Хамтарсан CA, тусдаа хаалганууд: нэг элсэлтийн файлд нэг үйлчилгээ

Хамтарсан байгууллагын эсрэг баталгаажих гэрчилгээ нь итгэлийн шалгалтыг давсан, гишүүнчлэлийн шалгалтыг биш. Эдгээр хоёр шийдвэр нь холболтын үед хоёулаа тохиолддог тул байнга хольж, энэ холимог нь тухайн үйлчилгээнд байх ёсгүй хүнийг оруулах хүртэл үл үзэгдэх хэвээр байна. Шийдэл нь хоёр дахь байгууллага биш; энэ нь үйлчилгээ бүрт гаргаж, демон уншдаг газарт бүртгэгддэг хоёр дахь шийдвэр юм. Хоёулыг тусад нь байлгавал энэ салбарын ихэнх будлиан арилна.

Итгэмжлэгдсэн хэлхээ үйлчилгээний гишүүнчлэлийн талаар юу ч хэлэхгүй

Хоёр үйлчилгээ ижил олгогч шатлалыг хүлээн авч байсан ч өөр хүн амтай байж болно. Нэг зөөврийн компьютер эхнийхэд хамаарах бөгөөд хоёр дахьд хүрэх ёсгүй, харин мөн шатлалын бусад клиентүүд үнэхээр тэнд хамаардаг. Тэр үйлчилгээнээс байгууллагыг хасах нь түүнийг хууль ёсоор ашигладаг бүхнийг түгжих тул ажил нь элсэлт, итгэл биш.

Нэг хаалганд хоёр цоожыг төсөөлөх нь тустай. Гэрчилгээ нь гадна цоожыг онгойлгож, үйлчилгээний шийдвэр дотоод цоожыг онгойлгоно; аль нь ч нөгөөг орлохгүй. Зөвхөн гадна цоожтой үйлчилгээ гишүүнчлэлийг огт хэрэгжүүлэхгүй, зөвхөн баталгаажуулна. Ямар нэг зүйлийг өөрчлөхөөс өмнө хоёр шийдвэрийг бичиж аваарай, учир нь зөвхөн ажиллаж буй холболтын хэлбэрээр оршиж буй бодлогыг аудитал хийх боломжгүй. Дараах нь дотоод цоожны тухай.

Заавал бус дараах бичлэгүүдийг элсэлтийн хаалга болгоно уу

Клиентийн тохиргооны каталог нь ихэвчлэн тав тух: доторх файлууд нь нэрлэсэн клиентүүдийн тохиргоог дарж бичих бөгөөд файлгүй клиент нь серверийн өгөгдмөл утгуудаар ажилладаг. Нэг заавар нь тэр тав тухыг хаалга болгож, файл байхгүй бол холболт татгалзагдана.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Нийгэмлэгийн хувилбар OpenVPN 2.6 ccd-exclusive өөрийн гарын авлагын хуудсанд яг энэ нөхцлийг баримтжуулж, нэрлэсэн файлын хайлт нь клиентийн бодит таних тэмдэгт тулгуурладаг. Бусад бүтээц, бүтээгдэхүүнээр удирдуулсан серверүүд өөр байж болох тул өөр газар ижил утга санаанд найдахын өмнө суулгасан хувилбарыг баталгаажуулаарай.

Дээрх замыг жишээ гэж үзэж, гарын авлагын зохиосон каталог үүсгэхийн оронд бодитоор байршуулсан зохион байгуулалтыг шалгаарай. Одоо байгаа гэрчилгээний шалгалт, серверийн таних тэмдгийн шалгалт, бүртгэлийн баталгаажуулалтыг яг байсан хэвээр нь үлдээгээрэй, учир нь хэсэг нь нөхцөл нэмдэг бөгөөд юу ч хасдаггүй. Өөрчлөлтийг үйлдвэрлэлээс өмнө бэлтгээрэй, учир нь буруу цэгт гаргасан татгалзал нь гэрчилгээний алдаа мэт харагдаж, мөрдөн шалгалтыг байгууллага руу чиглүүлдэг. Дараа нь татгалзсан клиентийн лог мөрөнд хэлхээ биш, дутуу тохиргооны файлыг нэрлэж байгаа эсэхийг баталгаажуулаарай.

Үйлчилгээ бүрт нэг каталог, нэг хамтарсан жагсаалт биш

Гишүүнчлэл нь үүнийг хэрэгжүүлдэг үйлчилгээнд хамаарах тул үйлчилгээ бүр өөрийн каталог, өөрийн файлуудыг хадгалдаг. Хоёр үйлчилгээг нэг жагсаалт руу чиглүүлэх нь тэднийг гишүүнчлэл хуваалцахад хүргэдэг хэн нэгэн үүнийг зорьсон эсэхээс үл хамааран, үүссэн өөрчлөлтийг шийдвэр рүү буцааж холбоход хэцүү. Хамтарсан байгууллага хамтарсан хэвээр үлдэж болно; элсэлтийн файлууд үлдэхгүй. Тэдгээрийг тусад нь байлгах нь нэг үйлчилгээний алдаа нөгөөг нь чимээгүй өргөжүүлж чадахгүй гэсэн үг юм.

DEFAULT оруулга нь хүмүүсийг төөрөгдүүлдэг тохиолдол. Нэрлэсэн файл олдохгүй үед тэр нөөц тохиргоо өгдөг боловч хаалганы шаарддаг нэрлэсэн файл биш тул ганцаараа клиентийг элсүүлж чадахгүй. Огт оруулгагүй клиентийг туршиж татгалзлыг баталгаажуулаарай; хэрэв тэр клиент элссэн бол нөөц хэрэгжиж байгаа бөгөөд ccd-exclusive тэр экземплярт хүчин төгөлдөр биш.

Бодит таних тэмдэг аль файлыг уншихад шийднэ

Хайлт нь клиентийн бодитоор баталгаажсан таних тэмдгийг ашигладаг бөгөөд энэ нь ихэвчлэн гэрчилгээний нийтлэг нэр юм. Сервер мөн хэрэглэгчийн нэр, нууц үгийг шалгаж, тэр нэрийг нийтлэг нэр рүү буулгадаг бол файл нь оронд нь баталгаажсан хэрэглэгчийн нэртэй тохирох ёстой. Тохиромжгүй байдал нь каталогийг хэзээ ч сонгогддоггүй итгэмжит файлын нэрээр дүүргэж үлдээдэг.

Унших нь нөгөө хагас. Демон ихэвчлэн эхэлсний дараа эрх мэдлээ орхидог тул багасгасан бүртгэлд каталог болон түүний оруулга бүрт унших эрх хэрэгтэй. Клиентүүд бичих боломжтой ямар ч замаар өөрийн оруулгыг үүсгэж чадахгүй байх ёстой, учир нь өөртөө үйлчилдэг элсэлт механизмыг бүрэн утгагүй болгоно. Зөвхөн файлын горим биш, холбох, хуваалцах зөвшөөрлийг ч шалгаарай, учир нь нэг бүртгэлд хаалттай мэт харагдах каталог нөгөөд нээлттэй байж болно. Дараа нь ажиллаж буй процесс бодитоор аль бүртгэлийг ашиглаж байгааг баталгаажуулаарай, unit файл аль бүртгэлийг дурдсаныг биш. Эдгээр хоёр нь өөр юу ч тэднийг өөрчлөөгүй үед л ижил байдаг.

Татгалзал, элсэлт, хүчингүй болголыг тус тусад нь ажиглаарай

Үйлчилгээнд хамаарах таних тэмдгийг туршиж холбогдож байгааг баталгаажуулаарай. Оруулгагүй хүчинтэй гэрчилгээг туршиж татгалзагдаж байгааг баталгаажуулаарай. Нөгөө үйлчилгээнд элссэн таних тэмдгийг туршиж энд элсэхгүй байгааг баталгаажуулаарай. Үр дүн бүрийн хажууд үйлчилгээний экземпляр, бодит таних тэмдгийг бичээрэй, учир нь энэ контекстгүй үр дүнг өөр хэн ч дахин гаргаж чадахгүй.

Буцаан авах нь хүчингүй болгохоос тусдаа үйлдэл. Элсэлтийн файлыг засварлах нь нэг үйлчилгээний эрхийг хасдаг бол таних тэмдэг нь бусад газарт хүчинтэй хэвээр үлддэг, харин эвдэрсэн түлхүүр нь байгууллагын хүчингүй болгох хариу үйлдэл шаарддаг. Аль хэдийн нээгдсэн сессүүдэд юу болохыг урьдчилан шийдээрэй, учир нь каталог засах ч, хүчингүй болгох жагсаалт ч тэдгээрийг өөрөө дуусгахгүй.

Элсэлт нь зөвхөн эхний хаалга. Үйлчилгээнд нэгдэх нь түүний ард байгаа дэд сүлжээ, мэдээллийн сан, удирдлагын интерфейсийн талаар юу ч хэлэхгүй бөгөөд тэр нөөцийн бодлогыг тусад нь бичиж, турших ёстой.