OpenVPN client-config-dir: naziv datoteke nasuprot CN certifikata

Dva su naziva u igri prije nego se klijent uopće poveže: naziv datoteke na laptopu (nuc.ovpn) i identitet koji server izvodi iz vjerodajnice. Pretraga client-config-dir koristi drugi. Preimenovanje profila na klijentu ili dodavanje .conf u datoteku na serveru ne mijenja ništa u tome koju datoteku server otvara.

Korisna usporedba nije «koji sam naziv upotrijebio» nego «koje pravilo server primjenjuje», jer autentifikacija certifikatom i autentifikacija korisničkim imenom/lozinkom mogu iz istog prijavljivanja dati različite stvarne nazive.

Naziv profila nasuprot uobičajenom nazivu certifikata

U zadanom postavu koji se temelji na certifikatu server uzima X.509 uobičajeni naziv i traži datoteku s točno tim nazivom unutar client-config-dir. Profil nazvan nuc.ovpn čiji certifikat kaže tester razrješava se u /etc/openvpn/server/ccd/tester. Naziv klijentske datoteke nikada ne ulazi u izračun. To je prvo mjesto na kojem se krije nepodudarnost.

Stoga direktorij pun pažljivo nazvanih profila može promašiti svaki put. Datoteka se ne uparuje po subjectu, e-adresi ni nazivu prikazanom u GUI-ju; uparuje se po nizu uobičajenog naziva.

Na datotečnom sustavu osjetljivom na velika i mala slova Tester i tester dvije su različite datoteke i otvara se samo jedna. Provjerite uobičajeni naziv iz certifikata koji klijent doista predočuje, a ne iz kopije u svojim bilješkama.

username-as-common-name preokreće pravilo

Kada server pokreće autentifikaciju korisničkim imenom/lozinkom s username-as-common-name, autentificirano korisničko ime zamjenjuje uobičajeni naziv certifikata za ovu pretragu.

Usporedite dva slučaja izravno: s identitetom certifikata datoteka slijedi certifikat i promjena lozinke nije relevantna; s identitetom korisničkog imena datoteka slijedi prijavno ime i ponovno izdavanje certifikata nije relevantno. Koje polje server zamijeni, prema njemu treba preimenovati. Ponovno izdan certifikat s novim CN tiho mijenja cilj pretrage, a stara CCD datoteka ostaje na disku i izgleda ispravno.

Mješovite konfiguracije postoje i tu počinje većina zabune. Ako jedan blok usluge uključuje zamjenu a drugi ne, stvarni naziv ovisi o tome koja je instanca obradila vezu. Potvrdite aktivnu konfiguraciju umjesto da pretpostavljate da vrijedi globalna datoteka. Izvorna referenca za serverske opcije dokumentira pretragu po imenovanoj datoteci i neobavezni rezervni postupak.

Što server čita i što tiho preskače

Dvije male razlike odlučuju hoće li datoteka biti odabrana. Prva je dodano proširenje. Druga je zalutali znak u nazivu.

OpenVPN ne dodaje .conf nazivu koji traži, pa tester.conf nije podudaranje za tester. Uređivač koji skriva proširenja može ostaviti datoteku koja na popisu izgleda ispravno i nikada se ne upari.

Kada nema odgovarajuće datoteke, server može prijeći na datoteku nazvanu DEFAULT. Dolazak nekih postavki stoga nije dokaz da je upotrijebljena datoteka za pojedinog klijenta. Usporedite dodijeljenu adresu ili gurnute rute s onim što bi datoteka za pojedinog klijenta dala. Dozvole su treći filtar, jer server otvara datoteku nakon što se odrekne privilegija; root ljuska koja je može pročitati ne dokazuje ništa.

Ispravan naziv datoteke ne potvrđuje sadržaj

Odabir i sadržaj zasebni su kvarovi. Nakon što se otvori prava datoteka, njezine direktive još moraju biti valjane za tog klijenta.

ifconfig-push mora dodijeliti adresu koju topologija doista može koristiti, a iroute ima smisla samo za rutiranu podmrežu iza tog klijenta.

Jedan identitet, više uređaja

Dva laptopa s istim uobičajenim nazivom odabiru istu datoteku i primaju iste postavke specifične za klijenta. Ako trebate odvojene adrese ili odvojeno opozivanje, trebate odvojene identitete, a ne dvije kopije jedne datoteke.

Usporedba je između dijeljenja identiteta i izdavanja jednog certifikata po uređaju. Dijeljenje je jednostavnije za administraciju i grublje za opoziv, dok certifikati po uređaju traže više postavljanja i daju vam čistu jedinicu za onemogućivanje.