இரண்டு OpenVPN சான்றிதழ்கள், ஒரு CCD பெயர்: என்ன தவறு நடந்தது

வெவ்வேறு வரிசை எண்கள், வெவ்வேறு விசைகள் மற்றும் வெவ்வேறு முழு பொருள்கள் கொண்ட இரண்டு வாடிக்கையாளர் சான்றிதழ்கள் இன்னும் ஒரே கொள்கைக் கோப்பை அடையலாம், ஏனெனில் சேவையகம் அவற்றில் எதையும் பார்க்கவில்லை. அது சான்றிதழிலிருந்து ஒரு பெயரைப் படித்து அதற்குப் பொருந்தும் வாடிக்கையாளர் உள்ளமைவுக் கோப்பைத் திறக்கிறது. இரண்டு சான்றிதழ்களும் ஒரே பெயரைக் கொண்டிருந்தால், இரண்டாவது இணையும் தருணத்திலேயே முதல் சான்றிதழின் கொள்கையைப் பெறுகிறது.

இந்த மோதல் பதிவின் போது உருவாகி இணைக்கும் போது மட்டுமே தெரியவரும், பொதுவாக ஒரு சாதனம் இன்னொரு இயந்திரத்திற்குச் சொந்தமான முகவரி அல்லது வழித்தொகுப்பைப் பெறும்போது. அதைத் தடுக்க, சேவையகம் எந்தப் புலத்தை வரைபடமாக்குகிறது என்பதை ஒப்புக்கொண்டு, பின்னர் எதையும் கையொப்பமிடும் முன் அந்த மதிப்பை ஒதுக்க வேண்டும்.

உங்கள் சான்றிதழ்க் கருவிகள் உங்களை எச்சரிக்காது, ஏனெனில் X.509 உள்ளேயுள்ள தனித்துவமும் OpenVPN கொள்கைப் பெயரின் தனித்துவமும் வெவ்வேறு அமைப்புகளால் நடைமுறைப்படுத்தப்படும் வெவ்வேறு தேவைகள்.

சேவையகம் ஒரு பெயரைத் தேடுகிறது, விரல்ரேகையை அல்ல

வழக்கமான சான்றிதழ் அடிப்படையிலான வரைபடத்தில், சேவையகம் சமர்ப்பிக்கப்பட்ட சான்றிதழிலிருந்து பொதுப் பெயரை எடுத்து, தனது வாடிக்கையாளர் உள்ளமைவு அடைவில் அந்தப் பெயரிலான கோப்பைத் தேடுகிறது. அந்தக் கோப்பு நிலையான முகவரியைப் பிணைக்கலாம், வழிகளைத் தள்ளலாம் அல்லது ஒவ்வொரு வாடிக்கையாளருக்கும் தீர்வரிச் சுவர் குறிகளைப் பயன்படுத்தலாம். தேடல் கோப்புப் பெயருடன் சரம் பொருந்துதல், எனவே எழுத்து அளவு, இடைவெளிகள் மற்றும் நிறுத்தற்குறிகள் அனைத்தும் முக்கியம்.

சில வரிசைப்படுத்தல்கள் வேண்டுமென்றே வரைபடத்தை மாற்றுகின்றன, அதனால் அங்கீகரிக்கப்பட்ட பயனர்பெயர் பொதுப் பெயரின் இடத்தை எடுத்துக்கொள்ளும், அப்போது தனித்துவமாக இருக்க வேண்டியது பயனர்பெயரே. எப்படியிருந்தாலும், கொள்கையைத் தேர்ந்தெடுக்கும் மதிப்பே நீங்கள் ஒதுக்கும் மதிப்பு. எதையும் வெளியிடும் முன் எது என்பதைத் தீர்மானியுங்கள்; மோதலுக்குப் பின் ஊகிப்பது கேட்பதை விட விலை உயர்ந்தது.

இரண்டு அதிகாரங்கள் ஒரே பெயரில் சந்திக்கும் இடம்

ஒன்றுக்கு மேற்பட்ட வழங்கு அதிகாரத்திடமிருந்து சான்றிதழ்களை ஏற்கும் அமைப்பு ஒரே பெயர்வெளியில் எழுதும் இரண்டு சுயாதீனப் பதிவு செயல்முறைகளை இயக்குகிறது. ஒவ்வொரு அதிகாரத்தின் சொந்த தனித்துவ விதிகளும் அதற்குள் பொருந்தும், எனவே இரண்டும் அதே பொதுப் பெயருக்குச் சட்டபூர்வமாக வழங்க முடியும், எதுவும் தவறாகக் கவனிக்காமல்.

வரிசை எண்கள் உதவாது. X.509 வரிசை எண் அதன் வழங்குநரின் எல்லைக்குள் தனித்துவமாக இருக்க வேண்டும் எனக் கோருகிறது, அது அந்த அதிகாரத்தின் கணக்கியலின் பண்பு, சாதனத்தின் உலகளாவிய அடையாளம் அல்ல. பொருள் சரிபார்ப்பும் பொதுப் பெயர் சரிபார்ப்பிலிருந்து வேறுபட்ட சோதனை: இரண்டு சான்றிதழ்கள் ஒரு CN பகிர்ந்துகொள்ளலாம் ஆனால் அமைப்பு அலகில் வேறுபடலாம், அதனால் தனித்துவமான பொருள்களைக் கொண்டிருக்கலாம். இந்தப் பண்புகள் அனைத்தும் நிலைத்திருக்கும்போதும் சேவையகம் இரண்டு சான்றிதழ்களையும் ஒரே கோப்புப் பெயருக்கு வரைபடமாக்குகிறது.

OpenSSL CA ஆவணங்கள் அதன் சொந்த தரவுத்தளத்தின் கருத்தை நிர்வகிக்கும் unique_subject அமைப்பை உள்ளடக்குகின்றன, மேலும் நேர்மையான தொடக்கப் புள்ளி உங்கள் வழங்கு உள்ளமைவைப் படிப்பதாகும், குறிப்பிட்ட EasyRSA அல்லது OpenSSL இயல்புநிலை பொருந்தும் எனக் கருதுவதற்குப் பதிலாக.

கையொப்பமிடும் முன் பயனுள்ள பெயரை ஒதுக்குங்கள்

ஒரு சாதனத்தை அதன் அங்கீகரிக்கப்பட்ட பதிவுடனும் அங்கிருந்து சரியான கொள்கைக் கோப்புப் பெயருடனும் வரைபடமாக்கும் பதிவேட்டை வைத்திருங்கள், ஒரு பெயர் ஒருமுறை ஒதுக்கப்பட்டு ஒதுக்கப்பட்டதாகவே இருக்கும். ஒதுக்கீடு அணுவியலாக இருக்க வேண்டும், நடைமுறையில் இது ஒதுக்கு-பின்னர்-கையொப்பமிடும் படிநிலையைச் சுற்றியுள்ள தரவுத்தளக் கட்டுப்பாடு அல்லது பூட்டு, இருவர் திருத்தும் விரிதாள் அல்ல.

பின்னர் சரிபார்ப்பை வழங்கலின் பகுதியாக்குங்கள்: கோரப்பட்ட பெயர் ஏற்கனவே இருந்தால் கையொப்பமிட மறுக்கவும், அந்தச் சரிபார்ப்பில் சேவையகம் நம்பும் ஒவ்வொரு அதிகாரத்தையும் சேர்க்கவும், ஏனெனில் மற்ற அதிகாரம் ஒதுக்கிய பெயரும் அதே அளவு எடுக்கப்பட்டுள்ளது. தெளிவான காரணத்துடன் நிராகரிக்கப்பட்ட கோரிக்கை மற்றவரின் நிலையான முகவரியைத் தொடர்ந்து பெறும் சாதனத்தைப் பற்றிய டிக்கெட்டை விட மலிவானது.

புதுப்பித்தல் வேண்டுமென்றே பெயரை மீண்டும் பயன்படுத்துகிறது

ஏற்கனவே உள்ள சாதனத்திற்கு மீண்டும் வழங்குவது அதே கொள்கைப் பெயரின் கீழ் புதிய வரிசை எண்ணை உருவாக்க வேண்டும், அது மோதல் அல்ல, சட்டபூர்வ மறுபயன்பாடு. முன்கூட்டியே தீர்மானிக்க வேண்டியது ஒன்றின்மேல் ஒன்று படிதல்: பழைய மற்றும் புதிய சான்றிதழ்கள் ஒரே நேரத்தில் செல்லுபடியாகுமா, மேலும் பழைய சான்றளவை எவ்வாறு திரும்பப் பெறுவது.

இதைத் தீர்க்க duplicate-cn நோக்கிச் செல்ல வேண்டாம். அந்தச் சேவையக விருப்பம் ஒரே பெயரை வழங்கும் ஒரே நேர இணைப்புகளை நிர்வகிக்கிறது; அது பதிவைப் பூட்டாது, அதை இயக்குவது ஒரு பகிரப்பட்ட நிலையான முகவரியை ஒரே நேரத்தில் இரண்டு இயந்திரங்களுக்குப் பாதுகாப்பானதாக்காது. ரத்து பொதுவாகச் சான்றிதழை வழங்குநர் மற்றும் வரிசை எண்ணால் அடையாளம் காணும், எனவே பழைய சான்றளவைத் திரும்பப் பெறுவது அதன் மாற்றீட்டைச் செல்லாததாக்க வேண்டியதில்லை, சேவையகம் சரியான ரத்துத் தரவைப் பெற்று அமல்படுத்தும் வரை.

இயந்திரத்தில் உள்ள கருவிகளுடன் வரைபடத்தை உறுதிப்படுத்துங்கள்

ஒரு சாதனத்திற்கு அதன் புதிய சான்றளவைக் கொடுக்கும் முன், சேவையகம் படிக்கும் விதத்திலேயே சான்றிதழிலிருந்து பெயரைப் படியுங்கள், பின்னர் தேர்ந்தெடுக்கப்படும் என எதிர்பார்க்கும் கொள்கைக் கோப்புடன் ஒப்பிடுங்கள்.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

முதல் கட்டளை பொருள் புலங்களைத் தனித்தனியாக அச்சிடுகிறது, இது தவறான அமைப்பு அலகு அல்லது இரட்டை இடைவெளியை உடனடியாகத் தெரியச் செய்கிறது. இரண்டாவது அதே பெயரின் கீழ் கொள்கைக் கோப்பு இருப்பதை உறுதிப்படுத்துகிறது, மூன்றாவது ஒரே பெயரில் பல அமர்வுகளை அனுமதிக்க சேவையகம் உள்ளமைக்கப்பட்டுள்ளதா எனக் காட்டுகிறது. தவறு இன்னும் நிகழ்வாக அல்ல, ஒரு கையொப்பத்தின் விலையாக இருக்கும்போது, பதிவு படிநிலையை விட்டு வெளியேறும் முன் மூன்றையும் புதிய சான்றிதழில் இயக்குங்கள். வெளியீட்டை டிக்கெட்டுடன் வைத்திருங்கள், அடுத்த நபர் சேவையகம் உண்மையில் பெற்ற பெயரைப் பார்க்க முடியும்.

உண்மையான இணைப்புடன் முடிக்கவும், ஒதுக்கப்பட்ட முகவரி மற்றும் தள்ளப்பட்ட வழிகளை நீங்கள் எழுத நினைத்தவற்றுடன் அல்ல, கொள்கைக் கோப்புடன் ஒப்பிடுங்கள். இரண்டு சாதனங்கள் ஒரே நிலையான முகவரியைத் தெரிவித்தால், பதிவேட்டில் எந்தச் சான்றிதழ் ஆய்வும் ஒருபோதும் வெளிப்படுத்தாத ஒரு மோதல் உள்ளது.