दोन OpenVPN प्रमाणपत्रे एकच CCD धोरण का सामायिक करू शकतात

एक CA दोन प्रमाणपत्रांवर स्वाक्षरी करू शकतो ज्यांना तेच OpenVPN क्लायंट-विशिष्ट कॉन्फिगरेशन मिळते, आणि दोन्हीपैकी कोणत्याही प्रमाणपत्रात काहीही कोणालाही इशारा देत नाही। क्रमांक वेगळे आहेत, किल्ल्या वेगळ्या आहेत, आणि संस्थात्मक एकक बदलताच संपूर्ण विषयही वेगळे होतात। सर्व्हर एका नावाने प्रति-क्लायंट धोरण ठरवतो, आणि तेच नाव एकमेव अशी गोष्ट आहे जी अद्वितीय असणे आवश्यक आहे।

सर्व्हर नाव ठरवतो, क्रमांक नाही

सामान्य प्रमाणपत्र शोधात सर्व्हर सादर केलेल्या प्रमाणपत्रातून सामान्य नाव घेतो आणि त्या नावाची client-config-dir नोंद शोधतो। क्रमांक कधीही शोधात येत नाही। सामान्य नावाशिवाय इतर सर्व क्षेत्रांमध्ये भिन्न असलेली दोन प्रमाणपत्रे एकाच फाइलवर येतात, त्यामुळे दुसरे कनेक्शन पहिल्या उपकरणाचा स्थिर पत्ता आणि पाठवलेले मार्ग वारसा घेते।

अशा प्रकारे CA बाजूची अद्वितीयता तपासणी उत्तीर्ण होते, तरीही VPN अजूनही टक्कर देतो। दोन्ही तपासण्या वेगवेगळ्या प्रश्नांची उत्तरे देतात।

काहीही स्वाक्षरी करण्यापूर्वी प्रभावी नाव काय असावे हे ठरवा, आणि ते ज्या उपकरणाचे किंवा खात्याचे आहे त्याच्या शेजारी नोंदवा। नाव, मालक, हेतू आणि प्रमाणपत्राच्या बोटांच्या ठशाची नोंदणी बहुतेक तैनाती व्यापते। ती नसल्यास प्रमाणपत्र संग्रह हाच कोणते नाव कोणत्या उपकरणाचे आहे याचा एकमेव अभिलेख ठरतो, आणि तो संग्रह अधिकृत बदली आणि विद्यमान नावावर दावा करणारे दुसरे उपकरण यात फरक करू शकत नाही। नोंदणीच्या वेळी नाव राखीव ठेवा, दोन ऑपरेटर एकाच वेळी जारी करू शकत असतील तर कुलुपाखाली।

मॅपिंग प्रत्यक्षात कोणते नाव वापरते

सामान्य प्रमाणपत्र शोध सामान्य नाव वापरतो। प्रमाणित वापरकर्तानाव मॅप करण्यासाठी तयार केलेला सर्व्हर त्याऐवजी ते मूल्य वापरतो, ज्यामुळे प्रमाणपत्राचे सामान्य नाव धोरण-निवडीसाठी अप्रस्तुत होते। कोणते मॅपिंग लागू आहे हे पाहण्यासाठी चालू कॉन्फिगरेशन वाचा।

दोन्ही मॅपिंग एकाच वेळी असू शकतात, आणि मग निकाल सर्व्हर त्यांचे निराकरण करतो त्या क्रमावर अवलंबून असतो। सामान्य नावाकडे परत जाणारे वापरकर्तानाव मॅपिंग नोंदणीने कधीही मंजूर न केलेले प्रमाणपत्र शांतपणे स्वीकारेल। प्रभावी नाव ते तयार करणाऱ्या आदेशाच्या शेजारी लिहा, जेणेकरून पुढील ऑपरेटरला क्रम पुन्हा शोधावा लागणार नाही। प्रत्येक मॅपिंगसाठी एक कनेक्शन तपासणे स्वस्त आहे आणि प्रश्न मिटवते।

मॅपिंग काहीही निर्माण करो, तेच राखीव ठेवायचे मूल्य आहे। CA मध्ये सामान्य नावे राखीव ठेवताना सर्व्हर वापरकर्तानावांवर अवलंबून असेल तर चुकीची गोष्ट राखीव ठेवली जाते।

दोन CA एकच नाव मंजूर करू शकतात

VPN सेवा एकापेक्षा जास्त जारीकर्त्या प्राधिकरणांवर विश्वास ठेवू शकते, आणि प्रत्येक प्राधिकरण कोणती नावे घेतली आहेत याबद्दल स्वतःची कल्पना ठेवते। दोन स्वतंत्र CA वेगवेगळ्या उपकरणांसाठी एकच सामान्य नाव दोन्ही मंजूर करू शकतात, आणि सर्व्हर तक्रार न करता दोन्ही प्रमाणपत्रे स्वीकारतो। विश्वास बंडलमधील प्रत्येक प्राधिकरणाची यादी करा, केवळ तुम्ही सहसा ज्यातून जारी करता त्याची नाही। दुसऱ्या प्राधिकरणाचे प्रमाणपत्र प्रथम वापरल्यावर बिघाड दिसतो।

तेच तर्क सामान्य नावाच्या अद्वितीयतेऐवजी संपूर्ण विषयाची अद्वितीयता लादणाऱ्या CA ला देखील लागू होते।

सामान्य नाव सामायिक करणारी पण संस्थात्मक एककात भिन्न असलेली दोन प्रमाणपत्रे वेगवेगळे विषय असतात, त्यामुळे CA कोणताही संघर्ष नोंदवत नाही तर सर्व्हर एकच नाव पाहतो। डीफॉल्ट गृहीत धरण्याऐवजी तुमचे जारीकर्ते साधन प्रत्यक्षात वापरत असलेली सेटिंग तपासा। openssl ca दस्तऐवजातील unique_subject हाताळणी हे तेथील संबंधित नियंत्रक आहे, आणि त्या साधनाभोवतीचे रॅपर सहसा ते बदलण्याऐवजी उघड करतात।

नूतनीकरण हा राखीव पुनर्वापर आहे, टक्कर नाही

नाव टिकवणारे नूतनीकरण हा जाणीवपूर्वक पुनर्वापर आहे, आणि नोंदणीने ते सोप्या शब्दांत सांगितले पाहिजे। जुना ठसा आणि नवीन एकाच नावाखाली नोंदवा, जेणेकरून पुनरावलोकक बदली आणि ताबा घेणे यात फरक करू शकेल। सर्व्हरचा duplicate-cn पर्याय याच्याशी संबंधित नाही: तो एकाचवेळी सत्रे नियंत्रित करतो, नोंदणी किंवा नाव राखीव ठेवणे नाही। दोन्ही क्रेडेन्शियल किती काळ राहू शकतात आणि जुने कधी स्वीकारणे थांबते हे ठरवा।

बदली सुपूर्द करण्यापूर्वी प्रमाणपत्रात प्रत्यक्षात काय आहे ते वाचा। विषय ओळ हेच क्षेत्र सर्व्हर मॅप करेल, फाइलचे नाव काहीही सुचवो।

openssl x509 -in device42.crt -noout -subject -serial -issuer

रद्दीकरण सहसा प्रमाणपत्र त्याच्या जारीकर्त्याखाली ओळखते, त्यामुळे एक क्रमांक निवृत्त करणे त्याच प्राधिकरणाच्या योग्यरित्या जारी केलेल्या बदलीवर परिणाम करत नाही। हेच वर्तन स्वच्छ नूतनीकरणास आवश्यक आहे, आणि म्हणूनच रद्दीकरण दोन उपकरणांनी सामायिक केलेले नाव स्वच्छ करू शकत नाही। वापरकर्त्याने उपकरण पाहण्यापूर्वी चाचणी कनेक्शनवर प्रभावी धोरण-नाव आणि नियुक्त पत्ता सत्यापित करा। नंतर जुने क्रेडेन्शियल जाणीवपूर्वक निवृत्त करा आणि तसे केल्याची नोंद करा।