Хоёр OpenVPN гэрчилгээ, нэг CCD нэр: юу буруу болсон

Өөр серийн дугаар, өөр түлхүүр, бүр өөр бүрэн субъект бүхий хоёр клиент гэрчилгээ нэг бодлогын файлд хүрч болно, учир нь сервер тэдгээрийн аль нэгийг ч хардаггүй. Тэр гэрчилгээнээс нэрийг уншиж, түүнд тохирох клиентийн тохиргооны файлыг нээнэ. Хоёр гэрчилгээ ижил нэртэй бол хоёр дахь нь холбогдсон агшинд эхнийхийн бодлогыг өвлөнө.

Мөргөлдөөн бүртгэлийн үед үүсч, зөвхөн холбогдох үед илэрдэг, ихэвчлэн төхөөрөмж өөр машинд хамаарах хаяг эсвэл маршрутын багцыг авах үед. Үүнээс сэргийлэхийн тулд сервер аль талбарыг буулгаж байгааг тохиролцож, дараа нь ямар нэгэн зүйлд гарын үсэг зурахаас өмнө тэр утгыг нөөцлөх хэрэгтэй.

Таны гэрчилгээний хэрэгслүүд анхааруулахгүй, учир нь X.509 доторх өвөрмөц байдал ба OpenVPN бодлогын нэрний өвөрмөц байдал нь өөр системүүдийн хэрэгжүүлдэг өөр шаардлагууд юм.

Сервер нэр хайдаг, хурууны хээ биш

Гэрчилгээнд суурилсан ердийн буулгалтын үед сервер танилцуулсан гэрчилгээнээс нийтлэг нэрийг авч, өөрийн клиентийн тохиргооны лавлахаас тэр нэртэй файлыг хайдаг. Тэр файл статик хаягыг бэхэлж, маршрутуудыг түлхэж эсвэл клиент бүрт галт хананы тэмдэглэгээг хэрэглэж болно. Хайлт нь файлын нэртэй мөрний тохирол тул үсгийн хэмжээ, зай, цэг таслал бүгд чухал.

Зарим байршуулалт буулгалтыг санаатайгаар сольж, баталгаажсан хэрэглэгчийн нэр нийтлэг нэрийг орлуулдаг, тэгвэл өвөрмөц байх ёстой зүйл нь хэрэглэгчийн нэр юм. Ямар ч тохиолдолд бодлогыг сонгодог утга нь таны нөөцөлж буй утга юм. Ямар нэгэн зүйл гаргахаас өмнө алийг нь сонгохоо шийдээрэй; мөргөлдөөний дараа таамаглах нь асуухаас илүү үнэтэй.

Хоёр байгууллага нэг нэр дээр таарах газар

Нэгээс олон олгогч байгууллагын гэрчилгээг хүлээн авдаг байгууллага нэг нэрийн орон зайд бичдэг хоёр бие даасан бүртгэлийн процессыг явуулдаг. Байгууллага бүрийн өөрийн өвөрмөц байдлын дүрэм өөрийн дотор үйлчилдэг тул хоёулаа ижил нийтлэг нэрэнд хууль ёсоор олгож чадах бөгөөд аль нь ч буруу зүйл анзаарахгүй.

Серийн дугаарууд тус болохгүй. X.509 нь серийн дугаарыг өөрийн олгогчийн хүрээнд өвөрмөц байхыг шаарддаг бөгөөд энэ нь тухайн байгууллагын нягтлан бодох бүртгэлийн шинж чанар, төхөөрөмжийн дэлхийн таних тэмдэг биш. Субъектийн шалгалт нь нийтлэг нэрийн шалгалтаас өөр сорил юм: хоёр гэрчилгээ CN-ийг хуваалцаж болох боловч зохион байгуулалтын нэгжид ялгаатай байж, өөр субъектүүдийг агуулж болно. Эдгээр шинж чанарууд бүгд биелсэн ч сервер хоёр гэрчилгээг нэг файлын нэр рүү буулгасаар байна.

OpenSSL CA-ийн баримт бичиг өөрийн мэдээллийн сангийн дүгнэлтийг удирддаг unique_subject тохиргоог хамардаг бөгөөд шударга эхлэл нь тодорхой EasyRSA эсвэл OpenSSL-ийн өгөгдмөл үйлчилнэ гэж таамаглахын оронд таны олгогч тохиргоог унших явдал юм.

Гарын үсэг зурахаас өмнө үр дүнтэй нэрийг нөөцөл

Төхөөрөмжийг түүний батлагдсан бичлэгтэй, тэндээс нь яг бодлогын файлын нэртэй буулгадаг бүртгэл хөтөл, ингэснээр нэр нэг удаа хуваарилагдаж, хуваарилагдсан хэвээр үлдэнэ. Нөөцлөлт нь атомын байх ёстой, энэ нь практикт хуваарилаад-дараа нь-гарын үсэг зур гэсэн алхмыг хүрээлсэн мэдээллийн сангийн хязгаарлалт эсвэл цоож гэсэн үг, хоёр хүний засварладаг хүснэгт биш.

Дараа нь шалгалтыг олголтын хэсэг болго: хүссэн нэр аль хэдийн байвал гарын үсэг зурахаас татгалзаж, тэр шалгалтад серверийн итгэдэг бүх байгууллагыг оруул, учир нь нөгөө байгууллагын нөөцөлсөн нэр ч мөн адил эзлэгдсэн. Тодорхой шалтгаантай татгалзсан хүсэлт нь бусдын статик хаягыг байнга авдаг төхөөрөмжийн талаарх тасалбараас хямд.

Шинэчлэлт нэрийг санаатайгаар дахин ашигладаг

Одоо байгаа төхөөрөмжид дахин олгох нь ижил бодлогын нэрний дор шинэ серийн дугаар үүсгэх ёстой бөгөөд энэ нь мөргөлдөөн биш, хууль ёсны дахин ашиглалт юм. Урьдчилан шийдэх зүйл бол давхцал: хуучин ба шинэ гэрчилгээ нэгэн зэрэг хүчинтэй байж болох эсэх, мөн хуучин итгэмжлэлийг хэрхэн буцааж авах.

Үүнийг шийдэхийн тулд duplicate-cn руу хандаж болохгүй. Тэр серверийн сонголт ижил нэрийг танилцуулж буй зэрэгцээ холболтыг удирддаг; энэ нь бүртгэлийг түгждэггүй бөгөөд үүнийг идэвхжүүлэх нь нэг хуваалцсан статик хаягыг нэгэн зэрэг хоёр машинд аюулгүй болгодоггүй. Хүчингүй болгох нь ихэвчлэн гэрчилгээг олгогч ба серийн дугаараар танина, тиймээс хуучин итгэмжлэлийг буцааж авах нь түүний орлуулагчийг хүчингүй болгох албагүй, сервер зөв хүчингүй болгох өгөгдлийг хүлээн авч хэрэгжүүлбэл.

Буулгалтыг машины хэрэгслүүдээр баталгаажуул

Төхөөрөмжид шинэ итгэмжлэлийг нь өгөхөөс өмнө серверийн унших аргаар гэрчилгээнээс нэрийг уншиж, дараа нь сонгогдоно гэж хүлээж буй бодлогын файлтай харьцуул.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Эхний команд субъектийн талбаруудыг тус тусад нь хэвлэдэг бөгөөд энэ нь төөрсөн зохион байгуулалтын нэгж эсвэл давхар зайг даруй харагдахуйц болгоно. Хоёр дахь нь яг тэр нэрэн дор бодлогын файл байгааг баталж, гурав дахь нь сервер нэг нэр дээр хэд хэдэн сессийг зөвшөөрөхөөр тохируулагдсан эсэхийг харуулна. Алдаа нь одоо ч осол биш, гарын үсэг л үнэтэй байхад бүртгэлийн алхмаас гарахаас өмнө бүх гурвыг шинэ гэрчилгээ дээр ажиллуул. Гаралтыг тасалбартай хамт хадгал, дараагийн хүн серверт яг ямар нэр өгөгдсөнийг харж болно.

Жинхэнэ холболтоор дуусгаж, олгосон хаяг болон түлхэгдсэн маршрутыг бичих гэж байсан зүйлтэйгээ биш, бодлогын файлтай харьцуул. Хэрэв хоёр төхөөрөмж ижил статик хаягыг мэдээлбэл, бүртгэлд ямар ч гэрчилгээний шалгалт хэзээ ч илрүүлэхгүй мөргөлдөөн байна.