دوه OpenVPN سندونه، یو CCD نوم: څه غلط شول

دوه کلاینټ سندونه چې بېلابېل سریال شمېرې، بېلابېل کليډې او حتی بېلابېل بشپړ موضوعګانې لري، بیا هم کولای شي یوې سیاست فایل ته ورسېږي، ځکه چې سرور د دې هېڅ یوه ته نه ګوري۔ هغه له سنده یو نوم لولي او د هغه سره سم د کلاینټ ترتیباتو فایل پرانیزي۔ که دواړه سندونه یو شان نوم ولري، دویم یې د لومړي سیاست په هغه لحظه کې په میراث وړي چې ونښلي۔

دا ټکر د راجستر په وخت کې جوړېږي او یوازې د نښلېدو په وخت کې کشفېږي، معمولاً کله چې یوه وسیله د بل ماشین پورې اړوند پته یا د لارو ټولګه ترلاسه کوي۔ د دې مخنیوي لپاره باید په دې سلا شي چې سرور کوم ساحه نقشه کوي، او بیا هغه ارزښت خوندي کړي مخکې له دې چې څه لاسلیک شي۔

ستاسو د سند وسیلې تاسو ته خبرداری نه درکوي، ځکه چې د X.509 دننه بېساریتوب او د OpenVPN سیاست د نوم بېساریتوب بېلابېل غوښتنې دي چې بېلابېل سیستمونه یې پلي کوي۔

سرور نوم لټوي، د ګوتې نښه نه

په معمول د سند پر بنسټ نقشه کولو کې، سرور له وړاندې شویو سند څخه عام نوم اخلي او د خپل کلاینټ ترتیباتو په لارښود کې د هغه نوم فایل لټوي۔ هغه فایل کولای شي ثابته پته وټاکي، لارې پوش کړي یا د هر کلاینټ لپاره د وال فایر نښې پلي کړي۔ لټون د فایل نوم سره د تار برابرېدل دي، نو د تورو لویوالی، تشې او نښې ټول مهم دي۔

ځینې ځای پرځای کول په قصد نقشه کول بدلوي تر څو تصدیق شوی کاروونکی نوم عام نوم ځای ونیسي، او بیا باید هماغه کاروونکی نوم بېساری وي۔ په هر حال، هغه ارزښت چې سیاست ټاکي هماغه ارزښت دی چې تاسو یې خوندي کوئ۔ مخکې له دې چې څه صادر کړئ، پریکړه وکړئ کوم یو دی؛ له ټکر وروسته اټکل کول له پوښتنې څخه ګران دي۔

چېرې چې دوه واکمنې یو نوم ته رسېږي

هغه اداره چې له یو څخه ډېرو صادروونکو واکمنو څخه سندونه مني، دوه خپلواک راجستر بهیرونه چلوي چې یو نوم فضا کې لیکي۔ د هرې واکمنې خپل بېساریتوب قواعد د هغې په داخل کې پلي کېږي، نو دواړه کولای شي په قانوني توګه د هماغه عام نوم لپاره صادر کړي او هیڅ یو هم غلطي نه ویني۔

سریال شمېرې مرسته نه کوي۔ X.509 غواړي چې سریال شمېره د خپل صادروونکي په ساحه کې بېساره وي، دا د هغې واکمنې د حسابونو ځانګړتیا ده، نه د وسیلې نړیواله هویت۔ د موضوع کتنه هم د عام نوم کتنې څخه بېله ازموینه ده: دوه سندونه کولای شي یو CN شریک کړي خو په سازماني واحد کې بېل وي او نو بېلابېلې موضوعګانې ولري۔ دا ټولې ځانګړتیاوې کولای شي موجودې وي پداسې حال کې چې سرور بیا هم دواړه سندونه یوه فایل نوم ته نقشه کوي۔

د OpenSSL CA اسناد هغه تنظیم unique_subject پوښي چې د هغې د خپل ډیټابیس نظر کنټرولوي، او رښتینی پیل ټکی دا دی چې ستاسو د صادرولو ترتیبات ولولئ، نه دا چې فرض کړئ یو ځانګړی EasyRSA یا OpenSSL تلواله پلي کېږي۔

د لاسلیک مخکې اغېزمن نوم خوندي کړئ

یو راجستر وساتئ چې وسیله د هغې تایید شوې ثبت سره او له هغې څخه د دقیق سیاست فایل نوم سره نقشه کوي، تر څو نوم یو ځل وټاکل شي او ټاکل شوی پاتې شي۔ خوندي کول باید اتومي وي، چې په عمل کې د ټاکل-بیا-لاسلیک مرحلې شاوخوا ډیټابیس محدودیت یا قفل مانا لري، نه هغه تخته چې دوه کسان یې سمون کوي۔

بیا کتنه د صادرولو برخه کړئ: کله چې غوښتل شوی نوم دمخه موجود وي، لاسلیک رد کړئ، او په دې کتنه کې هرهغه واکمنه شامله کړئ چې سرور پرې باور لري، ځکه چې د بله واکمنې خوندي کړی نوم هم هومره نیول شوی دی۔ د روښانه دلیل سره رد شوې غوښتنه له هغې ټیکټ څخه ارزانه ده چې د یوې وسیلې په اړه وي چې تل د بل چا ثابته پته اخلي۔

نوي کول په قصد یو نوم بیا کاروي

د موجودې وسیلې لپاره بیا صادرول باید د هماغه سیاست نوم لاندې نوې سریال شمېره تولید کړي، او دا ټکر نه دی بلکې قانوني بیا کارول دي۔ هغه څه چې مخکې پریکړه غواړي هغه یو پر بل لوېدل دي: آیا زوړ او نوی سند کولای شي یوځای معتبر وي، او زوړ اعتبارنامې څنګه تقاعد کېږي۔

د دې حل لپاره duplicate-cn ته لاس مه وروړئ۔ هغه د سرور انتخاب د هماغه نوم وړاندې کوونکو یوځای نښلونو کنټرولوي؛ راجستر نه تړي، او فعالول یې یوه شریکه ثابته پته د یو وخت لپاره د دوو ماشینونو لپاره خوندي نه کوي۔ لغوه کول معمولاً سند د صادروونکي او سریال شمېرې له مخې پېژني، نو د زوړ اعتبارنامې تقاعدول اړ نه دي چې د هغې ځایناستی باطل کړي، تر څو چې سرور سمې لغوه کولو معلومات ترلاسه او پلي کړي۔

نقشه کول د ماشین پر وسیلو تایید کړئ

مخکې له دې چې وسیلې ته نوی اعتبارنامه ورکړئ، نوم له سنده هغسې ولولئ چې سرور به یې لولي، بیا یې له هغه سیاست فایل سره پرتله کړئ چې تمه لرئ ټاکل کېږي۔

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

لومړی امر د موضوع ساحې جلا چاپوي، چې یوې ورکې سازماني واحد یا دوه برابره تشه سمدلاسه ښکاره کوي۔ دویم تاییدوي چې د هماغه نوم لاندې سیاست فایل شته، او درېیم ښیي چې سرور د یو نوم پر څو غونډو اجازه ورکولو لپاره ترتیب شوی که نه۔ هر درې واړه په نوې سند باندې هغه وخت چل کړئ چې لا د راجستر مرحله نه ده پرېښې، کله چې تېروتنه لا د پیښې پر ځای د یو لاسلیک ارزښت لري۔ پایله له ټیکټ سره وساتئ تر څو بل کس وویني چې سرور ته په رښتیا کوم نوم ورکړل شوی۔

له یوې ریښتینې نښلونې سره پای ته ورسوئ او ټاکل شوې پته او لېږل شوې لارې له سیاست فایل سره پرتله کړئ، نه له هغې سره چې غوښتل مو لیکل۔ که دوه وسیلې یوه شان ثابته پته راپور کړي، راجستر کې داسې ټکر دی چې هیڅ د سند کتنه به یې هیڅکله نه افشا کوي۔