OpenVPN client-config-dir: назив датотеке наспрам CN сертификата

Два назива су у игри пре него што се клијент уопште повеже: назив датотеке на лаптопу (nuc.ovpn) и идентитет који сервер изводи из идентификационих података. Претрага client-config-dir користи други. Преименовање профила на клијенту или додавање .conf на серверску датотеку не мења ништа у томе коју датотеку сервер отвара.

Корисно поређење није «који сам назив употребио» него «које правило сервер примењује», јер аутентификација сертификатом и аутентификација корисничким именом/лозинком могу дати различита ефективна имена из истог пријављивања.

Назив профила наспрам заједничког назива сертификата

У подразумеваном подешавању заснованом на сертификату, сервер узима X.509 заједнички назив и тражи датотеку са тачно тим називом унутар client-config-dir. Профил по имену nuc.ovpn чији сертификат каже tester разрешава се у /etc/openvpn/server/ccd/tester. Назив клијентске датотеке никада не улази у прорачун. То је прво место на ком се неслагање крије.

Зато директоријум пун пажљиво названих профила може да промаши сваки пут. Датотека се не повезује по subject-у, по е-адреси ни по називу приказаном у GUI-ју; повезује се по низу заједничког назива.

На систему датотека који разликује велика и мала слова, Tester и tester су две различите датотеке и отвара се само једна. Проверите заједнички назив из сертификата који клијент заиста представља, а не из копије у вашим белешкама.

username-as-common-name преокреће правило

Када сервер извршава аутентификацију корисничким именом/лозинком са username-as-common-name, аутентификовано корисничко име замењује заједнички назив сертификата за ову претрагу.

Упоредите два случаја директно: са идентитетом из сертификата датотека следи сертификат и промена лозинке је небитна; са идентитетом из корисничког имена датотека следи име за пријаву и поновно издавање сертификата је небитно. Које поље сервер замени, према њему треба преименовати. Поново издат сертификат са новим CN тихо мења циљ претраге, а стара CCD датотека остаје на диску и изгледа исправно.

Постоје мешовите конфигурације и баш тамо почиње највећи део забуне. Ако један сервисни блок укључује замену, а други не, ефективни назив зависи од тога која је инстанца обрадила везу. Потврдите активну конфигурацију уместо да претпостављате да важи глобална датотека. Изворни референца за серверске опције документује претрагу по названој датотеци и опциони резервни поступак.

Шта сервер чита и шта тихо прескаче

Две мале разлике одлучују да ли ће датотека бити изабрана. Прва је додато проширење. Друга је залутали знак у називу.

OpenVPN не додаје .conf називу који тражи, па tester.conf не одговара tester. Уређивач који скрива проширења може да остави датотеку која у списку изгледа исправно и никада се не поклапа.

Када нема одговарајуће датотеке, сервер може да се врати на датотеку по имену DEFAULT. Зато долазак неких подешавања није доказ да је коришћена датотека за појединачног клијента. Упоредите додељену адресу или гурнуте руте са оним што би дала датотека за појединачног клијента. Дозволе су трећи филтер, јер сервер отвара датотеку након што се одрекне привилегија; root љуска која може да је прочита не доказује ништа.

Исправан назив датотеке не потврђује садржај

Избор и садржај су одвојени кварови. Након што се отвори права датотека, њене директиве и даље морају бити важеће за тог клијента.

ifconfig-push мора да додели адресу коју топологија заиста може да користи, а iroute има смисла само за рутирану подмрежу иза тог клијента.

Један идентитет, више уређаја

Два лаптопа која представљају исти заједнички назив бирају исту датотеку и добијају иста подешавања специфична за клијента. Ако су вам потребне одвојене адресе или одвојено опозивање, потребни су вам одвојени идентитети, а не две копије једне датотеке.

Поређење је између дељења идентитета и издавања једног сертификата по уређају. Дељење је једноставније за администрацију и грубље за опозив, док сертификати по уређају траже више подешавања и дају вам чисту јединицу за онемогућавање.