Vyeti viwili vya OpenVPN, jina moja la CCD: nini kilienda kombo

Vyeti viwili vya mteja vilivyo na nambari tofauti za mfululizo, funguo tofauti na hata masomo kamili tofauti bado vinaweza kuishia katika faili moja la sera, kwa sababu seva haiangalii kitu chochote kati ya hivyo. Inasoma jina kutoka kwenye cheti na kufungua faili la usanidi la mteja linalolingana. Ikiwa vyeti vyote viwili vimebeba jina moja, cha pili hurithi sera ya cha kwanza mara tu kinapoungana.

Mgongano huo huundwa wakati wa usajili na hugunduliwa tu wakati wa kuunganisha, kwa kawaida kifaa kinapopokea anwani au seti ya njia ambazo ni za mashine nyingine. Kuuzuia kunamaanisha kukubaliana ni uwanja upi seva inaweka ramani, kisha kuhifadhi thamani hiyo kabla ya kitu chochote kusainiwa.

Zana zako za vyeti hazitakuonya, kwa sababu upekee ndani ya X.509 na upekee wa jina la sera la OpenVPN ni mahitaji tofauti yanayotekelezwa na mifumo tofauti.

Seva hutafuta jina, sio alama ya vidole

Katika ramani ya kawaida inayotegemea vyeti, seva huchukua jina la kawaida kutoka kwenye cheti kilichowasilishwa na kutafuta faili lenye jina hilo katika saraka yake ya usanidi wa wateja. Faili hilo linaweza kubandika anwani tuli, kusukuma njia au kutumia alama za ukuta wa moto kwa kila mteja. Utafutaji ni ulinganisho wa mfuatano na jina la faili, kwa hivyo ukubwa wa herufi, nafasi na alama za uakifishaji zote ni muhimu.

Baadhi ya usambazaji hubadilisha ramani kwa makusudi ili jina la mtumiaji lililothibitishwa lichukue nafasi ya jina la kawaida, na hapo jina la mtumiaji ndilo lazima liwe la kipekee. Kwa vyovyote vile, thamani inayochagua sera ndiyo thamani unayohifadhi. Amua ni ipi kabla ya kutoa kitu chochote; kubahatisha baada ya mgongano kunagharimu zaidi kuliko kuuliza.

Mahali ambapo mamlaka mbili zinakutana kwenye jina moja

Shirika linalokubali vyeti kutoka kwa zaidi ya mamlaka moja ya utoaji huendesha michakato miwili huru ya usajili inayoandika katika nafasi moja ya majina. Kanuni za upekee za kila mamlaka zinatumika ndani yake, kwa hivyo zote mbili zinaweza kutoa kwa njia halali kwa jina moja la kawaida bila yeyote kuona kitu kibaya.

Nambari za mfululizo hazisaidii. X.509 inahitaji nambari ya mfululizo iwe ya kipekee ndani ya wigo wa mtoaji wake, jambo ambalo ni sifa ya uhasibu wa mamlaka hiyo na sio utambulisho wa kimataifa wa kifaa. Ukaguzi wa somo pia ni jaribio tofauti na ukaguzi wa jina la kawaida: vyeti viwili vinaweza kushirikiana CN lakini kutofautiana katika kitengo cha shirika na hivyo kubeba masomo tofauti. Sifa hizo zote zinaweza kudumu wakati seva bado inaweka ramani ya vyeti vyote viwili kwenye jina moja la faili.

Nyaraka za OpenSSL CA zinashughulikia mpangilio wa unique_subject unaosimamia maoni ya hifadhidata yake yenyewe, na mahali pa kuanzia kwa uaminifu ni kusoma usanidi wako wa utoaji badala ya kudhani kwamba chaguo-msingi fulani la EasyRSA au OpenSSL linatumika.

Hifadhi jina lenye matokeo kabla ya kusaini

Weka rejista inayoweka ramani ya kifaa kwenye rekodi yake iliyoidhinishwa na kutoka hapo kwenye jina kamili la faili la sera, ili jina litengwe mara moja na kubaki limetengwa. Uhifadhi lazima uwe wa atomiki, ambayo kwa vitendo inamaanisha kizuizi cha hifadhidata au kufuli kuzunguka hatua ya tengeneza-kisha-saini, sio lahajedwali inayohaririwa na watu wawili.

Kisha fanya ukaguzi kuwa sehemu ya utoaji: kataa kusaini wakati jina lililoombwa lipo tayari, na jumuisha katika ukaguzi huo kila mamlaka ambayo seva inaamini, kwa sababu jina lililotengwa na mamlaka nyingine pia limechukuliwa. Ombi lililokataliwa kwa sababu iliyo wazi ni nafuu kuliko tikiti kuhusu kifaa kinachoendelea kupokea anwani tuli ya mtu mwingine.

Uhuishaji hutumia jina tena kwa makusudi

Utoaji upya kwa kifaa kilichopo unapaswa kutoa nambari mpya ya mfululizo chini ya jina lile lile la sera, na huo ni utumiaji upya halali na sio mgongano. Kinachopaswa kuamuliwa mapema ni mwingiliano: kama cheti cha zamani na kipya vinaweza kuwa halali kwa wakati mmoja, na jinsi kitambulisho cha zamani kinavyoondolewa.

Usikimbilie duplicate-cn kutatua hili. Chaguo hilo la seva linasimamia miunganisho ya wakati mmoja inayowasilisha jina moja; halifungii usajili, na kuliwezesha hakufanyi anwani moja tuli iliyoshirikiwa kuwa salama kwa mashine mbili kwa wakati mmoja. Ubatilishaji kwa kawaida hutambua cheti kwa mtoaji na nambari ya mfululizo, kwa hivyo kuondoa kitambulisho cha zamani hakuhitaji kubatilisha mbadala wake mradi seva inapokea na kutekeleza data sahihi za ubatilishaji.

Thibitisha ramani kwa zana zilizo kwenye mashine

Kabla ya kumpa kifaa kitambulisho chake kipya, soma jina kutoka kwenye cheti jinsi seva itavyosoma, kisha linganisha na faili la sera unalotarajia kuchaguliwa.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Amri ya kwanza inachapisha sehemu za somo kwa tofauti, jambo linalofanya kitengo cha shirika kilichopotea au nafasi iliyoongezwa maradufu ionekane mara moja. Ya pili inathibitisha kuwa faili la sera lipo chini ya jina hilo hasa, na ya tatu inaonyesha kama seva imesanidiwa kuruhusu vikao kadhaa kwenye jina moja. Endesha zote tatu kwenye cheti kipya kabla ya kuondoka hatua ya usajili, wakati kosa bado linagharimu saini badala ya tukio. Hifadhi matokeo pamoja na tikiti ili mtu anayefuata aone jina ambalo seva ilipokea kwa kweli.

Maliza kwa muunganisho halisi na linganisha anwani iliyotengwa na njia zilizosukumwa na faili la sera, sio na kile ulichokusudia kuandika. Ikiwa vifaa viwili vinaripoti anwani moja tuli, rejista ina mgongano ambao hakuna ukaguzi wa vyeti utakaoufichua kamwe.