Prečo môžu dva certifikáty OpenVPN zdieľať jednu politiku CCD

CA môže podpísať dva certifikáty, ktoré dostanú rovnakú OpenVPN konfiguráciu špecifickú pre klienta, a nič v ani jednom z certifikátov nikoho nevaruje. Sériové čísla sa líšia, kľúče sa líšia a plné subjekty sa tiež líšia, len čo sa zmení organizačná jednotka. Server určuje politiku pre každého klienta prostredníctvom jedného mena, a toto meno je jediné, čo musí byť jedinečné.

Server určuje meno, nie sériové číslo

Pri bežnom vyhľadaní certifikátu server vezme bežné meno z predloženého certifikátu a hľadá záznam v client-config-dir s týmto menom. Sériové číslo do vyhľadávania nikdy nevstúpi. Dva certifikáty, ktoré sa líšia vo všetkých poliach okrem bežného mena, skončia v rovnakom súbore, takže druhé pripojenie zdedí pevnú adresu a vnútené trasy prvého zariadenia.

Tak prejde kontrola jedinečnosti na strane CA, zatiaľ čo VPN stále koliduje. Obe kontroly odpovedajú na rôzne otázky.

Rozhodnite, aké má byť efektívne meno, skôr než čokoľvek podpíšete, a zapíšte si ho vedľa zariadenia alebo účtu, ku ktorému patrí. Register mena, vlastníka, účelu a odtlačku certifikátu pokrýva väčšinu nasadení. Bez neho je archív certifikátov jediným záznamom o tom, ktoré meno patrí ktorému zariadeniu, a tento archív nedokáže rozlíšiť oprávnenú náhradu od druhého zariadenia nárokujúceho existujúce meno. Rezervujte meno pri zápise, pod zámkom, ak dvaja operátori môžu vydávať súčasne.

Ktoré meno mapovanie skutočne používa

Bežné vyhľadanie certifikátu používa bežné meno. Server nastavený na mapovanie overeného používateľského mena použije namiesto toho túto hodnotu, čo robí bežné meno certifikátu pre voľbu politiky nepodstatným. Prečítajte si bežiaci konfiguračný súbor, aby ste videli, ktoré mapovanie platí.

Obe mapovania môžu existovať súčasne a výsledok potom závisí od poradia, v ktorom ich server vyhodnocuje. Mapovanie používateľského mena, ktoré padá späť na bežné meno, ticho prijme certifikát, ktorý register nikdy neschválil. Napíšte efektívne meno vedľa príkazu, ktorý ho vytvoril, aby ďalší operátor nemusel poradie znova objavovať. Testovanie jedného pripojenia na mapovanie je lacné a otázku vyrieši.

Čokoľvek mapovanie vytvorí, je hodnota na rezerváciu. Rezervovať bežné mená v CA, zatiaľ čo sa server opiera o používateľské mená, znamená rezervovať nesprávnu vec.

Dve CA môžu schváliť rovnaké meno

Služba VPN môže dôverovať viac ako jednému vydavateľovi a každý vydavateľ si drží vlastnú predstavu o tom, ktoré mená sú obsadené. Dve nezávislé CA môžu obe schváliť rovnaké bežné meno pre rôzne zariadenia a server prijme oba certifikáty bez sťažnosti. Zinventarizujte každého vydavateľa v balíku dôvery, nielen toho, z ktorého zvyčajne vydávate. Zlyhanie sa objaví prvýkrát, keď sa použije certifikát druhého vydavateľa.

Rovnaká úvaha platí pre CA, ktorá vyžaduje jedinečnosť celého subjektu namiesto jedinečnosti bežného mena.

Dva certifikáty s rovnakým bežným menom, ale rôznou organizačnou jednotkou majú rôzne subjekty, takže CA nehlási konflikt, zatiaľ čo server vidí jedno meno. Skontrolujte nastavenie, ktoré váš nástroj na vydávanie skutočne používa, namiesto predpokladu predvolenej hodnoty. spracovanie unique_subject v dokumentácii openssl ca je tam príslušná páčka a obaly okolo tohto nástroja ju zvyčajne vystavujú, namiesto aby ju nahrádzali.

Obnova je rezervované opätovné použitie, nie kolízia

Obnova, ktorá zachová meno, je zámerné opätovné použitie a register by to mal povedať jednoduchými slovami. Zapíšte starý odtlačok a nový pod jedným menom, aby recenzent rozoznal náhradu od prevzatia. Voľba duplicate-cn servera s tým nesúvisí: riadi súbežné relácie, nie zápis alebo rezervácie mien. Rozhodnite, ako dlho môžu oba údaje existovať a kedy starý prestane byť prijímaný.

Skôr než náhradu odovzdáte, prečítajte si, čo certifikát skutočne obsahuje. Riadok subjektu je pole, ktoré server namapuje, nech názov súboru naznačuje čokoľvek.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Odvolanie zvyčajne identifikuje certifikát pod jeho vydavateľom, takže vyradenie jedného sériového čísla neovplyvní správne vydanú náhradu od tej istej autority. Presne toto správanie čistá obnova potrebuje, a práve preto odvolanie nedokáže upratať meno zdieľané dvoma zariadeniami. Overte efektívny názov politiky a pridelenú adresu na skúšobnom pripojení, než používateľ zariadenie uvidí. Potom starý údaj zámerne vyraďte a poznamenajte, že ste to urobili.