दुई OpenVPN प्रमाणपत्रहरूले एउटै CCD नीति किन साझा गर्न सक्छन्

एउटा CA ले दुई प्रमाणपत्रहरूमा हस्ताक्षर गर्न सक्छ जसले एउटै OpenVPN ग्राहक-विशेष कन्फिगरेसन पाउँछन्, र दुवैमध्ये कुनै पनि प्रमाणपत्रमा केहीले कसैलाई चेतावनी दिँदैन। क्रमिक नम्बरहरू फरक छन्, कुञ्जीहरू फरक छन्, र संगठनात्मक इकाई परिवर्तन हुनेबित्तिकै पूर्ण विषयहरू पनि फरक हुन्छन्। सर्भरले प्रत्येक ग्राहकको नीति एउटै नाममार्फत निर्धारण गर्छ, र त्यो नाम नै अद्वितीय हुनुपर्ने एक मात्र कुरा हो।

सर्भरले नाम निर्धारण गर्छ, क्रमिक नम्बर होइन

सामान्य प्रमाणपत्र खोजीमा सर्भरले प्रस्तुत प्रमाणपत्रबाट सामान्य नाम लिन्छ र त्यो नामको client-config-dir प्रविष्टि खोज्छ। क्रमिक नम्बर कहिल्यै खोजीमा पर्दैन। सामान्य नामबाहेक सबै क्षेत्रमा फरक हुने दुई प्रमाणपत्रहरू एउटै फाइलमा पुग्छन्, त्यसैले दोस्रो जडानले पहिलो उपकरणको स्थिर ठेगाना र पठाइएका रुटहरू उत्तराधिकारमा पाउँछ।

यसरी CA पक्षको अद्वितीयता जाँच पास हुन्छ जबकि VPN अझै ठोकिन्छ। दुवै जाँचहरू फरक प्रश्नहरूको जवाफ दिन्छन्।

केही पनि हस्ताक्षर गर्नुअघि प्रभावकारी नाम के हुनुपर्छ भनेर निर्णय गर्नुहोस्, र त्यो जुन उपकरण वा खाताको हो त्यसको छेउमा लेख्नुहोस्। नाम, मालिक, उद्देश्य र प्रमाणपत्र फिङ्गरप्रिन्टको दर्ता अधिकांश तैनाथीहरूलाई समेट्छ। त्यो नभए प्रमाणपत्र अभिलेख नै कुन नाम कुन उपकरणको हो भन्ने एक मात्र अभिलेख हुन्छ, र त्यो अभिलेखले अधिकृत प्रतिस्थापनलाई विद्यमान नाम दाबी गर्ने दोस्रो उपकरणबाट छुट्याउन सक्दैन। नाम दर्ताको समयमै आरक्षित गर्नुहोस्, दुई अपरेटरले एकै समयमा जारी गर्न सक्छन् भने ताल्चा मुनि।

म्यापिङले वास्तवमै कुन नाम प्रयोग गर्छ

सामान्य प्रमाणपत्र खोजीले सामान्य नाम प्रयोग गर्छ। प्रमाणित प्रयोगकर्तानाम म्याप गर्न तयार पारिएको सर्भरले त्यसको सट्टा त्यो मान प्रयोग गर्छ, जसले नीति छनोटका लागि प्रमाणपत्रको सामान्य नामलाई अप्रासंगिक बनाउँछ। कुन म्यापिङ लागू छ हेर्न चलिरहेको कन्फिगरेसन पढ्नुहोस्।

दुवै म्यापिङ एकै समयमा हुन सक्छन्, र त्यसपछि परिणाम सर्भरले तिनीहरूलाई निर्धारण गर्ने क्रममा निर्भर हुन्छ। सामान्य नामतर्फ फर्कने प्रयोगकर्तानाम म्यापिङले दर्ताले कहिल्यै स्वीकृत नगरेको प्रमाणपत्र चुपचाप स्वीकार गर्नेछ। प्रभावकारी नाम त्यो उत्पन्न गर्ने आदेशको छेउमा लेख्नुहोस् ताकि अर्को अपरेटरले क्रम फेरि पत्ता लगाउनु नपरोस्। प्रत्येक म्यापिङका लागि एउटा जडान परीक्षण गर्नु सस्तो छ र प्रश्न टुंग्याउँछ।

म्यापिङले जे उत्पादन गरे पनि त्यही आरक्षित गर्नुपर्ने मान हो। CA मा सामान्य नामहरू आरक्षित गर्दा सर्भर प्रयोगकर्तानामहरूमा अडिएको छ भने गलत कुरा आरक्षित गरिन्छ।

दुई CA ले एउटै नाम स्वीकृत गर्न सक्छन्

VPN सेवाले एकभन्दा बढी जारी गर्ने निकायमा भरोसा गर्न सक्छ, र प्रत्येक निकायले कुन नामहरू लिइएका छन् भन्ने आफ्नै धारणा राख्छ। दुई स्वतन्त्र CA ले फरक उपकरणहरूका लागि एउटै सामान्य नाम दुवै स्वीकृत गर्न सक्छन्, र सर्भरले कुनै गुनासोबिना दुवै प्रमाणपत्र स्वीकार गर्छ। भरोसा बन्डलमा प्रत्येक निकायको सूची बनाउनुहोस्, सामान्यतया जारी गर्ने एउटा मात्र होइन। विफलता दोस्रो निकायको प्रमाणपत्र पहिलो पटक प्रयोग हुँदा देखिन्छ।

त्यही तर्क सामान्य नामको अद्वितीयताको सट्टा पूर्ण विषयको अद्वितीयता लागू गर्ने CA मा पनि लागू हुन्छ।

सामान्य नाम साझा गर्ने तर संगठनात्मक इकाईमा फरक दुई प्रमाणपत्रहरूका विषय फरक हुन्छन्, त्यसैले CA ले कुनै द्वन्द्व रिपोर्ट गर्दैन जबकि सर्भरले एउटै नाम देख्छ। पूर्वनिर्धारित मान्नुको सट्टा तपाईंको जारी गर्ने उपकरणले वास्तवमै प्रयोग गर्ने सेटिङ जाँच्नुहोस्। openssl ca कागजातमा unique_subject को व्यवस्थापन त्यहाँको सान्दर्भिक नियन्त्रक हो, र त्यो उपकरणवरिपरिका र्यापरहरूले सामान्यतया त्यसलाई प्रतिस्थापन गर्नुको सट्टा उजागर गर्छन्।

नवीकरण आरक्षित पुनःप्रयोग हो, ठोक्किनु होइन

नाम राख्ने नवीकरण जानाजानी पुनःप्रयोग हो, र दर्ताले त्यो सरल शब्दमा भन्नुपर्छ। पुरानो फिङ्गरप्रिन्ट र नयाँ एउटै नाममुनि लेख्नुहोस् ताकि समीक्षकले प्रतिस्थापन र कब्जा छुट्याउन सकोस्। सर्भरको duplicate-cn विकल्प यससँग सम्बन्धित छैन: त्यो एकैसाथका सत्रहरू नियन्त्रण गर्छ, दर्ता वा नाम आरक्षण होइन। दुवै प्रमाणहरू कति समय रहन सक्छन् र पुरानो कहिले स्वीकार गर्न छाडिन्छ भन्ने निर्णय गर्नुहोस्।

प्रतिस्थापन हस्तान्तरण गर्नुअघि प्रमाणपत्रमा वास्तवमै के छ पढ्नुहोस्। विषय रेखा नै सर्भरले म्याप गर्ने क्षेत्र हो, फाइलको नामले जे सुझाव दिए पनि।

openssl x509 -in device42.crt -noout -subject -serial -issuer

खारेजीले सामान्यतया प्रमाणपत्रलाई यसको जारीकर्तामुनि पहिचान गर्छ, त्यसैले एउटा क्रमिक नम्बर अवकाश दिनुले त्यही निकायबाट सही रूपमा जारी गरिएको प्रतिस्थापनलाई असर गर्दैन। यही व्यवहार स्वच्छ नवीकरणलाई चाहिन्छ, र यही कारणले खारेजीले दुई उपकरणले साझा गरेको नाम सफा गर्न सक्दैन। प्रयोगकर्ताले उपकरण देख्नुअघि परीक्षण जडानमा प्रभावकारी नीति नाम र तोकिएको ठेगाना प्रमाणित गर्नुहोस्। त्यसपछि पुरानो प्रमाण जानाजानी अवकाश दिनुहोस् र त्यसो गरेको लेख्नुहोस्।