Нэг нийтлэг нэр, хоёр гэрчилгээ: зөвшөөрлийн жагсаалт уу, хүчингүй болгох уу?

Ижил нийтлэг нэрээр зөөврийн компьютерийн гэрчилгээг дахин олгох нь солилт мэт санагддаг бөгөөд хуучин нь аль хэдийн үхсэн гэж бүгд боддог. Тийм биш. Өмнөх гэрчилгээ нь мөнөөх байгууллагаар гарын үсэг зурсан хүчинтэй гэрчилгээ хэвээр байх бөгөөд харилцагчийг нэрээр нь хүлээн авдаг аливаа хяналт түүнийг үргэлжлүүлэн хүлээн авна. Иргэний үнэмлэхний шалгалтыг нэвтрэх мэдээллийн шалгалтаас ялгадаг зүйл бол серийн дугаар бөгөөд засвар яг тэнд байх ёстой.

Серверийн ашигладаг нэрлэх бодлогоос эхэл

Хоёр хяналт холилддог: харилцагчийг өөрийгөө хэн гэж хэлж байгаагаар нь хүлээн авах, нэг тодорхой гэрчилгээг үйлчилгээнээс гаргах. Эхнийх нь нэрийн шалгалт, хоёр дахь нь хүчингүй болгох шалгалт. Тэд өөр өөр асуултад хариулдаг бөгөөд нэг байршуулалтад нэг нь нөгөөгүйгээр байж болно.

Серверийн тохиргоог уншиж, ямар таних тэмдгийн эх сурвалж ашиглагдаж байгааг тэмдэглэ. username-as-common-name нь баталгаажсан хэрэглэгчийн нэрийг харилцагчид тусгайлсан хайлтад үр дүнтэй нэр болгоно. Үгүй бол гэрчилгээний субьектийн нийтлэг нэрийг ашиглана. Хариулт нь юу ч байсан, зөвшөөрлийн жагсаалтад хүрэхээс өмнө бичиж аваарай.

Хоёр зам нэг гэрчилгээнд өөр өөр зөвшөөрөгдсөн нэрийн багц өгдөг. Энд таамаглах нь буруу файлыг засварлаж, хяналт ажиллахгүй гэсэн дүгнэлт хийх явдал юм.

Харилцагчийг үнэндээ юу хүлээн авдагийг шалга

Тохирох файлтай client-config-dir нь харилцагчид тусгайлсан сонголтуудыг өгдөг; дангаараа энэ нь хүлээн авах дүрэм биш. Нэрээр хүлээн авахад ccd-exclusive шаардлагатай бөгөөд энэ нь тохирох файлгүй харилцагчдыг татгалзана. Ажиллаж буй байршуулалтад үүнийг асаавал файлгүй нэртэй бүх хүний холболт тасарна, тиймээс ямар нэг зүйлийг солихоос өмнө файлуудыг тоол.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Тоо нь өөрөө шалгалт: жагсаалтыг холбогдоно гэж хүлээж буй таних тэмдгүүдтэй харьцуул.

Дараа нь файл бүрийн нэр нь том жижиг үсэг, зайг оролцуулан үр дүнтэй таних тэмдэгтэй яг тохирч байгаа эсэхийг батал. office-laptop -д зориулсан файл нь субьект нь Office-Laptop гэж уншигдах гэрчилгээнд юу ч хийхгүй. Төгсгөлийн зай нь энгийн жагсаалтаас ч нуугдана, ингэснээр байгаа мэт харагдах файл уншигдэхгүй үлддэг.

Гарц ачаалдаг CRL-ийг шалга

CRL нь хүчингүй болсон гэрчилгээг олгогч, серийн дугаараар нэрлэдэг бөгөөд энэ нь нэрийн шалгалтад байхгүй нарийвчлал юм. Хоёр гэрчилгээ нийтлэг нэрийг хуваалцаж, серийн дугаараар ялгаатай байж болно, зөвхөн серийн түвшний жагсаалт л тэднийг ялгана.

Файлд огт итгэхээс өмнө тохируулсан замыг, олгосон огноог, дараагийн шинэчлэлтийн талбарыг батал.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL дэх серийн дугаарыг үлдээх гэж буй гэрчилгээний серийн дугаартай харьцуул. Тэр харьцуулалт л бүх шалгалт бөгөөд нэг удаа нүдээр хийх нь хэн ч уншаагүй скриптэд итгэхээс илүү үнэ цэнэтэй. Шинэчилсэн CRL-ийг гарц аль хэдийн уншдаг замаар тараа. Буруу хавтаст байгаа CRL юу ч хэрэгжүүлэхгүй бөгөөд ямар ч харилцагчийн бүртгэл үүнийг дурдахгүй.

Соль, дараа нь хоёр үр дүнг хоёуланг нь нотол

Ижил нийтлэг нэрээр орлуулагчийг олгож, хоёр серийн дугаарыг тэмдэглээд, дараа нь л хуучныг хүчингүй болго. Тэр дараалал нь өөрчлөлтийг бэлтгэж байхдаа ажиллаж буй таних тэмдгийг боломжтой байлгана.

Эхлээд орлуулагчийг шалга: тэр баталгаажиж, нэр нь эрх олгосон бүх зүйлд хүрэх ёстой. Дараа нь хуучин гэрчилгээг шалгаж, татгалзаж байгааг батал, учир нь амжилттай солилт хүчингүй болгох тухай юу ч хэлэхгүй. Хоёулаа холбогдсон хэвээр байвал хүчингүй болгохын оролт уншигдахгүй байгаа эсвэл хуучин серийн дугаар хэзээ ч жагсаалтад ороогүй. Аль нь ч холбогдохгүй бол та нэвтрэх мэдээллийг биш, хүлээн авах дүрмийг эвдсэн.

Аль хэдийн тогтоосон сессүүд нь тусдаа асуудал, учир нь гарц идэвхтэй холболтыг таслах тохиргоогүй л бол хүчингүй болгох нь шинэ баталгаажуулалтад хамаарна. Хэнд ч амлахынхаа өмнө нэн даруй хасах шаардлагатай эсэхийг шийд.

Нэрийн шалгалт хэзээ ч хийж чадахгүй зүйл

Зөвшөөрлийн жагсаалт энэ таних тэмдэг холбогдож болох эсэхэд хариулна. Тэр таних тэмдэг аль гэрчилгээг ашигласныг хэлж чадахгүй бөгөөд нэвтрэх мэдээлэл хүчинтэй, хүчингүй болоогүй л бол хуучин мэдээллийг хүлээн авах болно. Тэр зөрүү нь ослын үеэр илэрдэг, орлуулагч сарын өмнө олгогдож, өмнөх нь ажиллаж байх үед.

Гэрчилгээний түвшний хяналт шаардлагатай бол гэрчилгээг нэрлэдэг механизмыг ашигла: CRL бичлэгүүд эсвэл операторын хадгалдаг хурууны хээг шалгадаг баталгаажуулах дэгээ. Хоёулаа арчилгаа шаардана, хоёулаа шалгаж буй объектынхоо талаар шударга. OpenVPN 2.6 гарын авлага нь crl-verify болон харилцагчид тусгайлсан хүлээн авалтыг тусдаа сонголтоор баримтжуулсан, яг тэр шалтгаанаар.

Аль хяналт ямар ажил хийдгийг бичиж, дараа нь сөрөг тохиолдлыг шалга. Холболтыг татгалзахыг нь хэзээ ч хараагүй хүчингүй болгох нь ажиллана гэж найдаж буй тохиргоо юм.