Зашто два OpenVPN сертификата могу делити једну CCD политику

CA може потписати два сертификата која добијају исту OpenVPN конфигурацију специфичну за клијента, и ништа ни у једном од та два сертификата никога не упозорава. Серијски бројеви се разликују, кључеви се разликују, а и пуни субјекти се разликују чим се промени организациона јединица. Сервер одређује политику по клијенту кроз једно име, и то име је једина ствар која мора бити јединствена.

Сервер одређује име, а не серијски број

Код обичне претраге сертификата сервер узима заједничко име из представљеног сертификата и тражи запис у client-config-dir са тим именом. Серијски број никада не улази у претрагу. Два сертификата која се разликују у свим пољима осим заједничког имена завршавају у истој датотеци, па друга веза наслеђује фиксну адресу и гурнуте руте првог уређаја.

Тако провера јединствености на страни CA пролази док се VPN и даље судара. Две провере одговарају на различита питања.

Одлучите какво треба да буде ефективно име пре него што било шта потпишете, и запишите га поред уређаја или налога коме припада. Регистар са именом, власником, сврхом и отиском сертификата покрива већину распоређивања. Без њега архива сертификата је једини запис о томе које име припада ком уређају, и та архива не може да разликује овлашћену замену од другог уређаја који тражи постојеће име. Резервишите име при регистрацији, под закључавањем ако два оператера могу да издају истовремено.

Које име мапирање заиста користи

Обична претрага сертификата користи заједничко име. Сервер подешен да мапира аутентификовано корисничко име користи уместо тога ту вредност, што чини заједничко име сертификата неважним за избор политике. Прочитајте конфигурацију која ради да видите које мапирање важи.

Оба мапирања могу постојати истовремено, и тада резултат зависи од редоследа којим их сервер решава. Мапирање корисничког имена које се враћа на заједничко име тихо ће прихватити сертификат који регистар никада није одобрио. Запишите ефективно име поред команде која га је произвела, да следећи оператер не мора поново да открива редослед. Тестирање једне везе по мапирању је јефтино и решава питање.

Шта год мапирање произведе, то је вредност коју треба резервисати. Резервисање заједничких имена у CA док се сервер ослања на корисничка имена резервише погрешну ствар.

Два CA могу одобрити исто име

VPN услуга може веровати више од једног издавачког органа, и сваки орган држи сопствену представу о томе која су имена заузета. Два независна CA могу оба одобрити исто заједничко име за различите уређаје, и сервер прихвата оба сертификата без жалбе. Пописом обухватите сваки орган у пакету поверења, не само онај из ког обично издајете. Отказ се појављује први пут када се употреби сертификат другог органа.

Исто резоновање важи за CA која намеће јединственост пуног субјекта уместо јединствености заједничког имена.

Два сертификата која деле заједничко име али се разликују у организационој јединици имају различите субјекте, па CA не пријављује сукоб док сервер види једно име. Проверите подешавање које ваш алат за издавање заиста користи уместо да претпоставите подразумевану вредност. руковање unique_subject у документацији openssl ca је релевантна полуга тамо, и омоти око тог алата је обично излажу уместо да је замене.

Обнова је резервисано поновно коришћење, а не судар

Обнова која задржава име је намерно поновно коришћење, и регистар то треба да каже једноставним речима. Запишите стари отисак и нови под једним именом, да рецензент може да разликује замену од преузимања. Опција duplicate-cn сервера није повезана: она уређује истовремене сесије, не регистрацију или резервације имена. Одлучите колико дуго оба акредитива могу да постоје и када стари престаје да се прихвата.

Пре него што предате замену, прочитајте шта сертификат заиста садржи. Ред субјекта је поље које ће сервер мапирати, шта год име датотеке сугерисало.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Опозив обично идентификује сертификат под његовим издавачем, па пензионисање једног серијског броја не утиче на исправно издату замену од истог органа. Управо такво понашање је потребно чистој обнови, и управо зато опозив не може да очисти име које деле два уређаја. Валидирајте ефективно име политике и додељену адресу на пробној вези пре него што корисник види уређај. Затим намерно пензионишите стари акредитив и запишите да сте то урадили.