Mengapa dua sijil OpenVPN boleh berkongsi satu dasar CCD

Satu CA boleh menandatangani dua sijil yang mendapat OpenVPN konfigurasi khusus klien yang sama, dan tiada apa-apa dalam mana-mana sijil itu memberi amaran kepada sesiapa. Nombor siri berbeza, kunci berbeza, dan subjek penuh juga berbeza sebaik sahaja unit organisasi berubah. Pelayan menentukan dasar setiap klien melalui satu nama, dan nama itulah satu-satunya perkara yang mesti unik.

Pelayan menyelesaikan nama, bukan nombor siri

Dengan carian sijil biasa, pelayan mengambil nama umum daripada sijil yang dikemukakan dan mencari entri client-config-dir dengan nama itu. Nombor siri tidak pernah masuk ke dalam carian. Dua sijil yang berbeza dalam setiap medan kecuali nama umum berakhir dalam fail yang sama, jadi sambungan kedua mewarisi alamat tetap dan laluan yang ditolak daripada peranti pertama.

Begitulah pemeriksaan keunikan di pihak CA lulus manakala VPN masih berlanggar. Kedua-dua pemeriksaan menjawab soalan yang berbeza.

Putuskan apa nama berkesannya sebelum menandatangani apa-apa, dan catatkan di sebelah peranti atau akaun yang memilikinya. Daftar nama, pemilik, tujuan dan cap jari sijil merangkumi kebanyakan penggunaan. Tanpanya, arkib sijil ialah satu-satunya rekod nama mana milik peranti mana, dan arkib itu tidak dapat membezakan penggantian dibenarkan daripada peranti kedua yang menuntut nama sedia ada. Rizab nama itu semasa pendaftaran, di bawah kunci jika dua pengendali boleh mengeluarkan pada masa yang sama.

Nama mana yang sebenarnya digunakan oleh pemetaan

Carian sijil biasa menggunakan nama umum. Pelayan yang disediakan untuk memetakan nama pengguna yang disahkan menggunakan nilai itu sebagai gantinya, yang menjadikan nama umum sijil tidak relevan untuk pemilihan dasar. Baca konfigurasi yang sedang berjalan untuk melihat pemetaan mana yang berkuat kuasa.

Kedua-dua pemetaan boleh hadir serentak, dan hasilnya bergantung pada susunan pelayan menyelesaikannya. Pemetaan nama pengguna yang jatuh kembali kepada nama umum akan menerima secara senyap sijil yang tidak pernah diluluskan oleh daftar. Tulis nama berkesan di sebelah arahan yang menghasilkannya supaya pengendali seterusnya tidak perlu menemui semula susunannya. Menguji satu sambungan bagi setiap pemetaan murah dan menyelesaikan persoalannya.

Apa pun yang dihasilkan oleh pemetaan, itulah nilai yang perlu dirizab. Merizab nama umum dalam CA sedangkan pelayan bergantung pada nama pengguna bermakna merizab perkara yang salah.

Dua CA boleh meluluskan nama yang sama

Perkhidmatan VPN boleh mempercayai lebih daripada satu pihak berkuasa pengeluar, dan setiap pihak berkuasa menyimpan tanggapannya sendiri tentang nama mana yang telah diambil. Dua CA bebas boleh kedua-duanya meluluskan nama umum yang sama untuk peranti berbeza, dan pelayan menerima kedua-dua sijil tanpa aduan. Inventori setiap pihak berkuasa dalam bundel kepercayaan, bukan hanya yang biasa anda keluarkan. Kegagalan muncul kali pertama sijil daripada pihak berkuasa kedua digunakan.

Hujah yang sama terpakai kepada CA yang menguatkuasakan keunikan subjek penuh dan bukannya keunikan nama umum.

Dua sijil yang berkongsi nama umum tetapi berbeza unit organisasi mempunyai subjek berbeza, jadi CA tidak melaporkan konflik manakala pelayan melihat satu nama. Semak tetapan yang benar-benar digunakan oleh alat pengeluar anda dan bukannya menganggap nilai lalai. pengendalian unique_subject dalam dokumentasi openssl ca ialah tombol yang relevan di sana, dan pembalut di sekeliling alat itu biasanya mendedahkannya dan bukannya menggantikannya.

Pembaharuan ialah penggunaan semula yang dirizab, bukan perlanggaran

Pembaharuan yang mengekalkan nama ialah penggunaan semula yang disengajakan, dan daftar itu harus menyatakannya dengan kata-kata mudah. Catatkan cap jari lama dan yang baharu di bawah satu nama supaya penyemak dapat membezakan penggantian daripada pengambilalihan. Pilihan duplicate-cn pelayan tidak berkaitan: ia mengawal sesi serentak, bukan pendaftaran atau rizab nama. Putuskan berapa lama kedua-dua kelayakan boleh wujud dan bila yang lama tidak lagi diterima.

Sebelum menyerahkan penggantian, baca semula apa yang sebenarnya terkandung dalam sijil. Baris subjek ialah medan yang akan dipetakan oleh pelayan, apa pun yang dicadangkan oleh nama fail.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Pembatalan biasanya mengenal pasti sijil di bawah pengeluarannya, jadi bersara satu nombor siri tidak menjejaskan penggantian yang dikeluarkan dengan betul daripada pihak berkuasa yang sama. Tingkah laku itulah yang diperlukan oleh pembaharuan yang bersih, dan itulah sebabnya pembatalan tidak dapat membersihkan nama yang dikongsi oleh dua peranti. Sahkan nama dasar berkesan dan alamat yang diperuntukkan pada sambungan ujian sebelum pengguna melihat peranti itu. Kemudian bersarakan kelayakan lama dengan sengaja dan catatkan bahawa anda telah berbuat demikian.