Satu Nama Biasa, Dua Sijil: Senarai Benar atau Batal?

Mengeluarkan semula sijil komputer riba di bawah nama biasa yang sama terasa seperti penggantian, dan semua orang menganggap yang lama sudah mati. Ia tidak. Pendahulu itu kekal sebagai sijil sah yang ditandatangani oleh pihak berkuasa yang sama, dan mana-mana kawalan yang menerima klien mengikut nama akan terus menerimanya. Yang memisahkan semakan identiti daripada semakan kelayakan ialah nombor siri, dan di situlah pembaikannya perlu diletakkan.

Mulakan dengan dasar penamaan yang digunakan pelayan

Dua kawalan dicampur aduk: menerima klien kerana siapa yang didakwanya, dan mengeluarkan satu sijil tertentu daripada perkhidmatan. Yang pertama ialah semakan nama, yang kedua ialah semakan pembatalan. Kedua-duanya menjawab soalan yang berbeza, dan sesuatu penggunaan boleh mempunyai satu tanpa yang lain.

Baca konfigurasi pelayan dan catat sumber identiti mana yang digunakan. username-as-common-name menjadikan nama pengguna yang disahkan sebagai nama berkesan untuk carian khusus klien. Tanpanya, nama biasa subjek daripada sijil digunakan. Apa pun jawapannya, tuliskannya sebelum anda menyentuh mana-mana senarai nama yang dibenarkan.

Kedua-dua laluan menghasilkan set nama yang dibenarkan berbeza untuk sijil yang sama. Meneka di sini bermakna menyunting fail yang salah dan membuat kesimpulan bahawa kawalan itu tidak berfungsi.

Semak apa yang sebenarnya menerima klien

Satu client-config-dir dengan fail yang sepadan membekalkan pilihan khusus klien; dengan sendirinya ia bukan peraturan penerimaan. Penerimaan mengikut nama memerlukan ccd-exclusive, yang menolak klien yang tiada fail sepadan. Mengaktifkannya pada penggunaan langsung akan memutuskan semua orang yang namanya tiada fail, jadi kira fail sebelum anda menukar apa-apa.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Kiraan itu ialah semakannya: bandingkan senarai direktori dengan identiti yang anda jangkakan akan bersambung.

Kemudian pastikan setiap nama fail sepadan tepat dengan identiti berkesan, termasuk huruf besar kecil dan jarak. Fail untuk office-laptop tidak melakukan apa-apa kepada sijil yang subjeknya terbaca Office-Laptop. Jarak di hujung juga tersembunyi daripada senarai biasa, dan itulah sebabnya fail yang kelihatan ada kekal tidak dibaca.

Semak CRL yang dimuatkan oleh gerbang

CRL menamakan sijil yang dibatalkan mengikut pengeluar dan nombor siri, itulah kehalusan yang tiada pada semakan nama. Dua sijil boleh berkongsi nama biasa dan berbeza dari segi nombor siri, dan hanya senarai pada tahap nombor siri memisahkan kedua-duanya.

Sahkan laluan yang dikonfigurasikan, tarikh pengeluaran dan medan kemas kini seterusnya sebelum mempercayai fail itu sama sekali.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Bandingkan nombor siri dalam CRL dengan nombor siri pada sijil yang anda mahu kekalkan. Perbandingan itulah keseluruhan ujiannya, dan melakukannya sekali dengan mata lebih bernilai daripada mempercayai skrip yang tiada siapa baca. Edarkan CRL yang dikemas kini melalui laluan yang sudah dibaca oleh gerbang. CRL yang terletak di direktori salah tidak menguatkuasakan apa-apa, dan tiada log klien akan menyebutnya.

Ganti, kemudian buktikan kedua-dua hasil

Keluarkan pengganti di bawah nama biasa yang sama, catat kedua-dua nombor siri, dan barulah batalkan yang lama. Urutan itu mengekalkan identiti yang berfungsi tersedia semasa anda menyediakan perubahan.

Uji pengganti dahulu: ia sepatutnya disahkan dan mencapai apa sahaja yang menjadi hak namanya. Kemudian uji sijil lama dan pastikan ia ditolak, kerana penggantian yang berjaya tidak mengatakan apa-apa tentang pembatalan. Jika kedua-duanya masih bersambung, input pembatalan tidak dibaca atau nombor siri lama tidak pernah disenaraikan. Jika kedua-duanya tidak bersambung, anda telah merosakkan peraturan penerimaan, bukan kelayakan.

Sesi yang sudah terbentuk ialah perkara berasingan, kerana pembatalan terpakai kepada pengesahan baharu melainkan gerbang juga dikonfigurasikan untuk memutuskan sambungan yang aktif. Tentukan sama ada penyingkiran segera diperlukan sebelum anda menjanjikannya kepada sesiapa.

Apa yang semakan nama tidak pernah boleh lakukan

Senarai yang dibenarkan menjawab sama ada identiti ini boleh bersambung. Ia tidak boleh menyatakan sijil mana yang identiti itu gunakan, dan ia akan menerima kelayakan lama selagi kelayakan itu kekal sah dan tidak dibatalkan. Jurang itu terserlah semasa insiden, apabila pengganti dikeluarkan berbulan-bulan lalu dan pendahulunya masih berfungsi.

Di mana kawalan peringkat sijil diperlukan, gunakan mekanisme yang menamakan sijil itu: entri CRL, atau cangkuk pengesahan yang menyemak cap jari yang diselenggara oleh operator. Kedua-duanya memerlukan penyelenggaraan, dan kedua-duanya jujur tentang objek yang diperiksa. manual OpenVPN 2.6 mendokumenkan crl-verify dan penerimaan khusus klien sebagai pilihan berasingan, atas sebab itu.

Tuliskan kawalan mana melakukan tugas mana, kemudian uji kes negatif. Pembatalan yang tidak pernah anda lihat menolak sambungan ialah konfigurasi yang anda harap berfungsi.