OpenVPN client-config-dir: nama fail lawan CN sijil

Dua nama terlibat sebelum klien menyambung: nama fail pada komputer riba (nuc.ovpn) dan identiti yang diterbitkan pelayan daripada kelayakan. Carian client-config-dir menggunakan yang kedua. Menamakan semula profil pada klien, atau menambah .conf pada fail pelayan, tidak mengubah fail mana yang dibuka oleh pelayan.

Perbandingan yang berguna bukan «nama mana yang saya gunakan» tetapi «peraturan mana yang digunakan pelayan», kerana pengesahan sijil dan pengesahan nama pengguna/kata laluan boleh menghasilkan nama berkesan yang berbeza daripada log masuk yang sama.

Nama profil lawan nama biasa sijil

Dalam persediaan berasaskan sijil lalai, pelayan mengambil nama biasa X.509 dan mencari fail dengan nama tepat itu dalam client-config-dir. Profil bernama nuc.ovpn yang sijilnya berkata tester diselesaikan kepada /etc/openvpn/server/ccd/tester. Nama fail klien tidak pernah masuk ke dalam pengiraan. Di situlah ketidakpadanan pertama bersembunyi.

Oleh itu direktori penuh dengan profil yang dinamakan rapi boleh tersasar setiap kali. Fail tidak dipadankan mengikut subject, alamat e-mel atau nama yang dipaparkan dalam GUI; ia dipadankan mengikut rentetan nama biasa.

Pada sistem fail yang sensitif huruf besar, Tester dan tester ialah dua fail berbeza, dan hanya satu dibuka. Semak nama biasa daripada sijil yang benar-benar dikemukakan klien, bukan daripada salinan dalam nota anda.

username-as-common-name menterbalikkan peraturan

Apabila pelayan menjalankan pengesahan nama pengguna/kata laluan dengan username-as-common-name, nama pengguna yang disahkan menggantikan nama biasa sijil untuk carian ini.

Bandingkan kedua-dua kes secara langsung: dengan identiti sijil, fail mengikut sijil dan pertukaran kata laluan tidak relevan; dengan identiti nama pengguna, fail mengikut nama log masuk dan pengeluaran semula sijil tidak relevan. Medan yang digantikan pelayan itulah asas untuk menamakan semula. Sijil yang dikeluarkan semula dengan CN baharu menukar sasaran carian secara senyap, dan fail CCD lama kekal di cakera dan kelihatan betul.

Terdapat konfigurasi bercampur, dan di situlah kebanyakan kekeliruan bermula. Jika satu blok perkhidmatan menghidupkan penggantian dan yang lain tidak, nama berkesan bergantung pada instans mana yang mengendalikan sambungan. Sahkan konfigurasi aktif dan jangan menganggap fail global terpakai. Rujukan pilihan pelayan huluan mendokumenkan carian fail bernama dan sandaran pilihan.

Apa yang dibaca pelayan, dan apa yang dilangkaunya secara senyap

Dua perbezaan kecil menentukan sama ada sesuatu fail dipilih. Yang pertama ialah sambungan tambahan. Yang kedua ialah aksara tersasar dalam nama.

OpenVPN tidak menambah .conf pada nama yang dicarinya, jadi tester.conf tidak sepadan dengan tester. Editor yang menyembunyikan sambungan boleh meninggalkan fail yang kelihatan betul dalam senarai dan tidak pernah sepadan.

Apabila tiada fail yang sepadan, pelayan boleh berpatah balik kepada fail bernama DEFAULT. Jadi ketibaan sesetengah tetapan bukan bukti bahawa fail setiap klien digunakan. Bandingkan alamat yang diberikan atau laluan yang ditolak dengan apa yang akan dihasilkan fail setiap klien. Kebenaran ialah penapis ketiga, kerana pelayan membuka fail selepas melepaskan keistimewaan; shell root yang boleh membacanya tidak membuktikan apa-apa.

Nama fail yang betul tidak mengesahkan kandungan

Pemilihan dan kandungan ialah kegagalan berasingan. Setelah fail yang betul dibuka, arahannya masih perlu sah untuk klien itu.

ifconfig-push mesti memberikan alamat yang benar-benar boleh digunakan topologi, dan iroute hanya bermakna untuk subrangkaian berarah di belakang klien itu.

Satu identiti, beberapa peranti

Dua komputer riba yang mengemukakan nama biasa yang sama memilih fail yang sama dan menerima tetapan khusus klien yang sama. Jika anda memerlukan alamat berasingan atau pembatalan berasingan, anda memerlukan identiti berasingan, bukan dua salinan satu fail.

Perbandingan ialah antara berkongsi identiti dan mengeluarkan satu sijil bagi setiap peranti. Berkongsi lebih mudah ditadbir dan lebih kasar untuk dibatalkan, manakala sijil setiap peranti memerlukan lebih banyak persediaan dan memberi anda unit bersih untuk dinyahdayakan.