OpenVPN සහතික දෙකක්, එක් CCD නමක්: වැරදුණේ කුමක්ද

විවිධ අනුක්‍රමික අංක, විවිධ යතුරු සහ විවිධ සම්පූර්ණ විෂයයන් ඇති සේවාලාභී සහතික දෙකක් තවමත් එකම ප්‍රතිපත්ති ගොනුවකට පැමිණිය හැකිය, මන්ද සේවාදායකය ඒ කිසිවක් දෙස නොබලයි. එය සහතිකයෙන් නමක් කියවා ඊට ගැලපෙන සේවාලාභී සැකසුම් ගොනුව විවෘත කරයි. සහතික දෙකම එකම නම දරන්නේ නම්, දෙවැන්න සම්බන්ධ වන මොහොතේම පළමුවැන්නේ ප්‍රතිපත්තිය උරුම කර ගනී.

ගැටුම ලියාපදිංචියේදී සෑදී සම්බන්ධ වන විට පමණක් හෙළිදරව් වේ, සාමාන්‍යයෙන් උපාංගයකට වෙනත් යන්ත්‍රයකට අයත් ලිපිනයක් හෝ මාර්ග කට්ටලයක් ලැබෙන විට. එය වළක්වා ගැනීමට සේවාදායකය විසින් මාන එකක් සිතියම්ගත කරන්නේ කුමක්ද යන්නට එකඟ විය යුතු අතර, පසුව යමක් අත්සන් කිරීමට පෙර එම අගය වෙන් කර තැබිය යුතුය.

ඔබේ සහතික මෙවලම් ඔබට අනතුරු ඇඟවීමක් නොකරයි, මන්ද X.509 තුළ ඇති අද්විතීයතාව සහ OpenVPN ප්‍රතිපත්ති නාමයක අද්විතීයතාව විවිධ පද්ධති මගින් බලාත්මක කරන විවිධ අවශ්‍යතා වේ.

සේවාදායකය නමක් සොයයි, ඇඟිලි සලකුණක් නොවේ

සාමාන්‍ය සහතික පාදක සිතියම්කරණයේදී, සේවාදායකය ඉදිරිපත් කළ සහතිකයෙන් පොදු නම ගෙන තම සේවාලාභී සැකසුම් ඩිරෙක්ටරියේ එම නම ඇති ගොනුවක් සොයයි. එම ගොනුවට ස්ථිතික ලිපිනයක් ඇමුණිය හැකිය, මාර්ග තල්ලු කළ හැකිය හෝ සෑම සේවාලාභියෙකුටම ගිනිපවුරු සලකුණු යෙදිය හැකිය. සෙවීම ගොනු නාමයක් සමඟ තන්තු ගැලපීමක් බැවින්, අකුරු විශාලත්වය, හිස්තැන් සහ විරාම ලකුණු සියල්ලම වැදගත් වේ.

සමහර යෙදවුම් හිතාමතාම සිතියම්කරණය මාරු කරන අතර, එවිට සත්‍යාපිත පරිශීලක නාමය පොදු නාමයේ තැන ගනී, සහ එවිට අද්විතීය විය යුත්තේ පරිශීලක නාමයයි. කෙසේ වුවද, ප්‍රතිපත්තිය තෝරන අගය ඔබ වෙන් කරන අගයයි. යමක් නිකුත් කිරීමට පෙර එය කුමක්ද යන්න තීරණය කරන්න; ගැටුමකට පසු අනුමාන කිරීම ඇසීමට වඩා මිල අධිකය.

එකම නමකට අධිකාරී දෙකක් හමුවන තැන

එකකට වඩා නිකුත් කරන අධිකාරියකින් සහතික පිළිගන්නා සංවිධානයක් එකම නාම අවකාශයකට ලියන ස්වාධීන ලියාපදිංචි කිරීමේ ක්‍රියාවලි දෙකක් ක්‍රියාත්මක කරයි. එක් එක් අධිකාරියේම අද්විතීයතා නීති එහි ඇතුළත බලපායි, එබැවින් දෙකටම එකම පොදු නාමය සඳහා නිත්‍යානුකූලව නිකුත් කළ හැකි අතර කිසිවෙකුට කිසිදු වැරද්දක් පෙනෙන්නේ නැත.

අනුක්‍රමික අංක උදව් නොකරයි. X.509 අනුක්‍රමික අංකයක් එහි නිකුත් කරන්නාගේ විෂය පථය තුළ අද්විතීය විය යුතු බව අවශ්‍ය කරයි, එය එම අධිකාරියේ ගිණුම්කරණයේ ගුණාංගයක් මිස උපාංගයේ ගෝලීය අනන්‍යතාවයක් නොවේ. විෂය පරීක්ෂාවද පොදු නාම පරීක්ෂාවට වඩා වෙනස් පරීක්ෂණයකි: සහතික දෙකකට එකම CN බෙදා ගත හැකි නමුත් සංවිධානික ඒකකයේ වෙනස් විය හැකි අතර එබැවින් වෙනස් විෂයයන් දැරිය හැකිය. එම ගුණාංග සියල්ලම පවතින අතරම සේවාදායකය තවමත් සහතික දෙකම එකම ගොනු නාමයකට සිතියම්ගත කරයි.

OpenSSL CA ලේඛන එහිම දත්ත සමුදායේ මතය පාලනය කරන unique_subject සැකසුම ආවරණය කරයි, සහ අවංක ආරම්භක ස්ථානය වන්නේ ඔබේ නිකුත් කිරීමේ වින්‍යාසය කියවීමයි, යම් නිශ්චිත EasyRSA හෝ OpenSSL පෙරනිමියක් බලපාන බව උපකල්පනය කිරීම වෙනුවට.

අත්සන් කිරීමට පෙර ඵලදායී නම වෙන් කරන්න

උපාංගයක් එහි අනුමත වාර්තාවට සහ එතැන් සිට නිශ්චිත ප්‍රතිපත්ති ගොනු නාමයකට සිතියම්ගත කරන ලේඛනයක් තබා ගන්න, එවිට නමක් එක් වරක් වෙන් කර එලෙසම පවතී. වෙන් කිරීම පරමාණුක විය යුතුය, එය ප්‍රායෝගිකව අයත් කර-පසුව-අත්සන් කරන පියවර වටා දත්ත සමුදාය සීමාවක් හෝ අගුලක් යන්නයි, දෙදෙනෙකු සංස්කරණය කරන පැතුරුම්පතක් නොවේ.

පසුව පරීක්ෂාව නිකුත් කිරීමේ කොටසක් කරන්න: ඉල්ලා සිටි නම දැනටමත් පවතී නම් අත්සන් කිරීම ප්‍රතික්ෂේප කරන්න, සහ එම පරීක්ෂාවට සේවාදායකය විශ්වාස කරන සෑම අධිකාරියක්ම ඇතුළත් කරන්න, මන්ද අනෙක් අධිකාරිය විසින් වෙන් කළ නමද එසේම ගෙන ඇත. පැහැදිලි හේතුවක් සමඟ ප්‍රතික්ෂේප කළ ඉල්ලීමක් වෙනත් අයෙකුගේ ස්ථිතික ලිපිනය නිතර ලබන උපාංගයක් ගැන ටිකට්පතකට වඩා ලාභදායීය.

අලුත් කිරීම හිතාමතාම නමක් නැවත භාවිත කරයි

පවතින උපාංගයක් සඳහා නැවත නිකුත් කිරීම එකම ප්‍රතිපත්ති නාමය යටතේ නව අනුක්‍රමික අංකයක් ලබා දිය යුතු අතර, එය ගැටුමක් නොව නිත්‍යානුකූල නැවත භාවිතයකි. කලින් තීරණය කළ යුත්තේ අතිච්ඡාදනයයි: පැරණි සහ නව සහතික එකවර වලංගු විය හැකිද, සහ පැරණි අක්තපත්‍රය ඉවත් කරන්නේ කෙසේද.

මෙය විසඳීමට duplicate-cn වෙත නොයන්න. එම සේවාදායක විකල්පය එකම නම ඉදිරිපත් කරන සමකාලීන සම්බන්ධතා පාලනය කරයි; එය ලියාපදිංචිය අගුලු නොලන අතර, එය සක්‍රීය කිරීම එක් හවුල් ස්ථිතික ලිපිනයක් එකවර යන්ත්‍ර දෙකකට ආරක්ෂිත නොකරයි. අවලංගු කිරීම සාමාන්‍යයෙන් සහතිකය නිකුත් කරන්නා සහ අනුක්‍රමික අංකය මගින් හඳුනාගනී, එබැවින් පැරණි අක්තපත්‍රය ඉවත් කිරීම එහි ප්‍රතිස්ථාපනය අවලංගු කළ යුතු නැත, සේවාදායකය නිවැරදි අවලංගු කිරීමේ දත්ත ලබාගෙන බලාත්මක කරන තාක් කල්.

යන්ත්‍රයේ ඇති මෙවලම් සමඟ සිතියම්කරණය තහවුරු කරන්න

උපාංගයකට එහි නව අක්තපත්‍රය ලබා දීමට පෙර, සේවාදායකය කියවන ආකාරයටම සහතිකයෙන් නම කියවන්න, පසුව තෝරා ගනු ඇතැයි ඔබ බලාපොරොත්තු වන ප්‍රතිපත්ති ගොනුව සමඟ එය සසඳන්න.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

පළමු විධානය විෂය ක්ෂේත්‍ර වෙන් වෙන්ව මුද්‍රණය කරයි, එය අහම්බෙන් වැටුණු සංවිධානික ඒකකයක් හෝ දෙගුණ වූ හිස්තැනක් වහාම දෘශ්‍යමාන කරයි. දෙවැන්න එම නම යටතේම ප්‍රතිපත්ති ගොනුවක් පවතින බව තහවුරු කරයි, සහ තෙවැන්න එක් නමක් මත සැසි කිහිපයක් අනුමත කිරීමට සේවාදායකය වින්‍යාස කර ඇත්දැයි පෙන්වයි. වැරැද්ද තවමත් සිදුවීමක් නොව අත්සනක පිරිවැයක් වන විට, ලියාපදිංචි පියවරෙන් පිටවීමට පෙර තුනම නව සහතිකයක් මත ධාවනය කරන්න. ප්‍රතිදානය ටිකට්පත සමඟ තබන්න, එවිට ඊළඟ පුද්ගලයාට සේවාදායකයට සැබවින්ම ලැබුණු නම දැකිය හැකිය.

සැබෑ සම්බන්ධතාවයකින් අවසන් කර පවරන ලද ලිපිනය සහ තල්ලු කළ මාර්ග ඔබ ලිවීමට සිතූ දෙය සමඟ නොව ප්‍රතිපත්ති ගොනුව සමඟ සසඳන්න. උපාංග දෙකක් එකම ස්ථිතික ලිපිනය වාර්තා කරන්නේ නම්, ලේඛනයේ කිසිදු සහතික පරීක්ෂාවකින් කිසිදා හෙළි නොවන ගැටුමක් ඇත.