OpenVPN client-config-dir: názov súboru verzus CN certifikátu

Dve mená sú v hre ešte predtým, než sa klient vôbec pripojí: názov súboru na notebooku (nuc.ovpn) a identita, ktorú server odvodí z poverenia. Vyhľadávanie v client-config-dir používa druhú. Premenovanie profilu na klientovi alebo pridanie .conf k súboru na serveri nič nemení na tom, ktorý súbor server otvorí.

Užitočné porovnanie nie je „ktorý názov som použil“, ale „ktoré pravidlo server uplatňuje“, pretože autentifikácia certifikátom a autentifikácia používateľským menom/heslom môžu z rovnakého prihlásenia vytvoriť rôzne efektívne názvy.

Názov profilu verzus spoločný názov certifikátu

V predvolenom nastavení založenom na certifikátoch server vezme spoločný názov X.509 a hľadá súbor presne s týmto názvom vnútri client-config-dir. Profil s názvom nuc.ovpn, ktorého certifikát hovorí tester, sa preloží na /etc/openvpn/server/ccd/tester. Názov klientskeho súboru nikdy nevstupuje do výpočtu. To je prvé miesto, kde sa neshoda skrýva.

Adresár plný starostlivo pomenovaných profilov preto môže zakaždým minúť. Súbor sa neporovnáva podľa subject, e-mailovej adresy ani názvu zobrazeného v GUI; porovnáva sa podľa reťazca spoločného názvu.

Na systéme súborov rozlišujúcom veľkosť písmen sú Tester a tester dva rôzne súbory a otvorí sa vždy len jeden. Kontrolujte spoločný názov z certifikátu, ktorý klient skutočne predkladá, nie z kópie vo svojich poznámkach.

username-as-common-name obracia pravidlo

Keď server používa autentifikáciu používateľským menom/heslom s username-as-common-name, overené používateľské meno nahradí spoločný názov certifikátu pre toto vyhľadávanie.

Porovnajte oba prípady priamo: pri identite z certifikátu súbor sleduje certifikát a zmena hesla nemá význam; pri identite z používateľského mena súbor sleduje prihlasovacie meno a opätovné vydanie certifikátu nemá význam. Pole, ktoré server nahrádza, určuje, podľa čoho sa má premenovať. Opätovne vydaný certifikát s novým CN ticho zmení cieľ vyhľadávania a starý súbor CCD zostane na disku a vyzerá správne.

Existujú zmiešané konfigurácie a práve tam začína väčšina zmätku. Ak jeden blok služby zapína substitúciu a iný nie, efektívny názov závisí od toho, ktorá inštancia obsluhovala spojenie. Potvrďte aktívnu konfiguráciu namiesto toho, aby ste predpokladali, že platí globálny súbor. Pôvodná referencia serverových volieb dokumentuje vyhľadávanie podľa pomenovaného súboru a voliteľnú zálohu.

Čo server číta a čo ticho preskakuje

O tom, či sa súbor vyberie, rozhodujú dva malé rozdiely. Prvým je pridaná prípona. Druhým je zblúdilý znak v názve.

OpenVPN nepridáva .conf k názvu, ktorý hľadá, takže tester.conf nezodpovedá tester. Editor, ktorý skrýva prípony, môže zanechať súbor, ktorý v zozname vyzerá správne a nikdy sa nezhoduje.

Keď neexistuje zodpovedajúci súbor, server môže prejsť na súbor s názvom DEFAULT. Doručenie niektorých nastavení teda nie je dôkazom, že sa použil súbor pre konkrétneho klienta. Porovnajte pridelenú adresu alebo vytlačené trasy s tým, čo by súbor pre konkrétneho klienta vytvoril. Práva sú tretím filtrom, pretože server otvára súbor po tom, čo sa vzdá oprávnení; root shell, ktorý ho dokáže prečítať, nič nedokazuje.

Správny názov súboru neoveruje obsah

Výber a obsah sú oddelené zlyhania. Po otvorení správneho súboru musia byť jeho direktívy stále platné pre daného klienta.

ifconfig-push musí prideliť adresu, ktorú topológia skutočne dokáže použiť, a iroute má zmysel len pre smerovanú podsietiu za týmto klientom.

Jedna identita, viac zariadení

Dva notebooky s rovnakým spoločným názvom vyberú ten istý súbor a dostanú rovnaké nastavenia špecifické pre klienta. Ak potrebujete samostatné adresy alebo samostatné odvolanie, potrebujete samostatné identity, nie dve kópie jedného súboru.

Porovnanie je medzi zdieľaním identity a vydaním jedného certifikátu na zariadenie. Zdieľanie sa ľahšie spravuje a hrubšie odvoláva, kým certifikáty na zariadenie stoja viac nastavenia a dávajú čistú jednotku na vypnutie.