दोन OpenVPN प्रमाणपत्रे, एक CCD नाव: काय चुकले

वेगवेगळे अनुक्रमांक, वेगवेगळ्या किल्ल्या आणि अगदी वेगवेगळे संपूर्ण विषय असलेली दोन क्लायंट प्रमाणपत्रे तरीही एकाच धोरण फाइलवर येऊ शकतात, कारण सर्व्हर त्यांपैकी काहीही पाहत नाही। तो प्रमाणपत्रातून एक नाव वाचतो आणि त्याशी जुळणारी क्लायंट कॉन्फिग फाइल उघडतो। दोन्ही प्रमाणपत्रांवर एकच नाव असेल, तर दुसरे जोडले जाण्याच्या क्षणी पहिल्याचे धोरण वारसाहक्काने घेते।

हा संघर्ष नोंदणीच्या वेळी तयार होतो आणि फक्त जोडणीच्या वेळी लक्षात येतो, सहसा एखाद्या उपकरणाला दुसऱ्या मशीनचा पत्ता किंवा मार्गसंच मिळाल्यावर। ते टाळण्यासाठी सर्व्हर कोणते क्षेत्र मॅप करतो हे ठरवावे लागते आणि मग काहीही स्वाक्षरी होण्यापूर्वी ते मूल्य राखून ठेवावे लागते।

तुमची प्रमाणपत्र साधने तुम्हाला इशारा देणार नाहीत, कारण X.509 मधील अद्वितीयता आणि OpenVPN धोरण नावाची अद्वितीयता वेगवेगळ्या प्रणालींनी लागू केलेल्या वेगवेगळ्या आवश्यकता आहेत।

सर्व्हर नाव शोधतो, बोटांचा ठसा नाही

नेहमीच्या प्रमाणपत्र-आधारित मॅपिंगमध्ये, सर्व्हर सादर केलेल्या प्रमाणपत्रातून सामान्य नाव घेतो आणि आपल्या क्लायंट कॉन्फिग डिरेक्टरीत त्या नावाची फाइल शोधतो। ती फाइल स्थिर पत्ता पिन करू शकते, मार्ग पुश करू शकते किंवा प्रत्येक क्लायंटसाठी फायरवॉल खुणा लागू करू शकते। शोध हा फाइल नावाशी स्ट्रिंग जुळणी आहे, म्हणून अक्षरांचा आकार, अंतर आणि विरामचिन्हे सर्व महत्त्वाची आहेत।

काही तैनाती जाणूनबुजून मॅपिंग बदलतात जेणेकरून प्रमाणित वापरकर्तानाव सामान्य नावाची जागा घेईल, आणि मग अद्वितीय असणे आवश्यक ते वापरकर्तानावच असते। कोणत्याही प्रकारे, धोरण निवडणारे मूल्य हेच तुम्ही राखून ठेवता। काहीही जारी करण्यापूर्वी कोणते ते ठरवा; संघर्षानंतर अंदाज लावणे विचारण्यापेक्षा जास्त महाग आहे।

जिथे दोन प्राधिकरणे एकाच नावावर येतात

एकापेक्षा जास्त जारीकर्ता प्राधिकरणांकडून प्रमाणपत्रे स्वीकारणारी संस्था एकाच नावजागेत लिहिणाऱ्या दोन स्वतंत्र नोंदणी प्रक्रिया चालवते। प्रत्येक प्राधिकरणाचे स्वतःचे अद्वितीयता नियम त्याच्या आत लागू होतात, त्यामुळे दोन्ही त्याच सामान्य नावासाठी कायदेशीरपणे जारी करू शकतात आणि कोणालाही काही चुकीचे लक्षात येत नाही।

अनुक्रमांक उपयोगी पडत नाहीत। X.509 अनुक्रमांक त्याच्या जारीकर्त्याच्या व्याप्तीत अद्वितीय असणे आवश्यक करते, जे त्या प्राधिकरणाच्या हिशोबाचे वैशिष्ट्य आहे, उपकरणाची जागतिक ओळख नाही। विषय तपासणीही सामान्य-नाव तपासणीपेक्षा वेगळी चाचणी आहे: दोन प्रमाणपत्रे एक CN सामायिक करू शकतात पण संस्थात्मक एककात भिन्न असू शकतात आणि म्हणून वेगळे विषय बाळगू शकतात। ही सर्व वैशिष्ट्ये टिकून असतानाही सर्व्हर दोन्ही प्रमाणपत्रे एकाच फाइल नावावर मॅप करतो।

OpenSSL CA दस्तऐवज त्याच्या स्वतःच्या डेटाबेसचे मत नियंत्रित करणारी unique_subject सेटिंग समाविष्ट करतात, आणि प्रामाणिक प्रारंभ बिंदू म्हणजे तुमची जारीकर्ता कॉन्फिगरेशन वाचणे, विशिष्ट EasyRSA किंवा OpenSSL डीफॉल्ट लागू आहे असे गृहीत धरण्याऐवजी।

स्वाक्षरीपूर्वी प्रभावी नाव राखून ठेवा

उपकरणाला त्याच्या मंजूर नोंदीशी आणि तिथून अचूक धोरण फाइल नावाशी मॅप करणारी नोंदवही ठेवा, जेणेकरून नाव एकदाच वाटले जाईल आणि वाटलेलेच राहील। आरक्षण अण्विक असणे आवश्यक आहे, ज्याचा प्रत्यक्ष अर्थ वाटा-मग-स्वाक्षरी करा या टप्प्याभोवती डेटाबेस मर्यादा किंवा कुलूप आहे, दोघे संपादित करणारी स्प्रेडशीट नाही।

मग तपासणी जारी करण्याचा भाग करा: मागितलेले नाव आधीच असेल तर स्वाक्षरी करण्यास नकार द्या, आणि त्या तपासणीत सर्व्हर ज्या सर्व प्राधिकरणांवर विश्वास ठेवतो ती सर्व समाविष्ट करा, कारण दुसऱ्या प्राधिकरणाने राखून ठेवलेले नावही तितकेच घेतलेले असते। स्पष्ट कारणासह नाकारलेली विनंती दुसऱ्याचा स्थिर पत्ता सतत मिळणाऱ्या उपकरणाबद्दलच्या तिकिटापेक्षा स्वस्त आहे।

नूतनीकरण जाणूनबुजून नावाचा पुनर्वापर करते

अस्तित्वात असलेल्या उपकरणासाठी पुन्हा जारी करणे त्याच धोरण नावाखाली नवीन अनुक्रमांक देईल, आणि हा संघर्ष नसून कायदेशीर पुनर्वापर आहे। आधीच ठरवावे लागणारे म्हणजे ओव्हरलॅप: जुने आणि नवीन प्रमाणपत्र एकाच वेळी वैध असू शकतात का, आणि जुने ओळखपत्र कसे सेवानिवृत्त होते।

हे सोडवण्यासाठी duplicate-cn कडे वळू नका। तो सर्व्हर पर्याय एकच नाव सादर करणाऱ्या एकाचवेळी जोडण्यांना नियंत्रित करतो; तो नोंदणीला कुलूप लावत नाही, आणि तो सुरू केल्याने एक सामायिक स्थिर पत्ता एकाच वेळी दोन मशीनसाठी सुरक्षित होत नाही। रद्दीकरण सहसा प्रमाणपत्र जारीकर्ता आणि अनुक्रमांकाने ओळखते, त्यामुळे जुने ओळखपत्र सेवानिवृत्त करण्याने त्याचा बदलणारा अवैध होणे आवश्यक नाही, जोपर्यंत सर्व्हर योग्य रद्दीकरण डेटा प्राप्त करतो आणि अंमलात आणतो।

मशीनवरील साधनांनी मॅपिंगची पुष्टी करा

उपकरणाला त्याचे नवीन ओळखपत्र देण्यापूर्वी, सर्व्हर ज्या पद्धतीने वाचेल त्या पद्धतीने प्रमाणपत्रातून नाव वाचा, आणि नंतर निवडले जाईल अशी अपेक्षा असलेल्या धोरण फाइलशी त्याची तुलना करा।

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

पहिला आदेश विषय क्षेत्रे स्वतंत्रपणे छापतो, ज्यामुळे भरकटलेले संस्थात्मक एकक किंवा दुहेरी अंतर लगेच दिसते। दुसरा त्या नावाखाली धोरण फाइल अस्तित्वात असल्याची पुष्टी करतो, आणि तिसरा सर्व्हर एका नावावर अनेक सत्रांना परवानगी देण्यासाठी कॉन्फिगर केलेला आहे का हे दाखवतो। चूक अजून घटनेऐवजी स्वाक्षरीचा खर्च असतानाच, नोंदणीचा टप्पा सोडण्यापूर्वी तीनही नवीन प्रमाणपत्रावर चालवा। आउटपुट तिकिटासोबत ठेवा, जेणेकरून पुढच्या व्यक्तीला सर्व्हरला प्रत्यक्षात कोणते नाव मिळाले हे दिसेल।

प्रत्यक्ष जोडणीने समारोप करा आणि नियुक्त केलेला पत्ता व पुश केलेले मार्ग लिहायचे होते त्याशी नाही, तर धोरण फाइलशी तुलना करा। दोन उपकरणांनी एकच स्थिर पत्ता नोंदवला तर नोंदवहीत असा संघर्ष आहे जो कोणत्याही प्रमाणपत्र तपासणीतून कधीही उघड होणार नाही।