രണ്ട് OpenVPN സർട്ടിഫിക്കറ്റുകൾ, ഒരു CCD പേര്: എന്താണ് തെറ്റായത്

വ്യത്യസ്ത സീരിയൽ നമ്പറുകളും വ്യത്യസ്ത കീകളും വ്യത്യസ്ത പൂർണ്ണ വിഷയങ്ങളും ഉള്ള രണ്ട് ക്ലയന്റ് സർട്ടിഫിക്കറ്റുകൾക്ക് ഇപ്പോഴും ഒരൊറ്റ നയ ഫയലിൽ എത്താം, കാരണം സർവർ അവയിലൊന്നും നോക്കുന്നില്ല. അത് സർട്ടിഫിക്കറ്റിൽ നിന്ന് ഒരു പേര് വായിച്ച് അതിന് യോജിക്കുന്ന ക്ലയന്റ് കോൺഫിഗ് ഫയൽ തുറക്കുന്നു. രണ്ട് സർട്ടിഫിക്കറ്റുകൾക്കും ഒരേ പേരുണ്ടെങ്കിൽ, രണ്ടാമത്തേത് ബന്ധിപ്പിക്കുന്ന നിമിഷത്തിൽ തന്നെ ആദ്യത്തേതിന്റെ നയം അനുഭവിക്കുന്നു.

കൂട്ടിയിടി രജിസ്ട്രേഷൻ സമയത്ത് സൃഷ്ടിക്കപ്പെടുകയും ബന്ധിപ്പിക്കുമ്പോൾ മാത്രം കണ്ടെത്തുകയും ചെയ്യുന്നു, സാധാരണയായി ഒരു ഉപകരണത്തിന് മറ്റൊരു മെഷീനുടെ വിലാസമോ റൂട്ട് സെറ്റോ ലഭിക്കുമ്പോൾ. അത് തടയാൻ സർവർ ഏത് ഫീൽഡ് മാപ്പ് ചെയ്യുന്നു എന്നതിൽ യോജിക്കുകയും, എന്തെങ്കിലും ഒപ്പിടുന്നതിന് മുമ്പ് ആ മൂല്യം റിസർവ് ചെയ്യുകയും വേണം.

നിങ്ങളുടെ സർട്ടിഫിക്കറ്റ് ടൂളുകൾ മുന്നറിയിപ്പ് നൽകില്ല, കാരണം X.509-നുള്ളിലെ അദ്വിതീയതയും OpenVPN നയ നാമത്തിന്റെ അദ്വിതീയതയും വ്യത്യസ്ത സിസ്റ്റങ്ങൾ നടപ്പാക്കുന്ന വ്യത്യസ്ത ആവശ്യകതകളാണ്.

സർവർ ഒരു പേര് തിരയുന്നു, വിരലടയാളമല്ല

സാധാരണ സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ മാപ്പിംഗിൽ, സർവർ അവതരിപ്പിച്ച സർട്ടിഫിക്കറ്റിൽ നിന്ന് പൊതുവായ പേര് എടുത്ത് തന്റെ ക്ലയന്റ് കോൺഫിഗ് ഡയറക്ടറിയിൽ ആ പേരുള്ള ഫയൽ തിരയുന്നു. ആ ഫയലിന് സ്ഥിര വിലാസം പിൻ ചെയ്യാനും റൂട്ടുകൾ പുഷ് ചെയ്യാനും ഓരോ ക്ലയന്റിനും ഫയർവാൾ അടയാളങ്ങൾ പ്രയോഗിക്കാനും കഴിയും. തിരയൽ ഫയൽ നാമവുമായുള്ള സ്ട്രിംഗ് പൊരുത്തമാണ്, അതിനാൽ അക്ഷരവലിപ്പം, ഇടവേളകൾ, വിരാമചിഹ്നങ്ങൾ എല്ലാം പ്രധാനമാണ്.

ചില വിന്യാസങ്ങൾ ബോധപൂർവ്വം മാപ്പിംഗ് മാറ്റുന്നു, അതുവഴി സാക്ഷ്യപ്പെടുത്തിയ ഉപയോക്തൃനാമം പൊതുവായ പേരിന്റെ സ്ഥാനം ഏൽക്കുന്നു, അപ്പോൾ അദ്വിതീയമായിരിക്കേണ്ടത് ഉപയോക്തൃനാമമാണ്. ഏതായാലും, നയം തിരഞ്ഞെടുക്കുന്ന മൂല്യമാണ് നിങ്ങൾ റിസർവ് ചെയ്യുന്ന മൂല്യം. എന്തെങ്കിലും ഇഷ്യൂ ചെയ്യുന്നതിന് മുമ്പ് ഏതാണെന്ന് തീരുമാനിക്കുക; കൂട്ടിയിടിക്ക് ശേഷം ഊഹിക്കുന്നത് ചോദിക്കുന്നതിനേക്കാൾ ചെലവേറിയതാണ്.

രണ്ട് അധികാരികൾ ഒരേ പേരിൽ കണ്ടുമുട്ടുന്നിടത്ത്

ഒന്നിലധികം ഇഷ്യൂയിംഗ് അധികാരികളിൽ നിന്ന് സർട്ടിഫിക്കറ്റുകൾ സ്വീകരിക്കുന്ന ഒരു സ്ഥാപനം ഒരേ നാമമേഖലയിലേക്ക് എഴുതുന്ന രണ്ട് സ്വതന്ത്ര രജിസ്ട്രേഷൻ പ്രക്രിയകൾ നടത്തുന്നു. ഓരോ അധികാരിയുടെയും സ്വന്തം അദ്വിതീയതാ നിയമങ്ങൾ അതിനുള്ളിൽ പ്രാബല്യത്തിൽ വരുന്നു, അതിനാൽ രണ്ടും ഒരേ പൊതുവായ പേരിന് നിയമാനുസൃതമായി ഇഷ്യൂ ചെയ്യാം, ആർക്കും തെറ്റായി ഒന്നും ശ്രദ്ധയിൽപ്പെടുന്നില്ല.

സീരിയൽ നമ്പറുകൾ സഹായിക്കുന്നില്ല. X.509 സീരിയൽ നമ്പർ അതിന്റെ ഇഷ്യൂവറുടെ പരിധിക്കുള്ളിൽ അദ്വിതീയമായിരിക്കണമെന്ന് ആവശ്യപ്പെടുന്നു, അത് ആ അധികാരിയുടെ കണക്കെഴുത്തിന്റെ സ്വഭാവമാണ്, ഉപകരണത്തിന്റെ ആഗോള ഐഡന്റിറ്റിയല്ല. വിഷയ പരിശോധനയും പൊതുനാമ പരിശോധനയിൽ നിന്ന് വ്യത്യസ്തമായ ഒരു പരീക്ഷണമാണ്: രണ്ട് സർട്ടിഫിക്കറ്റുകൾക്ക് ഒരു CN പങ്കിടാം, എന്നാൽ ഓർഗനൈസേഷണൽ യൂണിറ്റിൽ വ്യത്യാസപ്പെടാം, അതിനാൽ വ്യത്യസ്ത വിഷയങ്ങൾ വഹിക്കാം. ഈ സവിശേഷതകളെല്ലാം നിലനിൽക്കുമ്പോഴും സർവർ രണ്ട് സർട്ടിഫിക്കറ്റുകളെയും ഒരേ ഫയൽ നാമത്തിലേക്ക് മാപ്പ് ചെയ്യുന്നു.

OpenSSL CA ഡോക്യുമെന്റേഷൻ അതിന്റെ സ്വന്തം ഡാറ്റാബേസിന്റെ അഭിപ്രായം നിയന്ത്രിക്കുന്ന unique_subject ക്രമീകരണം ഉൾക്കൊള്ളുന്നു, സത്യസന്ധമായ ആരംഭം നിങ്ങളുടെ ഇഷ്യൂയിംഗ് കോൺഫിഗറേഷൻ വായിക്കുകയാണ്, ഒരു പ്രത്യേക EasyRSA അല്ലെങ്കിൽ OpenSSL ഡിഫോൾട്ട് ബാധകമാണെന്ന് അനുമാനിക്കുന്നതിന് പകരം.

ഒപ്പിടുന്നതിന് മുമ്പ് ഫലപ്രദമായ പേര് റിസർവ് ചെയ്യുക

ഒരു ഉപകരണത്തെ അതിന്റെ അംഗീകൃത റെക്കോർഡുമായും അവിടെ നിന്ന് കൃത്യമായ നയ ഫയൽ നാമവുമായും മാപ്പ് ചെയ്യുന്ന ഒരു രജിസ്ട്രി സൂക്ഷിക്കുക, അതുവഴി ഒരു പേര് ഒരിക്കൽ അനുവദിക്കപ്പെടുകയും അനുവദിക്കപ്പെട്ടതായി തുടരുകയും ചെയ്യും. റിസർവേഷൻ ആറ്റോമിക് ആയിരിക്കണം, അതായത് പ്രായോഗികമായി അനുവദിക്കുക-പിന്നെ-ഒപ്പിടുക എന്ന ഘട്ടത്തെ ചുറ്റിപ്പറ്റിയുള്ള ഡാറ്റാബേസ് നിയന്ത്രണമോ ലോക്കോ, രണ്ട് പേർ എഡിറ്റ് ചെയ്യുന്ന സ്പ്രെഡ്ഷീറ്റല്ല.

പിന്നീട് പരിശോധനയെ ഇഷ്യൂയിംഗിന്റെ ഭാഗമാക്കുക: ആവശ്യപ്പെട്ട പേര് ഇതിനകം നിലവിലുണ്ടെങ്കിൽ ഒപ്പിടാൻ വിസമ്മതിക്കുക, ആ പരിശോധനയിൽ സർവർ വിശ്വസിക്കുന്ന എല്ലാ അധികാരിയെയും ഉൾപ്പെടുത്തുക, കാരണം മറ്റേ അധികാരി റിസർവ് ചെയ്ത പേരും അത്രതന്നെ എടുക്കപ്പെട്ടതാണ്. വ്യക്തമായ കാരണത്തോടെ നിരസിക്കപ്പെട്ട അഭ്യർത്ഥന മറ്റൊരാളുടെ സ്ഥിര വിലാസം സ്വീകരിച്ചുകൊണ്ടിരിക്കുന്ന ഉപകരണത്തെക്കുറിച്ചുള്ള ടിക്കറ്റിനേക്കാൾ വിലകുറഞ്ഞതാണ്.

പുതുക്കൽ ബോധപൂർവ്വം ഒരു പേര് വീണ്ടും ഉപയോഗിക്കുന്നു

നിലവിലുള്ള ഒരു ഉപകരണത്തിന് വീണ്ടും ഇഷ്യൂ ചെയ്യുന്നത് അതേ നയ പേരിന് കീഴിൽ പുതിയ സീരിയൽ സൃഷ്ടിക്കണം, അത് കൂട്ടിയിടിയല്ല, നിയമാനുസൃതമായ പുനരുപയോഗമാണ്. മുൻകൂട്ടി തീരുമാനിക്കേണ്ടത് ഓവർലാപ്പാണ്: പഴയതും പുതിയതുമായ സർട്ടിഫിക്കറ്റുകൾ ഒരേസമയം സാധുവായിരിക്കാമോ, എന്നും പഴയ ക്രെഡൻഷ്യൽ എങ്ങനെ പിൻവലിക്കുന്നു എന്നും.

ഇത് പരിഹരിക്കാൻ duplicate-cn ലേക്ക് പോകരുത്. ആ സർവർ ഓപ്ഷൻ ഒരേ പേര് അവതരിപ്പിക്കുന്ന ഒരേസമയ കണക്ഷനുകൾ നിയന്ത്രിക്കുന്നു; അത് രജിസ്ട്രേഷൻ ലോക്ക് ചെയ്യുന്നില്ല, അത് പ്രവർത്തനക്ഷമമാക്കുന്നത് ഒരു പങ്കിട്ട സ്ഥിര വിലാസം ഒരേസമയം രണ്ട് മെഷീനുകൾക്ക് സുരക്ഷിതമാക്കുന്നില്ല. റദ്ദാക്കൽ സാധാരണയായി ഇഷ്യൂവറും സീരിയൽ നമ്പറും കൊണ്ട് സർട്ടിഫിക്കറ്റ് തിരിച്ചറിയുന്നു, അതിനാൽ പഴയ ക്രെഡൻഷ്യൽ പിൻവലിക്കുന്നത് അതിന്റെ പകരക്കാരനെ അസാധുവാക്കേണ്ടതില്ല, സർവർ ശരിയായ റദ്ദാക്കൽ ഡാറ്റ സ്വീകരിച്ച് നടപ്പാക്കുന്നിടത്തോളം.

യന്ത്രത്തിലെ ഉപകരണങ്ങൾ ഉപയോഗിച്ച് മാപ്പിംഗ് സ്ഥിരീകരിക്കുക

ഒരു ഉപകരണത്തിന് അതിന്റെ പുതിയ ക്രെഡൻഷ്യൽ നൽകുന്നതിന് മുമ്പ്, സർവർ വായിക്കുന്ന രീതിയിൽ സർട്ടിഫിക്കറ്റിൽ നിന്ന് പേര് വായിക്കുക, തുടർന്ന് തിരഞ്ഞെടുക്കുമെന്ന് നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന നയ ഫയലുമായി താരതമ്യം ചെയ്യുക.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

ആദ്യ കമാൻഡ് വിഷയ ഫീൽഡുകൾ വെവ്വേറെ പ്രിന്റ് ചെയ്യുന്നു, ഇത് തെന്നിമാറിയ ഓർഗനൈസേഷണൽ യൂണിറ്റിനെയോ ഇരട്ടി ഇടവേളയെയോ ഉടനടി ദൃശ്യമാക്കുന്നു. രണ്ടാമത്തേത് അതേ പേരിൽ നയ ഫയൽ നിലവിലുണ്ടെന്ന് സ്ഥിരീകരിക്കുന്നു, മൂന്നാമത്തേത് ഒരു പേരിൽ നിരവധി സെഷനുകൾ അനുവദിക്കാൻ സർവർ ക്രമീകരിച്ചിട്ടുണ്ടോ എന്ന് കാണിക്കുന്നു. തെറ്റ് ഇപ്പോഴും സംഭവമല്ല, ഒരു ഒപ്പിന്റെ ചെലവ് മാത്രമായിരിക്കുമ്പോൾ, രജിസ്ട്രേഷൻ ഘട്ടം വിടുന്നതിന് മുമ്പ് മൂന്നും പുതിയ സർട്ടിഫിക്കറ്റിൽ പ്രവർത്തിപ്പിക്കുക. ഔട്ട്പുട്ട് ടിക്കറ്റിനൊപ്പം സൂക്ഷിക്കുക, അടുത്ത വ്യക്തിക്ക് സർവർക്ക് യഥാർത്ഥത്തിൽ ലഭിച്ച പേര് കാണാൻ കഴിയും.

യഥാർത്ഥ കണക്ഷനോടെ അവസാനിപ്പിക്കുക, അനുവദിച്ച വിലാസവും പുഷ് ചെയ്ത റൂട്ടുകളും നിങ്ങൾ എഴുതാൻ ഉദ്ദേശിച്ചതുമായി അല്ല, നയ ഫയലുമായി താരതമ്യം ചെയ്യുക. രണ്ട് ഉപകരണങ്ങൾ ഒരേ സ്ഥിര വിലാസം റിപ്പോർട്ട് ചെയ്താൽ, രജിസ്ട്രിയിൽ ഒരു സർട്ടിഫിക്കറ്റ് പരിശോധനയും ഒരിക്കലും വെളിപ്പെടുത്താത്ത ഒരു കൂട്ടിയിടിയുണ്ട്.