OpenVPN client-config-dir: ime datoteke proti CN certifikata

Dve imeni sta v igri, preden se odjemalec sploh poveže: ime datoteke na prenosniku (nuc.ovpn) in identiteta, ki jo strežnik izpelje iz poverilnice. Iskanje v client-config-dir uporablja drugo. Preimenovanje profila na odjemalcu ali dodajanje .conf datoteki na strežniku ne spremeni ničesar glede tega, katero datoteko strežnik odpre.

Koristna primerjava ni »katero ime sem uporabil«, ampak »katero pravilo uporablja strežnik«, ker lahko preverjanje s certifikatom in preverjanje z uporabniškim imenom/geslom iz iste prijave ustvarita različni dejanski imeni.

Ime profila proti skupnemu imenu certifikata

V privzeti nastavitvi, ki temelji na certifikatu, strežnik vzame skupno ime X.509 in išče datoteko s točno tem imenom znotraj client-config-dir. Profil z imenom nuc.ovpn, katerega certifikat pravi tester, se razreši v /etc/openvpn/server/ccd/tester. Ime odjemalčeve datoteke nikoli ne vstopi v izračun. To je prvo mesto, kjer se skriva neskladje.

Mapa, polna skrbno poimenovanih profilov, lahko zato vsakič zgreši. Datoteka se ne ujema po subject, po e-poštnem naslovu ali po imenu, prikazanem v GUI; ujema se po nizu skupnega imena.

Na datotečnem sistemu, ki razlikuje velike in male črke, sta Tester in tester dve različni datoteki in odpre se le ena. Skupno ime preverite v certifikatu, ki ga odjemalec dejansko predloži, ne v kopiji v svojih zapiskih.

username-as-common-name obrne pravilo

Ko strežnik izvaja preverjanje z uporabniškim imenom/geslom z username-as-common-name, preverjeno uporabniško ime nadomesti skupno ime certifikata za to iskanje.

Primerjajte oba primera neposredno: pri identiteti iz certifikata datoteka sledi certifikatu in sprememba gesla je nepomembna; pri identiteti iz uporabniškega imena datoteka sledi prijavnemu imenu in ponovna izdaja certifikata je nepomembna. Polje, ki ga strežnik nadomesti, določa, po čem se preimenuje. Ponovno izdan certifikat z novim CN tiho spremeni cilj iskanja, stara datoteka CCD pa ostane na disku in je videti pravilna.

Obstajajo mešane konfiguracije in prav tam se začne večina zmede. Če en blok storitve vklopi nadomeščanje, drugi pa ne, je dejansko ime odvisno od tega, katera instanca je obdelala povezavo. Potrdite dejavno konfiguracijo, namesto da predpostavljate, da velja globalna datoteka. Izvirna referenca strežniških možnosti dokumentira iskanje po imenovani datoteki in neobvezno rezervno pot.

Kaj strežnik prebere in kaj tiho preskoči

O tem, ali bo datoteka izbrana, odločata dve majhni razliki. Prva je dodana pripona. Druga je zablodel znak v imenu.

OpenVPN ne doda .conf imenu, ki ga išče, zato se tester.conf ne ujema s tester. Urejevalnik, ki skriva pripone, lahko pusti datoteko, ki je na seznamu videti pravilna in se nikoli ne ujema.

Ko ni ustrezne datoteke, se lahko strežnik vrne na datoteko z imenom DEFAULT. Prihod nekaterih nastavitev torej ni dokaz, da je bila uporabljena datoteka za posameznega odjemalca. Primerjajte dodeljeni naslov ali potisnjene poti s tem, kar bi dala datoteka za posameznega odjemalca. Dovoljenja so tretji filter, ker strežnik odpre datoteko, potem ko se odreče privilegijem; lupina root, ki jo lahko prebere, ne dokazuje ničesar.

Pravilno ime datoteke ne potrdi vsebine

Izbira in vsebina sta ločeni napaki. Ko je prava datoteka odprta, morajo biti njene direktive še vedno veljavne za tega odjemalca.

ifconfig-push mora dodeliti naslov, ki ga topologija res lahko uporabi, in iroute ima smisel le za usmerjeno podomrežje za tem odjemalcem.

Ena identiteta, več naprav

Dva prenosnika z istim skupnim imenom izbereta isto datoteko in prejmeta iste nastavitve, specifične za odjemalca. Če potrebujete ločene naslove ali ločen preklic, potrebujete ločene identitete, ne dveh kopij ene datoteke.

Primerjava je med deljenjem identitete in izdajanjem enega certifikata na napravo. Deljenje je preprostejše za upravljanje in grobje za preklic, medtem ko certifikati na napravo zahtevajo več nastavljanja in vam dajo čisto enoto za onemogočanje.