OpenVPN client-config-dir: emri i skedarit kundrejt CN-së së certifikatës

Dy emra janë në lojë përpara se klienti të lidhet fare: emri i skedarit në laptop (nuc.ovpn) dhe identiteti që serveri nxjerr nga kredencialet. Një kërkim në client-config-dir përdor të dytin. Riemërtimi i profilit në klient, ose shtimi i .conf në skedarin e serverit, nuk ndryshon asgjë në lidhje me atë se cilin skedar hap serveri.

Krahasimi i dobishëm nuk është «cilin emër përdora» por «cilin rregull zbaton serveri», sepse vërtetimi me certifikatë dhe vërtetimi me emër përdoruesi/fjalëkalim mund të prodhojnë emra efektivë të ndryshëm nga i njëjti hyrje.

Emri i profilit kundrejt emrit të përbashkët të certifikatës

Në konfigurimin parazgjedhur të bazuar në certifikatë, serveri merr emrin e përbashkët X.509 dhe kërkon një skedar pikërisht me atë emër brenda client-config-dir. Një profil i quajtur nuc.ovpn, certifikata e të cilit thotë tester, zgjidhet në /etc/openvpn/server/ccd/tester. Emri i skedarit të klientit nuk hyn kurrë në llogaritje. Ky është vendi i parë ku fshihet një mospërputhje.

Një drejtori plot me profile të emërtuara me kujdes mund, pra, të dështojë çdo herë. Skedari nuk përputhet sipas subject, adresës elektronike apo emrit të shfaqur në një GUI; përputhet sipas vargut të emrit të përbashkët.

Në një sistem skedarësh që dallon shkronjat e mëdha nga të voglat, Tester dhe tester janë dy skedarë të ndryshëm dhe hapet vetëm njëri. Kontrolloni emrin e përbashkët në certifikatën që klienti paraqet vërtet, jo në një kopje në shënimet tuaja.

username-as-common-name e kthen rregullin mbrapsht

Kur serveri ekzekuton vërtetim me emër përdoruesi/fjalëkalim me username-as-common-name, emri i përdoruesit i vërtetuar zë vendin e emrit të përbashkët të certifikatës për këtë kërkim.

Krahasoni drejtpërdrejt dy rastet: me identitet nga certifikata, skedari ndjek certifikatën dhe një ndryshim fjalëkalimi është i parëndësishëm; me identitet nga emri i përdoruesit, skedari ndjek emrin e hyrjes dhe rihedhja e certifikatës është e parëndësishme. Fusha që serveri zëvendëson është ajo mbi të cilën bëhet riemërtimi. Një certifikatë e rihedhur me CN të ri ndryshon në heshtje objektivin e kërkimit, dhe skedari i vjetër CCD mbetet në disk dhe duket i saktë.

Ka konfigurime të përziera, dhe pikërisht aty nis pjesa më e madhe e konfuzionit. Nëse një bllok shërbimi e aktivizon zëvendësimin dhe një tjetër jo, emri efektiv varet nga ajo se cila instancë e trajtoi lidhjen. Konfirmoni konfigurimin aktiv në vend që të supozoni se zbatohet skedari global. Referenca e opsioneve të serverit origjinale dokumenton kërkimin sipas skedarit të emërtuar dhe rezervën opsionale.

Çfarë lexon serveri dhe çfarë anashkalon në heshtje

Dy ndryshime të vogla vendosin nëse një skedar zgjidhet. I pari është një shtesë e shtuar. I dyti është një karakter i humbur në emër.

OpenVPN nuk shton .conf në emrin që kërkon, prandaj tester.conf nuk përputhet me tester. Një redaktues që fsheh shtesat mund të lërë një skedar që duket i saktë në një listë dhe nuk përputhet kurrë.

Kur nuk ka skedar përputhës, serveri mund të bjerë prapa në një skedar të quajtur DEFAULT. Mbërritja e disa cilësimeve nuk është, pra, provë që u përdor skedari për klientin. Krahasoni adresën e caktuar ose rrugët e shtyra me atë që do të prodhonte skedari për klientin. Lejet janë filtri i tretë, sepse serveri e hap skedarin pasi heq dorë nga privilegjet; një shell root që mund ta lexojë nuk provon asgjë.

Një emër i saktë skedari nuk e vërteton përmbajtjen

Zgjedhja dhe përmbajtja janë dështime të ndara. Pasi hapet skedari i duhur, direktivat e tij duhet të jenë ende të vlefshme për atë klient.

ifconfig-push duhet të caktojë një adresë që topologjia mund ta përdorë vërtet, dhe iroute ka kuptim vetëm për një nën-rrjetë të rrugëzuar pas atij klienti.

Një identitet, disa pajisje

Dy laptopë që paraqesin të njëjtin emër të përbashkët zgjedhin të njëjtin skedar dhe marrin të njëjtat cilësime specifike për klientin. Nëse ju nevojiten adresa të ndara ose revokim i ndarë, ju nevojiten identitete të ndara, jo dy kopje të një skedari.

Krahasimi është midis ndarjes së një identiteti dhe lëshimit të një certifikate për pajisje. Ndarja është më e thjeshtë për t'u administruar dhe më e trashë për t'u revokuar, ndërsa certifikatat për pajisje kushtojnë më shumë konfigurim dhe ju japin një njësi të pastër për ta çaktivizuar.