రెండు OpenVPN సర్టిఫికెట్లు, ఒక CCD పేరు: ఏమి తప్పు జరిగింది

వేర్వేరు సీరియల్ నంబర్లు, వేర్వేరు కీలు మరియు వేర్వేరు పూర్తి విషయాలు ఉన్న రెండు క్లయింట్ సర్టిఫికెట్లు ఇప్పటికీ ఒకే విధాన ఫైల్కు చేరుకోవచ్చు, ఎందుకంటే సర్వర్ వాటిలో ఏదీ చూడదు. అది సర్టిఫికెట్ నుండి ఒక పేరును చదివి దానికి సరిపోయే క్లయింట్ కాన్ఫిగ్ ఫైల్ను తెరుస్తుంది. రెండు సర్టిఫికెట్లు ఒకే పేరును కలిగి ఉంటే, రెండవది కనెక్ట్ అయిన క్షణంలోనే మొదటి దాని విధానాన్ని వారసత్వంగా పొందుతుంది.

ఈ ఘర్షణ నమోదు సమయంలో ఏర్పడుతుంది మరియు కనెక్ట్ అయ్యే సమయంలో మాత్రమే తెలుస్తుంది, సాధారణంగా ఒక పరికరం మరొక మెషీన్కు చెందిన చిరునామా లేదా మార్గాల సమితిని పొందినప్పుడు. దానిని నివారించడానికి సర్వర్ ఏ ఫీల్డ్ను మ్యాప్ చేస్తుందో అంగీకరించి, ఆ తర్వాత ఏదైనా సంతకం చేయడానికి ముందు ఆ విలువను కేటాయించి ఉంచాలి.

మీ సర్టిఫికెట్ సాధనాలు మిమ్మల్ని హెచ్చరించవు, ఎందుకంటే X.509 లోపలి ప్రత్యేకత మరియు OpenVPN విధాన పేరు ప్రత్యేకత వేర్వేరు వ్యవస్థలు అమలు చేసే వేర్వేరు అవసరాలు.

సర్వర్ పేరును వెతుకుతుంది, వేలిముద్రను కాదు

సాధారణ సర్టిఫికెట్ ఆధారిత మ్యాపింగ్లో, సర్వర్ సమర్పించిన సర్టిఫికెట్ నుండి సాధారణ పేరును తీసుకొని తన క్లయింట్ కాన్ఫిగ్ డైరెక్టరీలో ఆ పేరుతో ఫైల్ను వెతుకుతుంది. ఆ ఫైల్ స్థిర చిరునామాను పిన్ చేయవచ్చు, మార్గాలను పుష్ చేయవచ్చు లేదా ప్రతి క్లయింట్కు ఫైర్వాల్ గుర్తులను వర్తింపజేయవచ్చు. శోధన ఫైల్ పేరుతో స్ట్రింగ్ సరిపోలిక, కాబట్టి అక్షరాల పరిమాణం, ఖాళీలు మరియు విరామ చిహ్నాలు అన్నీ ముఖ్యం.

కొన్ని అమలులు ఉద్దేశపూర్వకంగా మ్యాపింగ్ను మారుస్తాయి, తద్వారా ధృవీకరించిన వినియోగదారు పేరు సాధారణ పేరు స్థానాన్ని తీసుకుంటుంది, అప్పుడు ప్రత్యేకంగా ఉండవలసినది వినియోగదారు పేరే. ఏదేమైనా, విధానాన్ని ఎంచుకునే విలువ మీరు కేటాయించే విలువ. ఏదైనా జారీ చేయడానికి ముందు ఏది అని నిర్ణయించుకోండి; ఘర్షణ తర్వాత ఊహించడం అడగడం కంటే ఖరీదైనది.

రెండు అధికారాలు ఒకే పేరుపై కలిసే చోటు

ఒకటి కంటే ఎక్కువ జారీ అధికారాల నుండి సర్టిఫికెట్లను అంగీకరించే సంస్థ ఒకే పేరు స్థలంలో రాసే రెండు స్వతంత్ర నమోదు ప్రక్రియలను నిర్వహిస్తుంది. ప్రతి అధికారం యొక్క స్వంత ప్రత్యేకత నియమాలు దాని లోపల వర్తిస్తాయి, కాబట్టి రెండూ అదే సాధారణ పేరు కోసం చట్టబద్ధంగా జారీ చేయగలవు మరియు ఎవరికీ ఏదీ తప్పుగా కనిపించదు.

సీరియల్ నంబర్లు సహాయపడవు. X.509 సీరియల్ నంబర్ దాని జారీచేసేవారి పరిధిలో ప్రత్యేకంగా ఉండాలని కోరుతుంది, అది ఆ అధికారం యొక్క లెక్కల లక్షణం, పరికరం యొక్క ప్రపంచ గుర్తింపు కాదు. విషయ తనిఖీ కూడా సాధారణ-పేరు తనిఖీకి భిన్నమైన పరీక్ష: రెండు సర్టిఫికెట్లు ఒక CN పంచుకోవచ్చు కానీ సంస్థాగత యూనిట్లో భిన్నంగా ఉండి వేర్వేరు విషయాలను కలిగి ఉండవచ్చు. ఈ లక్షణాలన్నీ నిలిచి ఉన్నా సర్వర్ ఇప్పటికీ రెండు సర్టిఫికెట్లను ఒకే ఫైల్ పేరుకు మ్యాప్ చేస్తుంది.

OpenSSL CA పత్రాలు దాని స్వంత డేటాబేస్ అభిప్రాయాన్ని నియంత్రించే unique_subject సెట్టింగ్ను కవర్ చేస్తాయి, మరియు నిజాయితీ ప్రారంభ స్థానం మీ జారీ కాన్ఫిగరేషన్ను చదవడం, నిర్దిష్ట EasyRSA లేదా OpenSSL డిఫాల్ట్ వర్తిస్తుందని ఊహించడం కాదు.

సంతకం చేయడానికి ముందు ప్రభావవంతమైన పేరును కేటాయించండి

ఒక పరికరాన్ని దాని ఆమోదించిన రికార్డుకు మరియు అక్కడి నుండి ఖచ్చితమైన విధాన ఫైల్ పేరుకు మ్యాప్ చేసే రిజిస్ట్రీని ఉంచండి, తద్వారా పేరు ఒకసారి కేటాయించబడి కేటాయించబడినట్లే ఉంటుంది. కేటాయింపు పరమాణు పరమైనది అయి ఉండాలి, ఆచరణలో దీని అర్థం కేటాయించి-తర్వాత-సంతకం చేయండి అనే దశను చుట్టుముట్టిన డేటాబేస్ పరిమితి లేదా లాక్, ఇద్దరు వ్యక్తులు సవరించే స్ప్రెడ్షీట్ కాదు.

తర్వాత తనిఖీని జారీలో భాగం చేయండి: అభ్యర్థించిన పేరు ఇప్పటికే ఉన్నట్లయితే సంతకం చేయడానికి నిరాకరించండి, మరియు ఆ తనిఖీలో సర్వర్ విశ్వసించే ప్రతి అధికారాన్ని చేర్చండి, ఎందుకంటే మరొక అధికారం కేటాయించిన పేరు కూడా అంతే ఆక్రమించబడి ఉంటుంది. స్పష్టమైన కారణంతో తిరస్కరించిన అభ్యర్థన మరొకరి స్థిర చిరునామాను నిరంతరం పొందుతున్న పరికరం గురించిన టికెట్ కంటే చవకైనది.

పునరుద్ధరణ ఉద్దేశపూర్వకంగా పేరును తిరిగి ఉపయోగిస్తుంది

ఇప్పటికే ఉన్న పరికరానికి తిరిగి జారీ చేయడం అదే విధాన పేరు కింద కొత్త సీరియల్ను ఇవ్వాలి, అది ఘర్షణ కాదు, చట్టబద్ధమైన పునర్వినియోగం. ముందుగానే నిర్ణయించవలసినది అతివ్యాప్తి: పాత మరియు కొత్త సర్టిఫికెట్లు ఒకేసారి చెల్లుబాటు కాగలవా, మరియు పాత ఆధారాలు ఎలా ఉపసంహరించబడతాయి.

దీన్ని పరిష్కరించడానికి duplicate-cn వైపు వెళ్లకండి. ఆ సర్వర్ ఎంపిక ఒకే పేరును సమర్పించే ఏకకాల కనెక్షన్లను నియంత్రిస్తుంది; అది నమోదును లాక్ చేయదు, మరియు దాన్ని ప్రారంభించడం ఒక భాగస్వామ్య స్థిర చిరునామాను ఒకేసారి రెండు మెషీన్లకు సురక్షితం చేయదు. రద్దు సాధారణంగా సర్టిఫికెట్ను జారీచేసేవారు మరియు సీరియల్ నంబర్ ద్వారా గుర్తిస్తుంది, కాబట్టి పాత ఆధారాలను ఉపసంహరించడం దాని ప్రత్యామ్నాయాన్ని చెల్లనిదిగా చేయవలసిన అవసరం లేదు, సర్వర్ సరైన రద్దు డేటాను స్వీకరించి అమలు చేస్తే సరిపోతుంది.

మెషీన్పై ఉన్న సాధనాలతో మ్యాపింగ్ను నిర్ధారించండి

ఒక పరికరానికి దాని కొత్త ఆధారాలను ఇచ్చే ముందు, సర్వర్ చదివే విధంగానే సర్టిఫికెట్ నుండి పేరును చదవండి, తర్వాత ఎంపిక అవుతుందని మీరు ఆశించే విధాన ఫైల్తో పోల్చండి.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

మొదటి ఆదేశం విషయ ఫీల్డ్లను విడివిడిగా ముద్రిస్తుంది, ఇది దారితప్పిన సంస్థాగత యూనిట్ లేదా రెట్టింపు ఖాళీని వెంటనే కనిపించేలా చేస్తుంది. రెండవది అదే పేరు కింద విధాన ఫైల్ ఉందని నిర్ధారిస్తుంది, మూడవది ఒక పేరుపై అనేక సెషన్లను అనుమతించడానికి సర్వర్ కాన్ఫిగర్ చేయబడిందో లేదో చూపిస్తుంది. తప్పు ఇంకా సంఘటన కాకుండా సంతకం ఖర్చుగా ఉన్నప్పుడు, నమోదు దశను విడిచిపెట్టే ముందు మూడింటినీ కొత్త సర్టిఫికెట్పై అమలు చేయండి. అవుట్పుట్ను టికెట్తో ఉంచండి, తద్వారా తదుపరి వ్యక్తి సర్వర్ నిజంగా ఏ పేరు పొందిందో చూడగలరు.

నిజమైన కనెక్షన్తో ముగించి, కేటాయించిన చిరునామా మరియు పుష్ చేసిన మార్గాలను మీరు రాయాలనుకున్నదానితో కాదు, విధాన ఫైల్తో పోల్చండి. రెండు పరికరాలు ఒకే స్థిర చిరునామాను నివేదిస్తే, రిజిస్ట్రీలో ఏ సర్టిఫికెట్ తనిఖీ కూడా ఎప్పటికీ వెల్లడించని ఘర్షణ ఉంది.