Zakaj si lahko dva certifikata OpenVPN delita eno politiko CCD

CA lahko podpiše dva certifikata, ki dobita isto OpenVPN konfiguracijo, specifično za odjemalca, in nič v nobenem od obeh certifikatov nikogar ne opozori. Serijske številke se razlikujejo, ključi se razlikujejo in tudi polni subjekti se razlikujejo, ko se spremeni organizacijska enota. Strežnik določi politiko za vsakega odjemalca prek enega imena, in to ime je edino, kar mora biti edinstveno.

Strežnik določi ime, ne serijske številke

Pri običajnem iskanju certifikata strežnik vzame skupno ime iz predloženega certifikata in poišče vnos v client-config-dir s tem imenom. Serijska številka nikoli ne vstopi v iskanje. Dva certifikata, ki se razlikujeta v vseh poljih razen v skupnem imenu, pristaneta v isti datoteki, zato druga povezava podeduje fiksni naslov in potisnjene poti prve naprave.

Tako preverjanje edinstvenosti na strani CA uspe, medtem ko VPN še vedno trči. Preverjanji odgovarjata na različni vprašanji.

Odločite se, kakšno naj bo dejansko ime, preden karkoli podpišete, in ga zabeležite ob napravi ali računu, ki mu pripada. Register z imenom, lastnikom, namenom in prstnim odtisom certifikata pokrije večino namestitev. Brez njega je arhiv certifikatov edini zapis o tem, katero ime pripada kateri napravi, in ta arhiv ne more ločiti pooblaščene zamenjave od druge naprave, ki zahteva obstoječe ime. Rezervirajte ime ob vpisu, pod ključavnico, če lahko dva operaterja izdajata hkrati.

Katero ime preslikava dejansko uporablja

Običajno iskanje certifikata uporablja skupno ime. Strežnik, nastavljen za preslikavo overjenega uporabniškega imena, namesto tega uporabi to vrednost, kar naredi skupno ime certifikata nepomembno za izbiro politike. Preberite delujočo konfiguracijo, da vidite, katera preslikava velja.

Obe preslikavi lahko obstajata hkrati, in takrat je izid odvisen od vrstnega reda, v katerem ju strežnik razreši. Preslikava uporabniškega imena, ki pade nazaj na skupno ime, bo tiho sprejela certifikat, ki ga register nikoli ni odobril. Zapišite dejansko ime ob ukaz, ki ga je ustvaril, da naslednjemu operaterju ne bo treba znova odkrivati vrstnega reda. Preizkus ene povezave na preslikavo je poceni in razreši vprašanje.

Karkoli preslikava ustvari, je to vrednost, ki jo je treba rezervirati. Rezerviranje skupnih imen v CA, medtem ko se strežnik opira na uporabniška imena, rezervira napačno stvar.

Dve CA lahko odobrita isto ime

Storitev VPN lahko zaupa več kot enemu izdajatelju, in vsak izdajatelj ohranja svojo predstavo o tem, katera imena so zasedena. Dve neodvisni CA lahko obe odobrita isto skupno ime za različne naprave, in strežnik sprejme oba certifikata brez pritožbe. Popišite vsakega izdajatelja v svežnju zaupanja, ne le tistega, iz katerega običajno izdajate. Okvara se pokaže prvič, ko se uporabi certifikat drugega izdajatelja.

Enako sklepanje velja za CA, ki zahteva edinstvenost celotnega subjekta namesto edinstvenosti skupnega imena.

Dva certifikata, ki si delita skupno ime, a se razlikujeta v organizacijski enoti, imata različna subjekta, zato CA ne poroča o sporu, medtem ko strežnik vidi eno ime. Preverite nastavitev, ki jo vaše orodje za izdajo dejansko uporablja, namesto da bi predpostavili privzeto vrednost. obravnava unique_subject v dokumentaciji openssl ca je tam ustrezna ročica, in ovoji okoli tega orodja jo običajno izpostavijo, namesto da bi jo nadomestili.

Obnova je rezervirana ponovna uporaba, ne trčenje

Obnova, ki ohrani ime, je namerna ponovna uporaba, in register bi to moral povedati s preprostimi besedami. Zabeležite stari in novi prstni odtis pod enim imenom, da bo pregledovalec lahko ločil zamenjavo od prevzema. Možnost duplicate-cn strežnika ni povezana: ureja sočasne seje, ne vpisa ali rezervacij imen. Odločite se, kako dolgo lahko obstajata oba podatka in kdaj stari ni več sprejet.

Preden predate zamenjavo, preberite, kaj certifikat dejansko vsebuje. Vrstica subjekta je polje, ki ga bo strežnik preslikal, ne glede na to, kaj namiguje ime datoteke.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Preklic običajno prepozna certifikat pod njegovim izdajateljem, zato umik ene serijske številke ne vpliva na pravilno izdan nadomestni certifikat istega izdajatelja. Prav takšno vedenje potrebuje čista obnova, in prav zato preklic ne more počistiti imena, ki si ga delita dve napravi. Preverite dejansko ime politike in dodeljeni naslov na preskusni povezavi, preden uporabnik vidi napravo. Nato namerno umaknite stare podatke in zabeležite, da ste to storili.