एकच सामाईक नाव, दोन प्रमाणपत्रे: अनुमती यादी की रद्द करणे?

त्याच सामाईक नावाखाली लॅपटॉप प्रमाणपत्र पुन्हा जारी करणे बदलीसारखे वाटते, आणि जुने आता मेले आहे असे सर्वांना वाटते। तसे नाही। पूर्वीचे प्रमाणपत्र त्याच प्राधिकरणाने स्वाक्षरी केलेले वैध प्रमाणपत्र म्हणूनच राहते, आणि नावाने ग्राहकांना प्रवेश देणारे कोणतेही नियंत्रण त्याला प्रवेश देतच राहील। ओळख तपासणीला क्रेडेन्शियल तपासणीपासून वेगळे करणारी गोष्ट म्हणजे अनुक्रमांक, आणि दुरुस्ती तिथेच असायला हवी।

सर्व्हर वापरत असलेल्या नाव देण्याच्या धोरणापासून सुरुवात करा

दोन नियंत्रणे एकत्र मिसळली जातात: ग्राहक स्वतःला कोण म्हणवतो यावरून प्रवेश देणे, आणि एक विशिष्ट प्रमाणपत्र सेवेतून काढून टाकणे। पहिले नाव तपासणी आहे, दुसरे रद्दीकरण तपासणी आहे। ती वेगवेगळ्या प्रश्नांची उत्तरे देतात, आणि एका तैनातीत एक दुसऱ्याशिवाय असू शकते।

सर्व्हर कॉन्फिगरेशन वाचा आणि कोणता ओळख स्रोत वापरात आहे ते नोंदवा। username-as-common-name हे प्रमाणित वापरकर्तानाव ग्राहक-विशिष्ट शोधांसाठी प्रभावी नाव बनवते। ते नसल्यास, प्रमाणपत्रातील विषय सामाईक नाव वापरले जाते। उत्तर काहीही असो, कोणत्याही अनुमती यादीला हात लावण्यापूर्वी ते लिहून ठेवा।

दोन्ही मार्ग एकाच प्रमाणपत्रासाठी वेगळा अनुमत नावांचा संच देतात। इथे अंदाज लावणे म्हणजे चुकीची फाइल संपादित करून नियंत्रण चालत नाही असा निष्कर्ष काढणे।

ग्राहकाला प्रत्यक्षात काय प्रवेश देतो ते तपासा

जुळणारी फाइल असलेले client-config-dir ग्राहक-विशिष्ट पर्याय पुरवते; ते स्वतःच प्रवेश नियम नाही। नावाने प्रवेशासाठी ccd-exclusive आवश्यक आहे, जे जुळणारी फाइल नसलेल्या ग्राहकांना नकार देते। चालू तैनातीत ते सुरू केल्यास ज्यांच्या नावाची फाइल नाही अशा सर्वांचे कनेक्शन तुटते, म्हणून काहीही बदलण्यापूर्वी फाइलींची मोजणी करा।

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

मोजणी हीच तपासणी आहे: डिरेक्टरी सूचीची तुम्ही जोडण्याची अपेक्षा असलेल्या ओळखींशी तुलना करा।

नंतर प्रत्येक फाइलनाव प्रभावी ओळखीशी अगदी जुळते का ते खात्री करा, अक्षरांचा आकार आणि अंतरांसह। office-laptop साठीची फाइल विषय Office-Laptop असे वाचणाऱ्या प्रमाणपत्रासाठी काहीही करत नाही। शेवटच्या जागाही साध्या सूचीपासून लपतात, आणि म्हणून असलेली दिसणारी फाइल न वाचली जाता राहते।

गेटवे लोड करत असलेले CRL तपासा

CRL रद्द केलेली प्रमाणपत्रे जारीकर्ता आणि अनुक्रमांकाने नावे देतो, आणि हीच ती सूक्ष्मता आहे जी नाव तपासणीत नाही। दोन प्रमाणपत्रे सामाईक नाव सामायिक करू शकतात आणि अनुक्रमांकात वेगळी असू शकतात, आणि फक्त अनुक्रमांक पातळीवरील यादीच त्यांना वेगळी करते।

फाइलवर अजिबात विश्वास ठेवण्यापूर्वी कॉन्फिगर केलेला मार्ग, जारी तारीख आणि पुढील अद्ययावत फील्ड तपासा।

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL मधील अनुक्रमांक तुम्ही ठेवू इच्छित असलेल्या प्रमाणपत्रावरील अनुक्रमांकाशी तुलना करा। तीच तुलना संपूर्ण चाचणी आहे, आणि एकदा डोळ्यांनी करणे कोणीही न वाचलेल्या स्क्रिप्टवर विश्वास ठेवण्यापेक्षा जास्त मोलाचे आहे। अद्ययावत CRL गेटवे आधीच वाचत असलेल्या मार्गाने वितरित करा। चुकीच्या डिरेक्टरीत असलेले CRL काहीही अंमलात आणत नाही, आणि कोणताही ग्राहक लॉग त्याचा उल्लेख करणार नाही।

बदला, नंतर दोन्ही निकाल सिद्ध करा

त्याच सामाईक नावाखाली बदली जारी करा, दोन्ही अनुक्रमांक नोंदवा, आणि त्यानंतरच जुने रद्द करा। तो क्रम बदल तयार करताना कार्यरत ओळख उपलब्ध ठेवतो।

प्रथम बदलीची चाचणी करा: तिने प्रमाणित व्हावे आणि तिच्या नावाला जे हक्क आहे त्या सर्वांपर्यंत पोहोचावे। नंतर जुन्या प्रमाणपत्राची चाचणी करा आणि ते नाकारले जाते याची खात्री करा, कारण यशस्वी बदली रद्दीकरणाबद्दल काहीही सांगत नाही। दोन्ही अजूनही जोडले जात असतील, तर रद्दीकरण इनपुट वाचले जात नाही किंवा जुना अनुक्रमांक कधीच सूचीबद्ध झाला नाही। दोन्ही जोडले जात नसतील, तर तुम्ही क्रेडेन्शियल नाही तर प्रवेश नियम मोडला आहे।

आधीच स्थापित सत्रे वेगळी बाब आहे, कारण गेटवे सक्रिय कनेक्शन तोडण्यासाठी कॉन्फिगर केलेले नसेल तर रद्दीकरण नवीन प्रमाणीकरणांना लागू होते। कोणालाही वचन देण्यापूर्वी तात्काळ काढणे आवश्यक आहे का ते ठरवा।

नाव तपासणी कधीच करू शकत नाही अशी गोष्ट

अनुमती यादी ही ओळख जोडली जाऊ शकते का याचे उत्तर देते। ती ओळख कोणते प्रमाणपत्र वापरली हे ते सांगू शकत नाही, आणि क्रेडेन्शियल वैध आणि रद्द न झालेले असेपर्यंत ते जुने क्रेडेन्शियल स्वीकारत राहील। ती तफावत घटनेच्या वेळी उघड होते, जेव्हा बदली काही महिन्यांपूर्वी जारी झाली आणि पूर्वीचे अजूनही काम करते।

प्रमाणपत्र-स्तरीय नियंत्रण आवश्यक असेल, तर प्रमाणपत्राचे नाव घेणारी यंत्रणा वापरा: CRL नोंदी, किंवा ऑपरेटर राखत असलेले बोटांचे ठसे तपासणारा व्हेरिफाय हुक। दोन्हींना देखभालीचा खर्च आहे, आणि दोन्ही ज्या वस्तूची तपासणी करतात त्याबद्दल प्रामाणिक आहेत। OpenVPN 2.6 मार्गदर्शक नुसार crl-verify आणि ग्राहक-विशिष्ट प्रवेश हे वेगवेगळे पर्याय म्हणून नोंदवले आहेत, त्याच कारणासाठी।

कोणते नियंत्रण कोणते काम करते हे लिहून ठेवा, नंतर नकारात्मक प्रकरणाची चाचणी करा। ज्याने कधीही कनेक्शन नाकारलेले पाहिले नाही असे रद्दीकरण म्हणजे काम करेल अशी आशा असलेले कॉन्फिगरेशन।