OpenVPN client-config-dir: filnamn kontra CN-en til sertifikatet

To namn er i spel før klienten i det heile koplar til: filnamnet på laptopen (nuc.ovpn) og identiteten tenaren utleier frå legitimasjonen. Eit client-config-dir-oppslag brukar det andre. Å gi profilen nytt namn på klienten, eller å leggje til .conf på tenarfila, endrar ingenting ved kva fil tenaren opnar.

Den nyttige samanlikninga er ikkje «kva namn brukte eg», men «kva regel brukar tenaren», fordi sertifikatautentisering og brukarnamn/passord-autentisering kan gi ulike effektive namn frå same innlogging.

Profilnamn kontra fellesnamnet på sertifikatet

I standardoppsettet basert på sertifikat tek tenaren X.509-fellesnamnet og leitar etter ei fil med nøyaktig det namnet inne i client-config-dir. Ein profil som heiter nuc.ovpn og der sertifikatet seier tester, blir løyst til /etc/openvpn/server/ccd/tester. Filnamnet til klienten inngår aldri i utrekninga. Det er den første staden eit avvik gøymer seg.

Ei mappe full av omhyggeleg namngitte profilar kan difor bomme kvar gong. Fila blir ikkje matcha på subject, på e-postadresse eller på namnet som blir vist i eit GUI; ho blir matcha på fellesnamn-strengen.

På eit filsystem som skil mellom store og små bokstavar, er Tester og tester to ulike filer, og berre éi blir nokon gong opna. Sjekk fellesnamnet frå sertifikatet klienten faktisk legg fram, ikkje frå ein kopi i notata dine.

username-as-common-name snur regelen

Når tenaren køyrer brukarnamn/passord-autentisering med username-as-common-name, erstattar det autentiserte brukarnamnet fellesnamnet på sertifikatet for dette oppslaget.

Samanlikn dei to tilfella direkte: med sertifikatidentitet følgjer fila sertifikatet, og ei passordendring er irrelevant; med brukarnamnidentitet følgjer fila innloggingsnamnet, og ei ny utgiving av sertifikatet er irrelevant. Feltet tenaren erstattar, er det namnet må tilpassast. Eit nyutgitt sertifikat med ny CN endrar oppslagsmålet lydlaust, og den gamle CCD-fila blir liggjande på disken og ser riktig ut.

Blanda konfigurasjonar finst, og det er der det meste av forvirringa startar. Viss éin tenesteblokk slår på erstatninga og ein annan ikkje, avheng det effektive namnet av kva instans som handsama tilkoplinga. Stadfest den aktive konfigurasjonen i staden for å gå ut frå at den globale fila gjeld. Den opphavlege referansen for tenarval dokumenterer oppslaget på det namngitte filnamnet og den valfrie fallbacken.

Kva tenaren les, og kva han lydlaust hoppar over

To små skilnader avgjer om ei fil blir vald. Den første er ei tilføydd utviding. Den andre er eit framand teikn i namnet.

OpenVPN legg ikkje til .conf på namnet det leitar etter, så tester.conf svarar ikkje til tester. Ein editor som skjuler filendingar kan etterlate ei fil som ser riktig ut i ei liste og aldri svarar til noko.

Når det ikkje finst ei samsvarande fil, kan tenaren falle tilbake på ei fil som heiter DEFAULT. At nokre innstillingar kjem fram, er difor ikkje prov på at fila per klient vart brukt. Samanlikn den tildelte adressa eller dei pusha rutene med det fila per klient ville gitt. Rettar er det tredje filteret, fordi tenaren opnar fila etter å ha gitt slepp på privilegium; eit root-skal som kan lese ho, beviser ingenting.

Eit korrekt filnamn validerer ikkje innhaldet

Val og innhald er separate feil. Når den rette fila er opna, må direktiva hennar framleis vere gyldige for den klienten.

ifconfig-push må tildele ei adresse som topologien faktisk kan bruke, og iroute gir berre meining for eit ruta subnett bak den klienten.

Éin identitet, fleire einingar

To laptoppar som legg fram same fellesnamn, vel same fil og får dei same klientspesifikke innstillingane. Viss du treng separate adresser eller separat tilbakekalling, treng du separate identitetar, ikkje to kopiar av éi fil.

Samanlikninga står mellom å dele ein identitet og å utstede eitt sertifikat per eining. Deling er enklare å administrere og grovare å kalle tilbake, medan sertifikat per eining kostar meir oppsett og gir deg ei rein eining å deaktivere.