இரண்டு OpenVPN சான்றிதழ்கள் ஒரே CCD கொள்கையைப் பகிர முடிவதன் காரணம்

ஒரு CA ஒரே OpenVPN வாடிக்கையாளர்-குறிப்பிட்ட உள்ளமைவைப் பெறும் இரண்டு சான்றிதழ்களில் கையொப்பமிட முடியும், இரண்டிலும் எதுவும் யாருக்கும் எச்சரிக்கை விடுக்கவில்லை. வரிசை எண்கள் வேறுபடுகின்றன, விசைகள் வேறுபடுகின்றன, நிறுவன அலகு மாறும்போது முழு பொருள்களும் வேறுபடுகின்றன. சேவையகம் ஒரே பெயரின் மூலம் ஒவ்வொரு வாடிக்கையாளரின் கொள்கையையும் தீர்மானிக்கிறது, அந்தப் பெயரே தனித்துவமாக இருக்க வேண்டிய ஒரே விஷயம்.

சேவையகம் பெயரைத் தீர்மானிக்கிறது, வரிசை எண்ணை அல்ல

சாதாரண சான்றிதழ் தேடலில் சேவையகம் சமர்ப்பிக்கப்பட்ட சான்றிதழிலிருந்து பொதுப் பெயரை எடுத்து அந்தப் பெயரின் client-config-dir பதிவைத் தேடுகிறது. வரிசை எண் ஒருபோதும் தேடலில் நுழையாது. பொதுப் பெயரைத் தவிர அனைத்துப் புலங்களிலும் வேறுபடும் இரண்டு சான்றிதழ்கள் ஒரே கோப்பில் சேரும், எனவே இரண்டாவது இணைப்பு முதல் சாதனத்தின் நிலையான முகவரியையும் தள்ளப்பட்ட பாதைகளையும் வாரிசாகப் பெறுகிறது.

இவ்வாறு CA பக்கத்தின் தனித்துவச் சரிபார்ப்பு வெற்றிபெறுகிறது, ஆனால் VPN இன்னும் மோதுகிறது. இரண்டு சரிபார்ப்புகளும் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன.

எதிலும் கையொப்பமிடும் முன் பயனுள்ள பெயர் என்னவாக இருக்க வேண்டும் என்பதைத் தீர்மானித்து, அது சார்ந்த சாதனம் அல்லது கணக்கின் அருகில் பதிவு செய்யுங்கள். பெயர், உரிமையாளர், நோக்கம் மற்றும் சான்றிதழ் கைரேகை கொண்ட பதிவேடு பெரும்பாலான பயன்பாடுகளை உள்ளடக்குகிறது. அது இல்லாவிட்டால் சான்றிதழ்க் காப்பகமே எந்தப் பெயர் எந்தச் சாதனத்திற்குச் சொந்தம் என்ற ஒரே பதிவாகும், அந்தக் காப்பகம் அங்கீகரிக்கப்பட்ட மாற்றீட்டை ஏற்கனவே உள்ள பெயரைக் கோரும் இரண்டாவது சாதனத்திலிருந்து வேறுபடுத்த முடியாது. பதிவின்போதே பெயரை ஒதுக்கி வைக்கவும், இரண்டு இயக்குநர்கள் ஒரே நேரத்தில் வழங்க முடிந்தால் பூட்டின் கீழ்.

வரைபடமாக்கல் உண்மையில் எந்தப் பெயரைப் பயன்படுத்துகிறது

சாதாரண சான்றிதழ் தேடல் பொதுப் பெயரைப் பயன்படுத்துகிறது. அங்கீகரிக்கப்பட்ட பயனர்பெயரை வரைபடமாக்க அமைக்கப்பட்ட சேவையகம் அதற்குப் பதிலாக அந்த மதிப்பைப் பயன்படுத்துகிறது, இது கொள்கைத் தேர்வுக்கு சான்றிதழின் பொதுப் பெயரைப் பொருத்தமற்றதாக்குகிறது. எந்த வரைபடமாக்கல் நடைமுறையில் உள்ளது என்பதை அறிய இயங்கும் உள்ளமைவைப் படியுங்கள்.

இரண்டு வரைபடமாக்கல்களும் ஒரே நேரத்தில் இருக்கலாம், அப்போது முடிவு சேவையகம் அவற்றைத் தீர்க்கும் வரிசையைப் பொறுத்தது. பொதுப் பெயருக்குத் திரும்பும் பயனர்பெயர் வரைபடமாக்கல் பதிவேடு ஒருபோதும் அங்கீகரிக்காத சான்றிதழை அமைதியாக ஏற்கும். பயனுள்ள பெயரை அதை உருவாக்கிய கட்டளைக்கு அருகில் எழுதுங்கள், அடுத்த இயக்குநர் வரிசையை மீண்டும் கண்டறிய வேண்டியதில்லை. ஒவ்வொரு வரைபடமாக்கலுக்கும் ஒரு இணைப்பைச் சோதிப்பது மலிவானது மற்றும் கேள்வியைத் தீர்க்கிறது.

வரைபடமாக்கல் எதை உருவாக்கினாலும் அதுவே ஒதுக்கி வைக்க வேண்டிய மதிப்பு. CA-வில் பொதுப் பெயர்களை ஒதுக்கி வைக்கும்போது சேவையகம் பயனர்பெயர்களை நம்பியிருந்தால் தவறானதை ஒதுக்கி வைக்கிறீர்கள்.

இரண்டு CA ஒரே பெயரை அங்கீகரிக்கலாம்

ஒரு VPN சேவை ஒன்றுக்கு மேற்பட்ட வழங்கும் அதிகாரசபையை நம்பலாம், ஒவ்வொரு அதிகாரசபையும் எந்தப் பெயர்கள் எடுக்கப்பட்டுள்ளன என்பது குறித்து தனது சொந்தக் கருத்தை வைத்திருக்கிறது. இரண்டு சுயாதீன CA வெவ்வேறு சாதனங்களுக்கு ஒரே பொதுப் பெயரை இரண்டும் அங்கீகரிக்கலாம், சேவையகம் குறையின்றி இரண்டு சான்றிதழ்களையும் ஏற்கிறது. நம்பிக்கைக் கட்டில் உள்ள ஒவ்வொரு அதிகாரசபையையும் பட்டியலிடுங்கள், நீங்கள் வழக்கமாக வழங்கும் ஒன்றை மட்டும் அல்ல. இரண்டாவது அதிகாரசபையின் சான்றிதழ் முதன்முதலில் பயன்படுத்தப்படும்போது தோல்வி தோன்றுகிறது.

பொதுப் பெயரின் தனித்துவத்திற்குப் பதிலாக முழுப் பொருளின் தனித்துவத்தை வலியுறுத்தும் CA-க்கும் அதே பகுத்தறிவு பொருந்தும்.

பொதுப் பெயரைப் பகிர்ந்தாலும் நிறுவன அலகில் வேறுபடும் இரண்டு சான்றிதழ்களுக்கு வெவ்வேறு பொருள்கள் உள்ளன, எனவே CA எந்த முரண்பாட்டையும் தெரிவிக்கவில்லை, ஆனால் சேவையகம் ஒரு பெயரைக் காண்கிறது. இயல்புநிலையை ஊகிப்பதற்குப் பதிலாக உங்கள் வழங்கும் கருவி உண்மையில் பயன்படுத்தும் அமைப்பைச் சரிபார்க்கவும். openssl ca ஆவணத்தில் unique_subject கையாளுதல் அங்குள்ள தொடர்புடைய கட்டுப்பாடு, அந்தக் கருவியைச் சுற்றியுள்ள உறைகள் பொதுவாக அதை மாற்றீடு செய்யாமல் வெளிப்படுத்துகின்றன.

புதுப்பித்தல் என்பது ஒதுக்கப்பட்ட மறுபயன்பாடு, மோதல் அல்ல

பெயரைத் தக்கவைக்கும் புதுப்பித்தல் வேண்டுமென்றே மறுபயன்பாடு, பதிவேடு அதை எளிய வார்த்தைகளில் கூற வேண்டும். பழைய கைரேகையையும் புதியதையும் ஒரே பெயரின் கீழ் பதிவு செய்யுங்கள், மதிப்பாய்வாளர் மாற்றீட்டைக் கைப்பற்றலிலிருந்து வேறுபடுத்த முடியும். சேவையகத்தின் duplicate-cn விருப்பம் இதற்குத் தொடர்பில்லாதது: அது ஒரே நேர அமர்வுகளை ஒழுங்குபடுத்துகிறது, பதிவு அல்லது பெயர் ஒதுக்கீட்டை அல்ல. இரண்டு சான்றுகளும் எவ்வளவு காலம் இருக்கலாம், பழையது எப்போது ஏற்கப்படுவது நிற்கும் என்பதைத் தீர்மானியுங்கள்.

மாற்றீட்டை ஒப்படைக்கும் முன் சான்றிதழில் உண்மையில் என்ன இருக்கிறது என்பதை மீண்டும் படியுங்கள். பொருள் வரியே சேவையகம் வரைபடமாக்கும் புலம், கோப்பின் பெயர் எதைப் பரிந்துரைத்தாலும்.

openssl x509 -in device42.crt -noout -subject -serial -issuer

ரத்து பொதுவாக ஒரு சான்றிதழை அதன் வழங்குநரின் கீழ் அடையாளம் காண்கிறது, எனவே ஒரு வரிசை எண்ணை ஓய்வு பெறச் செய்வது அதே அதிகாரசபையால் சரியாக வழங்கப்பட்ட மாற்றீட்டைப் பாதிக்காது. அந்த நடத்தையே தூய்மையான புதுப்பித்தலுக்குத் தேவை, அதனால்தான் ரத்து இரண்டு சாதனங்கள் பகிரும் பெயரைச் சுத்தம் செய்ய முடியாது. பயனர் சாதனத்தைப் பார்க்கும் முன் சோதனை இணைப்பில் பயனுள்ள கொள்கைப் பெயரையும் ஒதுக்கப்பட்ட முகவரியையும் சரிபார்க்கவும். பின்னர் பழைய சான்றை வேண்டுமென்றே ஓய்வு பெறச் செய்து அப்படிச் செய்ததைப் பதிவு செய்யுங்கள்.