Jina moja la kawaida, vyeti viwili: orodha ya kuruhusiwa au kufuta?

Kutoa tena cheti cha kompyuta ya mkononi chini ya jina lile lile la kawaida huonekana kama badala, na kila mtu hudhani cha zamani kimekufa. Si hivyo. Kitangulizi kinabaki kuwa cheti halali kilichosainiwa na mamlaka ile ile, na udhibiti wowote unaokubali wateja kwa jina utaendelea kukikubali. Kinachotenganisha ukaguzi wa utambulisho na ukaguzi wa stakabadhi ni nambari ya mfululizo, na hapo ndipo marekebisho yanapaswa kuwa.

Anza na sera ya majina ambayo seva inatumia

Udhibiti mbili huchanganywa: kumkubali mteja kwa sababu anadai kuwa fulani, na kuondoa cheti kimoja maalum kutoka huduma. Ya kwanza ni ukaguzi wa jina, ya pili ni ukaguzi wa kufuta. Zinajibu maswali tofauti, na usambazaji unaweza kuwa na moja bila nyingine.

Soma usanidi wa seva na uangalie ni chanzo kipi cha utambulisho kinatumika. username-as-common-name hufanya jina la mtumiaji lililothibitishwa kuwa jina madhubuti kwa utafutaji maalum wa mteja. Bila hiyo, jina la kawaida la somo kutoka kwa cheti hutumika. Jibu liwe lolote, liandike kabla ya kugusa orodha yoyote ya kuruhusiwa.

Njia hizo mbili hutoa seti tofauti ya majina yanayoruhusiwa kwa cheti kile kile. Kukisia hapa kunamaanisha kuhariri faili isiyo sahihi na kuhitimisha kuwa udhibiti haufanyi kazi.

Angalia kinachomkubali mteja kwa kweli

Iliyounganishwa na faili inayolingana client-config-dir hutoa chaguo maalum za mteja; yenyewe si kanuni ya kukubali. Kukubali kwa jina kunahitaji ccd-exclusive, ambayo hukataa wateja wasio na faili inayolingana. Kuiwasha katika usambazaji unaoendelea hukata kila mtu ambaye jina lake halina faili, kwa hiyo hesabu faili kabla ya kubadilisha chochote.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Idadi ndiyo ukaguzi: linganisha orodha ya saraka na utambulisho unaotarajia kuunganishwa.

Kisha thibitisha kwamba kila jina la faili linalingana kabisa na utambulisho madhubuti, ikiwa ni pamoja na herufi kubwa na ndogo na nafasi. Faili ya office-laptop haifanyi chochote kwa cheti ambacho somo lake linasomeka Office-Laptop. Nafasi za mwisho pia hujificha kutoka kwa orodha ya kawaida, na hivyo faili inayoonekana ipo hubaki bila kusomwa.

Angalia CRL ambayo lango hupakia

CRL huitaja vyeti vilivyofutwa kwa mtoaji na nambari ya mfululizo, na hiyo ndiyo undani ambao ukaguzi wa jina hauna. Vyeti viwili vinaweza kushiriki jina la kawaida na kutofautiana kwa nambari ya mfululizo, na orodha ya kiwango cha mfululizo pekee hivitenganisha.

Thibitisha njia iliyosanidiwa, tarehe ya utoaji na sehemu ya sasisho ijayo kabla ya kuamini faili kabisa.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

Linganisha nambari ya mfululizo iliyo kwenye CRL na nambari ya mfululizo kwenye cheti unachokusudia kuweka. Ulinganisho huo ndio mtihani wote, na kuufanya mara moja kwa macho kuna thamani zaidi kuliko kuamini script ambayo hakuna aliyesoma. Sambaza CRL iliyosasishwa kupitia njia ambayo lango tayari linasoma. CRL iliyo katika saraka isiyo sahihi haitekelezi chochote, na hakuna kumbukumbu ya mteja itakayo itaja.

Badilisha, kisha thibitisha matokeo yote mawili

Toa badala chini ya jina lile lile la kawaida, rekodi nambari zote mbili za mfululizo, na kisha tu futa ya zamani. Mpangilio huo huweka utambulisho unaofanya kazi ukipatikana wakati unajiandaa kwa mabadiliko.

Jaribu badala kwanza: inapaswa kuthibitisha na kufikia kila kitu ambacho jina lake lina haki nacho. Kisha jaribu cheti cha zamani na uthibitishe kwamba kinakataliwa, kwa sababu badala iliyofanikiwa haisemi chochote kuhusu kufuta. Ikiwa zote mbili bado zinaunganisha, ingizo la kufuta halisomwi au nambari ya zamani ya mfululizo haikuwa kamwe kwenye orodha. Ikiwa hakuna inaunganisha, umevunja kanuni ya kukubali na si stakabadhi.

Vipindi vilivyokwisha anzishwa ni suala tofauti, kwa sababu kufuta kunahusu uthibitisho mpya isipokuwa lango pia limesanidiwa kukata miunganisho hai. Amua kama kuondoa mara moja kunahitajika kabla ya kuahidi mtu yeyote.

Kile ambacho ukaguzi wa jina hauwezi kamwe

Orodha ya kuruhusiwa hujibu kama utambulisho huu unaweza kuunganishwa. Haiwezi kusema ni cheti kipi utambulisho huo ulitumia, na itakubali stakabadhi ya zamani kadiri stakabadhi inabaki halali na haijafutwa. Pengo hilo huonekana wakati wa tukio, wakati badala ilitolewa miezi kadhaa iliyopita na kitangulizi bado kinafanya kazi.

Ambapo udhibiti wa kiwango cha cheti unahitajika, tumia utaratibu unaotaja cheti: maingizo ya CRL, au ndoano ya uthibitishaji inayokagua alama ya kidole ambayo mwendeshaji huitunza. Zote mbili zinagharimu utunzaji, na zote mbili ni waaminifu kuhusu kitu wanachokichunguza. mwongozo wa OpenVPN 2.6 unaandika crl-verify na ukubalifu maalum wa mteja kama chaguo tofauti, kwa sababu hiyo hiyo.

Andika ni udhibiti upi unaofanya kazi ipi, kisha jaribu hali hasi. Kufuta ambako hukuwahi kuona kukataa muunganisho ni usanidi unaotarajia ufanye kazi.