Яагаад хоёр OpenVPN гэрчилгээ нэг CCD бодлогыг хуваалцаж чаддаг вэ

Нэг CA ижил OpenVPN хэрэглэгчийн тусгай тохиргоог авдаг хоёр гэрчилгээнд гарын үсэг зурж болох бөгөөд аль ч гэрчилгээнд хэнийг ч анхааруулах зүйл байхгүй. Серийн дугаарууд ялгаатай, түлхүүрүүд ялгаатай, байгууллагын нэгж өөрчлөгдмөгц бүрэн субъектууд ч ялгаатай болно. Сервер хэрэглэгч бүрийн бодлогыг нэг нэрээр тодорхойлдог бөгөөд тэр нэр нь цор ганц байх ёстой зүйл юм.

Сервер нэр, серийн дугаарыг биш

Энгийн гэрчилгээний хайлтад сервер танилцуулсан гэрчилгээнээс нийтлэг нэрийг авч, тэр нэртэй client-config-dir бичлэгийг хайдаг. Серийн дугаар хайлтад хэзээ ч орохгүй. Нийтлэг нэрээс бусад бүх талбарт ялгаатай хоёр гэрчилгээ нэг файлд ордог тул хоёр дахь холболт эхний төхөөрөмжийн тогтмол хаяг болон илгээсэн маршрутыг өвлөнө.

Ингэж CA талын өвөрмөц байдлын шалгалт давдаг ч VPN багана мөргөлдсөн хэвээр байна. Хоёр шалгалт өөр асуултад хариулдаг.

Ямар нэг зүйлд гарын үсэг зурахаасаа өмнө үр дүнтэй нэр юу байх ёстойг шийдэж, түүний хамаарах төхөөрөмж эсвэл дансны хажууд тэмдэглэ. Нэр, эзэмшигч, зорилго, гэрчилгээний хурууны хээ бүхий бүртгэл ихэнх байршуулалтыг хамардаг. Үгүй бол гэрчилгээний архив аль нэр аль төхөөрөмжид хамаарахыг харуулсан цорын ганц бичлэг болж, тэр архив нь зөвшөөрөгдсөн солилтыг одоо байгаа нэрийг шаардсан хоёр дахь төхөөрөмжөөс ялгаж чадахгүй. Нэрийг бүртгүүлэх үед нөөцөл, хоёр оператор нэгэн зэрэг гаргаж чадвал түгжээний дор.

Буулгалт яг ямар нэрийг ашигладаг вэ

Энгийн гэрчилгээний хайлт нийтлэг нэрийг ашигладаг. Баталгаажсан хэрэглэгчийн нэрийг буулгахаар тохируулсан сервер оронд нь тэр утгыг ашигладаг бөгөөд энэ нь гэрчилгээний нийтлэг нэрийг бодлого сонгоход хамааралгүй болгодог. Аль буулгалт хүчинтэй байгааг харахын тулд ажиллаж буй тохиргоог унш.

Хоёр буулгалт зэрэг оршиж болох бөгөөд тэгвэл үр дүн сервер тэдгээрийг шийдэх дарааллаас хамаарна. Нийтлэг нэр рүү буцах хэрэглэгчийн нэрийн буулгалт бүртгэл хэзээ ч зөвшөөрөөгүй гэрчилгээг чимээгүйхэн хүлээж авна. Үр дүнтэй нэрийг түүнийг гаргасан командын хажууд бич, ингэснээр дараагийн оператор дарааллыг дахин нээх шаардлагагүй. Буулгалт бүрт нэг холболт турших нь хямд бөгөөд асуудлыг шийднэ.

Буулгалт юу ч гаргасан, тэр нь нөөцлөх утга юм. CA-д нийтлэг нэрсийг нөөцлөхдөө сервер хэрэглэгчийн нэрсэд тулгуурлаж байгаа нь буруу зүйлийг нөөцлөж байна.

Хоёр CA ижил нэрийг зөвшөөрч болно

VPN үйлчилгээ нэгээс олон гаргагч байгууллагад итгэж болох бөгөөд байгууллага бүр ямар нэрс эзлэгдсэн тухай өөрийн ойлголтыг хадгалдаг. Хоёр бие даасан CA өөр өөр төхөөрөмжид ижил нийтлэг нэрийг хоёулаа зөвшөөрч болох бөгөөд сервер хоёр гэрчилгээг гомдолгүйгээр хүлээж авдаг. Итгэлийн багц дахь байгууллага бүрийг бүртгэ, зөвхөн ихэвчлэн гаргадаг нэгийг нь биш. Алдаа нь хоёр дахь байгууллагын гэрчилгээг анх ашиглах үед илэрдэг.

Ижил үндэслэл нь нийтлэг нэрийн өвөрмөц байдлын оронд бүрэн субъектийн өвөрмөц байдлыг шаарддаг CA-д мөн хамаарна.

Нийтлэг нэр хуваалцдаг боловч байгууллагын нэгжээр ялгаатай хоёр гэрчилгээ өөр субъекттэй тул CA зөрчил мэдээлэхгүй, харин сервер нэг нэрийг хардаг. Өгөгдмөл утгыг таамаглахын оронд гаргагч хэрэгслийн чинь бодитоор ашигладаг тохиргоог шалга. openssl ca баримт бичиг дахь unique_subject-ийн зохицуулалт тэнд байгаа холбогдох товчлуур бөгөөд тэр хэрэгслийн эргэн тойрон дахь бүрхүүлүүд ихэвчлэн үүнийг орлуулахын оронд ил гаргадаг.

Шинэчлэлт нь нөөцөлсөн дахин ашиглалт, мөргөлдөөн биш

Нэрийг хадгалсан шинэчлэлт нь санаатай дахин ашиглалт бөгөөд бүртгэл үүнийг энгийн үгээр хэлэх ёстой. Хуучин хурууны хээ болон шинийг нэг нэрийн дор тэмдэглэ, ингэснээр шүүмжлэгч солилтыг эзлэлтээс ялгаж чадна. Серверийн duplicate-cn сонголт нь үүнтэй холбоогүй: энэ нь зэрэгцээ сессийг зохицуулдаг, бүртгэл эсвэл нэр нөөцлөлтийг биш. Хоёр итгэмжлэл хэр удаан оршиж болох, хуучин нь хэзээ хүлээж авахаа болихыг шийд.

Солилтыг хүлээлгэн өгөхөөс өмнө гэрчилгээнд яг юу байгааг дахин унш. Субъектийн мөр нь серверийн буулгах талбар бөгөөд файлын нэр юу ч гэсэн.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Хүчингүй болгох нь ихэвчлэн гэрчилгээг гаргагчийн дор тодорхойлдог тул нэг серийн дугаарыг тэтгэвэрт гаргах нь ижил байгууллагын зөв гаргасан солилтод нөлөөлөхгүй. Яг энэ зан үйл цэвэр шинэчлэлтэд хэрэгтэй бөгөөд хүчингүй болголт хоёр төхөөрөмжийн хуваалцсан нэрийг цэвэрлэж чадахгүйн шалтгаан ч мөн адил. Хэрэглэгч төхөөрөмжийг харахаас өмнө туршилтын холболт дээр үр дүнтэй бодлогын нэр болон хуваарилсан хаягийг баталгаажуул. Дараа нь хуучин итгэмжлэлийг санаатайгаар тэтгэвэрт гаргаж, үүнийг хийснээ тэмдэглэ.