ਦੋ OpenVPN ਸਰਟੀਫਿਕੇਟ, ਇੱਕ CCD ਨਾਮ: ਕੀ ਗਲਤ ਹੋਇਆ

ਵੱਖ-ਵੱਖ ਸੀਰੀਅਲ ਨੰਬਰ, ਵੱਖ-ਵੱਖ ਕੁੰਜੀਆਂ ਅਤੇ ਵੱਖ-ਵੱਖ ਪੂਰੇ ਵਿਸ਼ਿਆਂ ਵਾਲੇ ਦੋ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਫਿਰ ਵੀ ਇੱਕੋ ਨੀਤੀ ਫਾਈਲ ਤੱਕ ਪਹੁੰਚ ਸਕਦੇ ਹਨ, ਕਿਉਂਕਿ ਸਰਵਰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਨਹੀਂ ਦੇਖਦਾ। ਇਹ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚੋਂ ਇੱਕ ਨਾਮ ਪੜ੍ਹਦਾ ਹੈ ਅਤੇ ਉਸ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਕਲਾਇੰਟ ਕਾਨਫਿਗ ਫਾਈਲ ਖੋਲ੍ਹਦਾ ਹੈ। ਜੇ ਦੋਵੇਂ ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ ਨਾਮ ਰੱਖਦੇ ਹਨ, ਤਾਂ ਦੂਜਾ ਜੁੜਨ ਵੇਲੇ ਹੀ ਪਹਿਲੇ ਦੀ ਨੀਤੀ ਵਿਰਾਸਤ ਵਿੱਚ ਲੈ ਲੈਂਦਾ ਹੈ।

ਇਹ ਟਕਰਾਅ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਵੇਲੇ ਬਣਦਾ ਹੈ ਅਤੇ ਸਿਰਫ਼ ਕਨੈਕਟ ਹੋਣ ਵੇਲੇ ਪਤਾ ਲੱਗਦਾ ਹੈ, ਆਮ ਤੌਰ 'ਤੇ ਜਦੋਂ ਕੋਈ ਡਿਵਾਈਸ ਦੂਜੀ ਮਸ਼ੀਨ ਦਾ ਪਤਾ ਜਾਂ ਰੂਟ ਸੈੱਟ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ। ਇਸ ਨੂੰ ਰੋਕਣ ਲਈ ਇਹ ਤੈਅ ਕਰਨਾ ਪਵੇਗਾ ਕਿ ਸਰਵਰ ਕਿਹੜਾ ਖੇਤਰ ਮੈਪ ਕਰਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਕੁਝ ਵੀ ਦਸਤਖ਼ਤ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਮੁੱਲ ਰਾਖਵਾਂ ਰੱਖਣਾ ਪਵੇਗਾ।

ਤੁਹਾਡੇ ਸਰਟੀਫਿਕੇਟ ਟੂਲ ਤੁਹਾਨੂੰ ਚੇਤਾਵਨੀ ਨਹੀਂ ਦੇਣਗੇ, ਕਿਉਂਕਿ X.509 ਦੇ ਅੰਦਰ ਦੀ ਵਿਲੱਖਣਤਾ ਅਤੇ OpenVPN ਨੀਤੀ ਨਾਮ ਦੀ ਵਿਲੱਖਣਤਾ ਵੱਖ-ਵੱਖ ਸਿਸਟਮਾਂ ਵੱਲੋਂ ਲਾਗੂ ਕੀਤੀਆਂ ਵੱਖ-ਵੱਖ ਲੋੜਾਂ ਹਨ।

ਸਰਵਰ ਨਾਮ ਲੱਭਦਾ ਹੈ, ਉਂਗਲੀ ਦਾ ਨਿਸ਼ਾਨ ਨਹੀਂ

ਆਮ ਸਰਟੀਫਿਕੇਟ-ਆਧਾਰਿਤ ਮੈਪਿੰਗ ਵਿੱਚ, ਸਰਵਰ ਪੇਸ਼ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਆਮ ਨਾਮ ਲੈਂਦਾ ਹੈ ਅਤੇ ਆਪਣੀ ਕਲਾਇੰਟ ਕਾਨਫਿਗ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਉਸ ਨਾਮ ਦੀ ਫਾਈਲ ਲੱਭਦਾ ਹੈ। ਉਹ ਫਾਈਲ ਸਥਿਰ ਪਤਾ ਪਿੰਨ ਕਰ ਸਕਦੀ ਹੈ, ਰੂਟ ਪੁਸ਼ ਕਰ ਸਕਦੀ ਹੈ ਜਾਂ ਹਰ ਕਲਾਇੰਟ ਲਈ ਫਾਇਰਵਾਲ ਨਿਸ਼ਾਨ ਲਾਗੂ ਕਰ ਸਕਦੀ ਹੈ। ਖੋਜ ਫਾਈਲ ਨਾਮ ਨਾਲ ਸਟਰਿੰਗ ਮਿਲਾਨ ਹੈ, ਇਸ ਲਈ ਅੱਖਰ ਦਾ ਆਕਾਰ, ਖਾਲੀ ਥਾਂ ਅਤੇ ਵਿਰਾਮ ਚਿੰਨ੍ਹ ਸਭ ਮਹੱਤਵਪੂਰਨ ਹਨ।

ਕੁਝ ਤੈਨਾਤੀਆਂ ਜਾਣਬੁੱਝ ਕੇ ਮੈਪਿੰਗ ਬਦਲ ਦਿੰਦੀਆਂ ਹਨ ਤਾਂ ਜੋ ਪ੍ਰਮਾਣਿਤ ਵਰਤੋਂਕਾਰ ਨਾਮ ਆਮ ਨਾਮ ਦੀ ਥਾਂ ਲੈ ਲਵੇ, ਅਤੇ ਫਿਰ ਵਿਲੱਖਣ ਹੋਣਾ ਜ਼ਰੂਰੀ ਵਰਤੋਂਕਾਰ ਨਾਮ ਹੀ ਹੁੰਦਾ ਹੈ। ਕਿਸੇ ਵੀ ਤਰ੍ਹਾਂ, ਨੀਤੀ ਚੁਣਨ ਵਾਲਾ ਮੁੱਲ ਉਹੀ ਹੈ ਜੋ ਤੁਸੀਂ ਰਾਖਵਾਂ ਰੱਖਦੇ ਹੋ। ਕੁਝ ਵੀ ਜਾਰੀ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਤੈਅ ਕਰੋ ਕਿ ਕਿਹੜਾ ਹੈ; ਟਕਰਾਅ ਤੋਂ ਬਾਅਦ ਅੰਦਾਜ਼ਾ ਲਾਉਣਾ ਪੁੱਛਣ ਨਾਲੋਂ ਮਹਿੰਗਾ ਹੈ।

ਜਿੱਥੇ ਦੋ ਅਧਿਕਾਰੀ ਇੱਕੋ ਨਾਮ 'ਤੇ ਮਿਲਦੇ ਹਨ

ਇੱਕ ਤੋਂ ਵੱਧ ਜਾਰੀਕਰਤਾ ਅਧਿਕਾਰੀਆਂ ਤੋਂ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲੀ ਸੰਸਥਾ ਇੱਕੋ ਨਾਮ-ਥਾਂ ਵਿੱਚ ਲਿਖਦੀਆਂ ਦੋ ਸੁਤੰਤਰ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਪ੍ਰਕਿਰਿਆਵਾਂ ਚਲਾਉਂਦੀ ਹੈ। ਹਰ ਅਧਿਕਾਰੀ ਦੇ ਆਪਣੇ ਵਿਲੱਖਣਤਾ ਨਿਯਮ ਉਸ ਦੇ ਅੰਦਰ ਲਾਗੂ ਹੁੰਦੇ ਹਨ, ਇਸ ਲਈ ਦੋਵੇਂ ਇੱਕੋ ਆਮ ਨਾਮ ਲਈ ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ ਜਾਰੀ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਕਿਸੇ ਨੂੰ ਵੀ ਕੁਝ ਗਲਤ ਨਹੀਂ ਦਿਸਦਾ।

ਸੀਰੀਅਲ ਨੰਬਰ ਮਦਦ ਨਹੀਂ ਕਰਦੇ। X.509 ਮੰਗ ਕਰਦਾ ਹੈ ਕਿ ਸੀਰੀਅਲ ਨੰਬਰ ਆਪਣੇ ਜਾਰੀਕਰਤਾ ਦੇ ਦਾਇਰੇ ਵਿੱਚ ਵਿਲੱਖਣ ਹੋਵੇ, ਜੋ ਉਸ ਅਧਿਕਾਰੀ ਦੇ ਹਿਸਾਬ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ, ਵਿਸ਼ਵਵਿਆਪੀ ਡਿਵਾਈਸ ਪਛਾਣ ਨਹੀਂ। ਵਿਸ਼ਾ ਜਾਂਚ ਵੀ ਆਮ-ਨਾਮ ਜਾਂਚ ਤੋਂ ਵੱਖਰੀ ਪਰਖ ਹੈ: ਦੋ ਸਰਟੀਫਿਕੇਟ ਇੱਕ CN ਸਾਂਝਾ ਕਰ ਸਕਦੇ ਹਨ ਪਰ ਸੰਗਠਨਾਤਮਕ ਇਕਾਈ ਵਿੱਚ ਵੱਖਰੇ ਹੋ ਸਕਦੇ ਹਨ ਅਤੇ ਇਸ ਲਈ ਵੱਖਰੇ ਵਿਸ਼ੇ ਰੱਖ ਸਕਦੇ ਹਨ। ਇਹ ਸਾਰੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਕਾਇਮ ਰਹਿੰਦਿਆਂ ਵੀ ਸਰਵਰ ਦੋਵੇਂ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਇੱਕੋ ਫਾਈਲ ਨਾਮ 'ਤੇ ਮੈਪ ਕਰਦਾ ਹੈ।

OpenSSL CA ਦਸਤਾਵੇਜ਼ ਉਸ ਸੈਟਿੰਗ unique_subject ਨੂੰ ਕਵਰ ਕਰਦੇ ਹਨ ਜੋ ਇਸ ਦੀ ਆਪਣੀ ਡੇਟਾਬੇਸ ਦੀ ਰਾਏ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਮਾਨਦਾਰ ਸ਼ੁਰੂਆਤ ਤੁਹਾਡੀ ਜਾਰੀਕਰਤਾ ਕਾਨਫਿਗਰੇਸ਼ਨ ਪੜ੍ਹਨਾ ਹੈ, ਕਿਸੇ ਖਾਸ EasyRSA ਜਾਂ OpenSSL ਡਿਫਾਲਟ ਲਾਗੂ ਹੋਣ ਦਾ ਅਨੁਮਾਨ ਲਾਉਣ ਦੀ ਥਾਂ।

ਦਸਤਖ਼ਤ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਭਾਵੀ ਨਾਮ ਰਾਖਵਾਂ ਰੱਖੋ

ਇੱਕ ਰਜਿਸਟਰੀ ਰੱਖੋ ਜੋ ਡਿਵਾਈਸ ਨੂੰ ਇਸ ਦੇ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਰਿਕਾਰਡ ਨਾਲ ਅਤੇ ਉੱਥੋਂ ਸਹੀ ਨੀਤੀ ਫਾਈਲ ਨਾਮ ਨਾਲ ਮੈਪ ਕਰਦੀ ਹੈ, ਤਾਂ ਜੋ ਨਾਮ ਇੱਕ ਵਾਰ ਅਲਾਟ ਹੋਵੇ ਅਤੇ ਅਲਾਟ ਹੀ ਰਹੇ। ਰਾਖਵਾਂਕਰਨ ਪਰਮਾਣੂ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਜਿਸ ਦਾ ਵਿਹਾਰਕ ਅਰਥ ਹੈ ਅਲਾਟ-ਫਿਰ-ਦਸਤਖ਼ਤ ਕਦਮ ਦੁਆਲੇ ਡੇਟਾਬੇਸ ਰੋਕ ਜਾਂ ਤਾਲਾ, ਦੋ ਲੋਕਾਂ ਵੱਲੋਂ ਸੋਧੀ ਜਾਂਦੀ ਸਪ੍ਰੈਡਸ਼ੀਟ ਨਹੀਂ।

ਫਿਰ ਜਾਂਚ ਨੂੰ ਜਾਰੀ ਕਰਨ ਦਾ ਹਿੱਸਾ ਬਣਾਓ: ਮੰਗਿਆ ਨਾਮ ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਹੋਵੇ ਤਾਂ ਦਸਤਖ਼ਤ ਕਰਨ ਤੋਂ ਇਨਕਾਰ ਕਰੋ, ਅਤੇ ਉਸ ਜਾਂਚ ਵਿੱਚ ਹਰ ਉਹ ਅਧਿਕਾਰੀ ਸ਼ਾਮਲ ਕਰੋ ਜਿਸ 'ਤੇ ਸਰਵਰ ਭਰੋਸਾ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਦੂਜੇ ਅਧਿਕਾਰੀ ਵੱਲੋਂ ਰਾਖਵਾਂ ਰੱਖਿਆ ਨਾਮ ਵੀ ਉੱਨਾ ਹੀ ਲਿਆ ਹੋਇਆ ਹੈ। ਸਪੱਸ਼ਟ ਕਾਰਨ ਨਾਲ ਰੱਦ ਕੀਤੀ ਬੇਨਤੀ ਉਸ ਡਿਵਾਈਸ ਬਾਰੇ ਟਿਕਟ ਨਾਲੋਂ ਸਸਤੀ ਹੈ ਜਿਸ ਨੂੰ ਵਾਰ-ਵਾਰ ਕਿਸੇ ਹੋਰ ਦਾ ਸਥਿਰ ਪਤਾ ਮਿਲਦਾ ਰਹਿੰਦਾ ਹੈ।

ਨਵੀਨੀਕਰਨ ਜਾਣਬੁੱਝ ਕੇ ਨਾਮ ਦਾ ਮੁੜ-ਵਰਤੋਂ ਕਰਦਾ ਹੈ

ਮੌਜੂਦਾ ਡਿਵਾਈਸ ਲਈ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰਨ ਨਾਲ ਉਸੇ ਨੀਤੀ ਨਾਮ ਹੇਠ ਨਵਾਂ ਸੀਰੀਅਲ ਬਣਨਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਹ ਟਕਰਾਅ ਨਹੀਂ ਸਗੋਂ ਕਾਨੂੰਨੀ ਮੁੜ-ਵਰਤੋਂ ਹੈ। ਪਹਿਲਾਂ ਹੀ ਤੈਅ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ ਓਵਰਲੈਪ: ਪੁਰਾਣਾ ਅਤੇ ਨਵਾਂ ਸਰਟੀਫਿਕੇਟ ਇੱਕੋ ਸਮੇਂ ਵੈਧ ਹੋ ਸਕਦੇ ਹਨ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਪੁਰਾਣਾ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਕਿਵੇਂ ਹਟਾਇਆ ਜਾਂਦਾ ਹੈ।

ਇਸ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ duplicate-cn ਵੱਲ ਨਾ ਜਾਓ। ਉਹ ਸਰਵਰ ਵਿਕਲਪ ਇੱਕੋ ਨਾਮ ਪੇਸ਼ ਕਰਨ ਵਾਲੇ ਸਮਕਾਲੀ ਕਨੈਕਸ਼ਨ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ; ਇਹ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਨੂੰ ਤਾਲਾ ਨਹੀਂ ਲਾਉਂਦਾ, ਅਤੇ ਇਸ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਨਾਲ ਇੱਕ ਸਾਂਝਾ ਸਥਿਰ ਪਤਾ ਇੱਕੋ ਸਮੇਂ ਦੋ ਮਸ਼ੀਨਾਂ ਲਈ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਹੁੰਦਾ। ਰੱਦ ਕਰਨਾ ਆਮ ਤੌਰ 'ਤੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਜਾਰੀਕਰਤਾ ਅਤੇ ਸੀਰੀਅਲ ਨਾਲ ਪਛਾਣਦਾ ਹੈ, ਇਸ ਲਈ ਪੁਰਾਣਾ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਹਟਾਉਣ ਨਾਲ ਇਸ ਦੇ ਬਦਲ ਨੂੰ ਅਵੈਧ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ, ਜਿੰਨਾ ਚਿਰ ਸਰਵਰ ਸਹੀ ਰੱਦ ਕਰਨ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ ਅਤੇ ਲਾਗੂ ਕਰਦਾ ਹੈ।

ਮਸ਼ੀਨ 'ਤੇ ਮੌਜੂਦ ਟੂਲ ਨਾਲ ਮੈਪਿੰਗ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਡਿਵਾਈਸ ਨੂੰ ਇਸ ਦਾ ਨਵਾਂ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ, ਸਰਵਰ ਜਿਸ ਤਰੀਕੇ ਨਾਲ ਪੜ੍ਹੇਗਾ ਉਸੇ ਤਰੀਕੇ ਨਾਲ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚੋਂ ਨਾਮ ਪੜ੍ਹੋ, ਫਿਰ ਇਸ ਦੀ ਤੁਲਨਾ ਉਸ ਨੀਤੀ ਫਾਈਲ ਨਾਲ ਕਰੋ ਜਿਸ ਦੇ ਚੁਣੇ ਜਾਣ ਦੀ ਤੁਸੀਂ ਉਮੀਦ ਕਰਦੇ ਹੋ।

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

ਪਹਿਲਾ ਕਮਾਂਡ ਵਿਸ਼ਾ ਖੇਤਰ ਵੱਖਰੇ ਛਾਪਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਭਟਕਿਆ ਸੰਗਠਨਾਤਮਕ ਇਕਾਈ ਜਾਂ ਦੁੱਗਣੀ ਖਾਲੀ ਥਾਂ ਤੁਰੰਤ ਦਿਸਦੀ ਹੈ। ਦੂਜਾ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਠੀਕ ਉਸੇ ਨਾਮ ਹੇਠ ਨੀਤੀ ਫਾਈਲ ਮੌਜੂਦ ਹੈ, ਅਤੇ ਤੀਜਾ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਸਰਵਰ ਇੱਕ ਨਾਮ 'ਤੇ ਕਈ ਸੈਸ਼ਨਾਂ ਦੀ ਆਗਿਆ ਦੇਣ ਲਈ ਕਾਨਫਿਗਰ ਹੈ ਜਾਂ ਨਹੀਂ। ਗਲਤੀ ਅਜੇ ਘਟਨਾ ਦੀ ਥਾਂ ਦਸਤਖ਼ਤ ਦੀ ਕੀਮਤ ਹੁੰਦਿਆਂ, ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਕਦਮ ਛੱਡਣ ਤੋਂ ਪਹਿਲਾਂ ਤਿੰਨੇ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ 'ਤੇ ਚਲਾਓ। ਆਉਟਪੁੱਟ ਟਿਕਟ ਨਾਲ ਰੱਖੋ ਤਾਂ ਜੋ ਅਗਲਾ ਵਿਅਕਤੀ ਦੇਖ ਸਕੇ ਕਿ ਸਰਵਰ ਨੂੰ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਨਾਮ ਮਿਲਿਆ।

ਅਸਲ ਕਨੈਕਸ਼ਨ ਨਾਲ ਸਮਾਪਤ ਕਰੋ ਅਤੇ ਅਲਾਟ ਕੀਤੇ ਪਤੇ ਅਤੇ ਪੁਸ਼ ਕੀਤੇ ਰੂਟਾਂ ਦੀ ਤੁਲਨਾ ਨੀਤੀ ਫਾਈਲ ਨਾਲ ਕਰੋ, ਤੁਸੀਂ ਜੋ ਲਿਖਣਾ ਚਾਹੁੰਦੇ ਸੀ ਉਸ ਨਾਲ ਨਹੀਂ। ਜੇ ਦੋ ਡਿਵਾਈਸ ਇੱਕੋ ਸਥਿਰ ਪਤਾ ਦੀ ਰਿਪੋਰਟ ਕਰਦੇ ਹਨ, ਤਾਂ ਰਜਿਸਟਰੀ ਵਿੱਚ ਅਜਿਹਾ ਟਕਰਾਅ ਹੈ ਜੋ ਕੋਈ ਵੀ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚ ਕਦੇ ਪ੍ਰਗਟ ਨਹੀਂ ਕਰੇਗੀ।