दुई OpenVPN प्रमाणपत्र, एउटै CCD नाम: के गल्ती भयो

फरक क्रम संख्या, फरक कुञ्जी र फरक पूर्ण विषय भएका दुई ग्राहक प्रमाणपत्रहरू अझै एउटै नीति फाइलमा पुग्न सक्छन्, किनकि सर्भरले तीमध्ये केही पनि हेर्दैन। यसले प्रमाणपत्रबाट एउटा नाम पढ्छ र त्यससँग मेल खाने ग्राहक कन्फिग फाइल खोल्छ। यदि दुवै प्रमाणपत्रले एउटै नाम बोकेका छन् भने दोस्रोले जोडिने क्षणमै पहिलोको नीति उत्तराधिकारमा पाउँछ।

यो द्वन्द्व दर्ताको समयमा सिर्जना हुन्छ र जोडिने समयमा मात्र थाहा हुन्छ, सामान्यतया कुनै उपकरणले अर्को मेसिनको ठेगाना वा मार्गसमूह पाउँदा। यसलाई रोक्न सर्भरले कुन क्षेत्र म्याप गर्छ भनेर सहमति गर्नुपर्छ, अनि केही हस्ताक्षर हुनुअघि त्यो मान आरक्षित गर्नुपर्छ।

तपाईंका प्रमाणपत्र उपकरणहरूले चेतावनी दिँदैनन्, किनकि X.509 भित्रको अद्वितीयता र OpenVPN नीति नामको अद्वितीयता फरक प्रणालीले लागू गर्ने फरक आवश्यकताहरू हुन्।

सर्भरले नाम खोज्छ, औंठाछाप होइन

सामान्य प्रमाणपत्र-आधारित म्यापिङमा, सर्भरले प्रस्तुत प्रमाणपत्रबाट सामान्य नाम लिन्छ र आफ्नो ग्राहक कन्फिग डाइरेक्टरीमा त्यो नामको फाइल खोज्छ। त्यो फाइलले स्थिर ठेगाना पिन गर्न, मार्ग पुश गर्न वा प्रत्येक ग्राहकका लागि फायरवाल चिन्ह लागू गर्न सक्छ। खोज फाइल नामसँग स्ट्रिङ मिलान हो, त्यसैले अक्षरको आकार, खाली ठाउँ र विरामचिन्ह सबै महत्त्वपूर्ण छन्।

केही तैनाथीहरूले जानाजान म्यापिङ फेर्छन् ताकि प्रमाणित प्रयोगकर्तानामले सामान्य नामको ठाउँ लिन्छ, र त्यसपछि अद्वितीय हुनुपर्ने भनेको प्रयोगकर्तानाम नै हो। जसरी भए पनि, नीति छान्ने मान नै तपाईंले आरक्षित गर्ने मान हो। केही जारी गर्नुअघि कुन हो भनेर निर्णय गर्नुहोस्; द्वन्द्वपछि अनुमान गर्नु सोध्नुभन्दा महँगो पर्छ।

जहाँ दुई अधिकारीहरू एउटै नाममा भेटिन्छन्

एकभन्दा बढी जारीकर्ता अधिकारीबाट प्रमाणपत्र स्वीकार गर्ने संस्थाले एउटै नामस्थानमा लेख्ने दुई स्वतन्त्र दर्ता प्रक्रिया चलाउँछ। प्रत्येक अधिकारीका आफ्नै अद्वितीयता नियमहरू उसैभित्र लागू हुन्छन्, त्यसैले दुवैले एउटै सामान्य नामका लागि कानुनी रूपमा जारी गर्न सक्छन् र कसैले पनि केही गलत देख्दैन।

क्रम संख्याहरूले सहयोग गर्दैनन्। X.509 ले क्रम संख्या आफ्नो जारीकर्ताको दायराभित्र अद्वितीय हुनुपर्ने माग गर्छ, जुन त्यो अधिकारीको लेखाको गुण हो, विश्वव्यापी उपकरण पहिचान होइन। विषय जाँच पनि सामान्य-नाम जाँचभन्दा फरक परीक्षण हो: दुई प्रमाणपत्रले एउटै CN साझा गर्न सक्छन् तर संस्थागत इकाइमा फरक हुन सक्छन् र त्यसैले फरक विषय बोक्न सक्छन्। यी सबै गुणहरू कायम रहँदा पनि सर्भरले दुवै प्रमाणपत्रलाई एउटै फाइल नाममा म्याप गर्छ।

OpenSSL CA कागजात ले आफ्नै डेटाबेसको राय नियन्त्रण गर्ने unique_subject सेटिङ समेट्छ, र इमानदार सुरुवात बिन्दु भनेको तपाईंको जारीकर्ता कन्फिगरेसन पढ्नु हो, कुनै विशेष EasyRSA वा OpenSSL पूर्वनिर्धारित लागू हुन्छ भनेर अनुमान गर्नुभन्दा।

हस्ताक्षरअघि प्रभावकारी नाम आरक्षित गर्नुहोस्

उपकरणलाई त्यसको स्वीकृत अभिलेखसँग र त्यहाँबाट सटीक नीति फाइल नामसँग म्याप गर्ने दर्ता राख्नुहोस्, ताकि नाम एक पटक बाँडिन्छ र बाँडिएकै रहन्छ। आरक्षण परमाणविक हुनुपर्छ, जसको व्यावहारिक अर्थ बाँड-अनि-हस्ताक्षर गर्ने चरण वरिपरि डेटाबेस बाधा वा ताल्चा हो, दुई जनाले सम्पादन गर्ने स्प्रेडसिट होइन।

त्यसपछि जाँचलाई जारी गर्नेको भाग बनाउनुहोस्: मागिएको नाम पहिले नै भएमा हस्ताक्षर गर्न अस्वीकार गर्नुहोस्, र त्यो जाँचमा सर्भरले विश्वास गर्ने हरेक अधिकारीलाई समावेश गर्नुहोस्, किनकि अर्को अधिकारीले आरक्षित गरेको नाम पनि त्यत्तिकै लिइएको हुन्छ। स्पष्ट कारणसहित अस्वीकृत अनुरोध अरू कसैको स्थिर ठेगाना पाइरहने उपकरणबारे टिकटभन्दा सस्तो हुन्छ।

नवीकरणले जानाजान नाम पुनःप्रयोग गर्छ

अवस्थित उपकरणका लागि पुनः जारी गर्दा उही नीति नामअन्तर्गत नयाँ क्रम संख्या दिनुपर्छ, र त्यो द्वन्द्व होइन, कानुनी पुनःप्रयोग हो। पहिले नै निर्णय गर्नुपर्ने भनेको ओभरल्याप हो: पुरानो र नयाँ प्रमाणपत्र एकै समयमा वैध हुन सक्छन् कि, र पुरानो परिचयपत्र कसरी अवकाश हुन्छ।

यो समाधान गर्न duplicate-cn तिर नलाग्नुहोस्। त्यो सर्भर विकल्पले एउटै नाम प्रस्तुत गर्ने एकैसमयका जडानहरू नियन्त्रण गर्छ; यसले दर्ता ताल्चा लगाउँदैन, र यसलाई सक्षम गर्दा एउटा साझा स्थिर ठेगाना एकै समयमा दुई मेसिनका लागि सुरक्षित हुँदैन। रद्दीकरणले सामान्यतया प्रमाणपत्रलाई जारीकर्ता र क्रम संख्याद्वारा चिन्छ, त्यसैले पुरानो परिचयपत्र अवकाश गर्दा त्यसको प्रतिस्थापन अवैध हुनु आवश्यक छैन, जबसम्म सर्भरले सही रद्दीकरण डेटा प्राप्त गर्छ र लागू गर्छ।

मेसिनमा भएका उपकरणले म्यापिङ पुष्टि गर्नुहोस्

उपकरणलाई त्यसको नयाँ परिचयपत्र दिनुअघि, सर्भरले पढ्ने तरिकाले प्रमाणपत्रबाट नाम पढ्नुहोस्, अनि छानिने अपेक्षा गरेको नीति फाइलसँग तुलना गर्नुहोस्।

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

पहिलो आदेशले विषय क्षेत्रहरू अलग-अलग छाप्छ, जसले भुलेको संस्थागत इकाइ वा दोब्बर खाली ठाउँलाई तुरुन्तै देखिने बनाउँछ। दोस्रोले ठ्याक्कै त्यही नामअन्तर्गत नीति फाइल अवस्थित रहेको पुष्टि गर्छ, र तेस्रोले सर्भर एउटै नाममा धेरै सत्र अनुमति दिन कन्फिगर गरिएको छ कि छैन देखाउँछ। गल्ती अझै घटनाको सट्टा हस्ताक्षरको लागत हुँदै, दर्ता चरण छोड्नुअघि तीनवटै नयाँ प्रमाणपत्रमा चलाउनुहोस्। आउटपुट टिकटसँगै राख्नुहोस् ताकि अर्को व्यक्तिले सर्भरलाई वास्तवमा कुन नाम दिइयो देख्न सकोस्।

वास्तविक जडानसँग अन्त्य गर्नुहोस् र तोकिएको ठेगाना तथा पुश गरिएका मार्गलाई लेख्न खोजेको कुरासँग होइन, नीति फाइलसँग तुलना गर्नुहोस्। यदि दुई उपकरणले एउटै स्थिर ठेगाना रिपोर्ट गरे भने दर्तामा यस्तो द्वन्द्व छ जुन कुनै प्रमाणपत्र निरीक्षणले कहिल्यै खुलासा गर्ने छैन।