OpenVPN client-config-dir: име на датотека наспроти CN на сертификатот

Две имиња се во игра пред клиентот воопшто да се поврзе: името на датотеката на преносниот сметач (nuc.ovpn) и идентитетот што серверот го изведува од уверението. Пребарувањето во client-config-dir го користи второто. Преименувањето на профилот на клиентот или додавањето .conf на серверската датотека не менува ништо во тоа која датотека ја отвора серверот.

Корисната споредба не е «кое име го употребив» туку «кое правило го применува серверот», бидејќи автентикацијата со сертификат и автентикацијата со корисничко име/лозинка можат да дадат различни ефективни имиња од истото најавување.

Име на профил наспроти заедничко име на сертификатот

Во стандардното поставување засновано на сертификат, серверот го зема X.509 заедничкото име и бара датотека со точно тоа име внатре во client-config-dir. Профил по име nuc.ovpn чиј сертификат вели tester се разрешува во /etc/openvpn/server/ccd/tester. Името на клиентската датотека никогаш не влегува во пресметката. Тоа е првото место каде што се крие неусогласеност.

Затоа директориум полн со внимателно именувани профили може да промаши секој пат. Датотеката не се совпаѓа по subject, по е-пошта или по името прикажано во GUI; се совпаѓа по низата на заедничкото име.

На систем на датотеки што прави разлика меѓу мали и големи букви, Tester и tester се две различни датотеки и се отвора само едната. Проверете го заедничкото име од сертификатот што клиентот навистина го презентира, а не од копија во вашите белешки.

username-as-common-name го превртува правилото

Кога серверот извршува автентикација со корисничко име/лозинка со username-as-common-name, автентицираното корисничко име го заменува заедничкото име на сертификатот за ова пребарување.

Споредете ги двата случаи директно: со идентитет од сертификат, датотеката го следи сертификатот и промената на лозинката е неважна; со идентитет од корисничко име, датотеката го следи името за најава и повторното издавање на сертификатот е неважно. Кое поле серверот го заменува, според него треба да се преименува. Повторно издаден сертификат со нов CN тивко ја менува целта на пребарувањето, а старата CCD-датотека останува на дискот и изгледа исправно.

Постојат мешани конфигурации и токму таму започнува најголемиот дел од конфузијата. Ако еден сервисен блок ја вклучува замената, а друг не, ефективното име зависи од тоа која инстанца ја обработила врската. Потврдете ја активната конфигурација наместо да претпоставувате дека важи глобалната датотека. Изворната референца за серверски опции го документира пребарувањето по именувана датотека и опционалниот резервен излез.

Што чита серверот и што тивко прескокнува

Две мали разлики одлучуваат дали датотека ќе биде избрана. Првата е додадена наставка. Втората е залутан знак во името.

OpenVPN не додава .conf на името што го бара, па tester.conf не се совпаѓа со tester. Уредувач што ги крие наставките може да остави датотека што изгледа исправно во список и никогаш не се совпаѓа.

Кога нема соодветна датотека, серверот може да се врати на датотека по име DEFAULT. Затоа пристигнувањето на некои поставки не е доказ дека е користена датотеката за конкретниот клиент. Споредете ја доделената адреса или турнатите рути со она што би го дала датотеката за конкретниот клиент. Дозволите се третиот филтер, бидејќи серверот ја отвора датотеката откако ќе се откаже од привилегии; root-школка што може да ја прочита не докажува ништо.

Исправното име на датотека не ја потврдува содржината

Изборот и содржината се одделни дефекти. Откако ќе се отвори вистинската датотека, нејзините директиви мора да бидат валидни за тој клиент и понатаму.

ifconfig-push мора да додели адреса што топологијата навистина може да ја користи, а iroute има смисла само за рутирана подмрежа зад тој клиент.

Еден идентитет, повеќе уреди

Два преносни сметачи што го презентираат истото заедничко име избираат иста датотека и добиваат исти поставки специфични за клиентот. Ако ви требаат одделни адреси или одделно отповикување, ви требаат одделни идентитети, а не две копии од една датотека.

Споредбата е помеѓу споделување на идентитет и издавање на еден сертификат по уред. Споделувањето е поедноставно за администрирање и погрубо за отповикување, додека сертификатите по уред бараат повеќе поставување и ви даваат чиста единица за онеспособување.