauno zem viena vārda, lai recenzents varētu atšķirt aizstāšanu no pārņemšanas. Servera opcija duplicate-cn nav saistīta: tā regulē vienlaicīgas sesijas, nevis reģistrāciju vai vārdu rezervācijas. Izlemiet, cik ilgi abi akreditācijas dati var pastāvēt un kad vecais vairs netiek pieņemts.

Pirms nododat aizstājēju, izlasiet, ko sertifikāts patiešām satur. Subjekta rinda ir lauks, ko serveris kartēs, lai ko arī liecinātu faila nosaukums.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Atsaukšana parasti identificē sertifikātu pie tā izsniedzēja, tāpēc viena sērijas numura izņemšana neietekmē pareizi izsniegtu tās pašas iestādes aizstājēju. Tieši šāda uzvedība ir nepieciešama tīrai atjaunošanai, un tieši tāpēc atsaukšana nevar sakārtot vārdu, ko dala divas ierīces. Pārbaudiet efektīvo politikas vārdu un piešķirto adresi testa savienojumā, pirms lietotājs redz ierīci. Pēc tam apzināti izņemiet vecos akreditācijas datus un ierakstiet, ka to izdarījāt.