Зошто два OpenVPN сертификати можат да делат една CCD политика

Еден CA може да потпише два сертификати што ја добиваат истата OpenVPN конфигурација специфична за клиентот, и ништо во ниту еден од двата сертификати не предупредува никого. Сериските броеви се разликуваат, клучевите се разликуваат, и целосните субјекти исто така се разликуваат штом ќе се смени организациска единица. Серверот ја одредува политиката по клиент преку едно име, и тоа име е единственото нешто што мора да биде единствено.

Серверот одредува име, а не сериски број

При обично пребарување на сертификат, серверот го зема заедничкото име од претставениот сертификат и бара запис во client-config-dir со тоа име. Серискиот број никогаш не влегува во пребарувањето. Два сертификати што се разликуваат во секое поле освен заедничкото име завршуваат во истата датотека, па втората врска го наследува фиксниот адрес и испратените рути на првиот уред.

Така проверката за единственост на страната на CA поминува додека VPN сѐ уште се судира. Двете проверки одговараат на различни прашања.

Одлучете какво треба да биде ефективното име пред да потпишете нешто, и запишете го до уредот или сметката на која припаѓа. Регистар со име, сопственик, цел и отпечаток на сертификатот покрива повеќето распоредувања. Без него архивата на сертификати е единствениот запис за тоа кое име припаѓа на кој уред, и таа архива не може да разликува овластена замена од втор уред што бара постоечко име. Резервирајте го името при регистрацијата, под заклучување ако два оператори можат да издаваат истовремено.

Кое име мапирањето навистина го користи

Обичното пребарување на сертификат го користи заедничкото име. Сервер поставен да мапира автентифицирано корисничко име наместо тоа ја користи таа вредност, што го прави заедничкото име на сертификатот неважно за изборот на политика. Прочитајте ја конфигурацијата што работи за да видите кое мапирање е во сила.

Двете мапирања можат да постојат истовремено, и тогаш резултатот зависи од редоследот по кој серверот ги решава. Мапирање на корисничко име што се враќа на заедничкото име тивко ќе прифати сертификат што регистарот никогаш не го одобрил. Запишете го ефективното име до командата што го создала, за да не мора следниот оператор повторно да го открива редоследот. Тестирањето на една врска по мапирање е ефтино и го решава прашањето.

Што и да создаде мапирањето, тоа е вредноста што треба да се резервира. Резервирањето заеднички имиња во CA додека серверот се потпира на кориснички имиња резервира погрешно нешто.

Два CA можат да одобрат исто име

VPN услугата може да верува на повеќе од еден издавачки орган, и секој орган го чува своето сфаќање за тоа кои имиња се зафатени. Два независни CA можат и двата да одобрат исто заедничко име за различни уреди, и серверот ги прифаќа двата сертификати без жалба. Направете попис на секој орган во доверливиот пакет, не само на оној од кој обично издавате. Дефектот се појавува првиот пат кога ќе се употреби сертификат од вториот орган.

Истото размислување важи и за CA што наметнува единственост на целосниот субјект наместо единственост на заедничкото име.

Два сертификати што делат заедничко име но се разликуваат во организациска единица имаат различни субјекти, па CA не пријавува конфликт додека серверот гледа едно име. Проверете го поставувањето што вашата алатка за издавање навистина го користи наместо да претпоставите стандардна вредност. ракувањето со unique_subject во документацијата на openssl ca е релевантното копче таму, и обвивките околу таа алатка обично го изложуваат наместо да го заменат.

Обновувањето е резервирано повторно користење, а не судир

Обновување што го задржува името е намерно повторно користење, и регистарот треба тоа да го каже со едноставни зборови. Запишете го стариот отпечаток и новиот под едно име, за да може рецензентот да разликува замена од преземање. Опцијата duplicate-cn на серверот е неважна: таа управува со истовремени сесии, а не со регистрација или резервации на имиња. Одлучете колку долго можат да постојат двете акредитиви и кога старата престанува да се прифаќа.

Пред да ја предадете замената, прочитајте што навистина содржи сертификатот. Редот на субјектот е полето што серверот ќе го мапира, што и да навестува името на датотеката.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Отповикувањето обично идентификува сертификат под неговиот издавач, па пензионирањето на еден сериски број не влијае на правилно издадена замена од истиот орган. Токму тоа однесување ѝ е потребно на чистото обновување, и токму затоа отповикувањето не може да исчисти име што го делат два уреда. Валидирајте го ефективното име на политиката и доделениот адрес на пробна врска пред корисникот да го види уредот. Потоа намерно пензионирајте ја старата акредитива и запишете дека сте го направиле тоа.