Pse dy certifikata OpenVPN mund të ndajnë një politikë CCD

Një CA mund të nënshkruajë dy certifikata që marrin të njëjtin OpenVPN konfigurim specifik për klientin, dhe asgjë në asnjërin prej dy certifikatave nuk paralajmëron askënd. Numrat serialë ndryshojnë, çelësat ndryshojnë, dhe subjektet e plota gjithashtu ndryshojnë sapo ndryshon një njësi organizative. Serveri përcakton politikën për çdo klient përmes një emri të vetëm, dhe ai emër është e vetmja gjë që duhet të jetë unike.

Serveri përcakton një emër, jo një numër serial

Me kërkimin e thjeshtë të certifikatës, serveri merr emrin e përbashkët nga certifikata e paraqitur dhe kërkon një zë client-config-dir me atë emër. Numri serial nuk hyn kurrë në kërkim. Dy certifikata që ndryshojnë në çdo fushë përveç emrit të përbashkët përfundojnë në të njëjtin skedar, kështu që lidhja e dytë trashëgon adresën fikse dhe rrugët e shtyra të pajisjes së parë.

Kështu një kontroll uniciteti nga ana e CA kalon ndërsa VPN-ja ende përplaset. Dy kontrollet përgjigjen pyetjeve të ndryshme.

Vendosni cili duhet të jetë emri efektiv përpara se të nënshkruani çdo gjë, dhe regjistrojeni pranë pajisjes ose llogarisë të cilës i përket. Një regjistër me emër, pronar, qëllim dhe gjurmë gishti të certifikatës mbulon shumicën e vendosjeve. Pa të, arkivi i certifikatave është i vetmi regjistër se cili emër i përket cilës pajisje, dhe ai arkiv nuk mund të dallojë një zëvendësim të autorizuar nga një pajisje e dytë që pretendon një emër ekzistues. Rezervoni emrin në regjistrim, nën një bllokim nëse dy operatorë mund të lëshojnë në të njëjtën kohë.

Cilin emër përdor në të vërtetë mapimi

Kërkimi i thjeshtë i certifikatës përdor emrin e përbashkët. Një server i konfiguruar të mapojë një emër përdoruesi të autentikuar përdor atë vlerë në vend të tij, gjë që e bën emrin e përbashkët të certifikatës të parëndësishëm për zgjedhjen e politikës. Lexoni konfigurimin që po ekzekutohet për të parë cili mapim është në fuqi.

Të dy mapimet mund të jenë të pranishme njëkohësisht, dhe atëherë rezultati varet nga radha në të cilën serveri i zgjidh ato. Një mapim emri përdoruesi që bie përsëri te emri i përbashkët do të pranojë në heshtje një certifikatë që regjistri nuk e ka miratuar kurrë. Shkruani emrin efektiv pranë komandës që e prodhoi, që operatori tjetër të mos duhet të rizbulojë radhën. Testimi i një lidhjeje për çdo mapim është i lirë dhe e zgjidh çështjen.

Çfarëdo që prodhon mapimi, është ajo vlera që duhet rezervuar. Rezervimi i emrave të përbashkët në CA ndërsa serveri mbështetet te emrat e përdoruesve rezervon gjënë e gabuar.

Dy CA mund të miratojnë të njëjtin emër

Një shërbim VPN mund t'i besojë më shumë se një autoriteti lëshues, dhe çdo autoritet mban idenë e vet se cilët emra janë të zënë. Dy CA të pavarura mund të miratojnë të dyja të njëjtin emër të përbashkët për pajisje të ndryshme, dhe serveri i pranon të dyja certifikatat pa ankesë. Inventarizoni çdo autoritet në paketën e besimit, jo vetëm atë nga i cili lëshoni zakonisht. Dështimi shfaqet herën e parë që përdoret një certifikatë nga autoriteti i dytë.

I njëjti arsyetim vlen për një CA që imponon unicitetin e subjektit të plotë në vend të unicitetit të emrit të përbashkët.

Dy certifikata që ndajnë një emër të përbashkët por ndryshojnë në njësinë organizative kanë subjekte të ndryshme, kështu që CA nuk raporton asnjë konflikt ndërsa serveri sheh një emër. Kontrolloni cilësimin që mjeti juaj i lëshimit përdor me të vërtetë në vend që të supozoni një vlerë të paracaktuar. trajtimi i unique_subject në dokumentacionin e openssl ca është leva përkatëse atje, dhe mbështjellësit rreth atij mjeti zakonisht e ekspozojnë atë në vend që ta zëvendësojnë.

Rinovimi është një ripërdorim i rezervuar, jo një përplasje

Një rinovim që mban emrin është një ripërdorim i qëllimshëm, dhe regjistri duhet ta thotë këtë me fjalë të thjeshta. Regjistroni gjurmën e vjetër dhe të re nën një emër të vetëm, që një recensues të mund të dallojë një zëvendësim nga një marrje kontrolli. Opsioni duplicate-cn i serverit nuk ka lidhje: ai rregullon sesionet e njëkohshme, jo regjistrimin ose rezervimet e emrave. Vendosni sa kohë mund të ekzistojnë të dy kredencialet dhe kur e vjetra nuk pranohet më.

Përpara se të dorëzoni zëvendësimin, rilexoni çfarë përmban certifikata në të vërtetë. Rreshti i subjektit është fusha që serveri do të mapojë, çfarëdo që sugjeron emri i skedarit.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Revokimi zakonisht identifikon një certifikatë nën lëshuesin e saj, kështu që tërheqja e një numri serial nuk prek një zëvendësim të lëshuar saktë nga i njëjti autoritet. Pikërisht kjo sjellje i nevojitet një rinovimi të pastër, dhe pikërisht për këtë revokimi nuk mund të pastrojë një emër që ndahet nga dy pajisje. Validoni emrin efektiv të politikës dhe adresën e caktuar në një lidhje prove përpara se përdoruesi të shohë pajisjen. Pastaj tërhiqni me qëllim kredencialin e vjetër dhe regjistroni se e keni bërë këtë.