CA ร่วม ประตูแยก: หนึ่งบริการต่อไฟล์รับเข้า

ใบรับรองที่ผ่านการตรวจสอบกับหน่วยงานร่วมได้ผ่านการทดสอบความไว้วางใจ ไม่ใช่การทดสอบความเป็นสมาชิก การตัดสินใจสองอย่างนี้มักถูกรวมเข้าด้วยกันเพราะทั้งสองเกิดขึ้นตอนเชื่อมต่อ และการรวมกันนั้นมองไม่เห็นจนกว่าคนที่ไม่ควรอยู่ในบริการจะถูกอนุญาตให้เข้าไป ทางแก้ไม่ใช่หน่วยงานที่สอง แต่เป็นการตัดสินใจที่สอง ซึ่งทำแยกตามบริการและบันทึกไว้ในที่ที่เดมอนอ่านมัน แยกสองอย่างนี้ออกจากกันแล้วความสับสนในเรื่องนี้ส่วนใหญ่ก็หายไป

ห่วงโซ่ที่ไว้วางใจได้ไม่บอกอะไรเกี่ยวกับความเป็นสมาชิกของบริการ

สองบริการสามารถยอมรับลำดับชั้นผู้ออกใบรับรองเดียวกันแต่ยังมีประชากรต่างกันได้ แล็ปท็อปเครื่องหนึ่งเป็นของบริการแรกและต้องไม่ไปถึงบริการที่สอง ขณะที่ไคลเอนต์อื่นในลำดับชั้นเดียวกันเป็นของที่นั่นจริง การถอนหน่วยงานออกจากบริการนั้นจะล็อกทุกคนที่ใช้งานอย่างถูกต้องออกไป งานจึงเป็นการรับเข้า ไม่ใช่ความไว้วางใจ

การนึกภาพกุญแจสองตัวบนประตูบานเดียวนั้นช่วยได้ ใบรับรองเปิดกุญแจชั้นนอก และการตัดสินใจรายบริการเปิดกุญแจชั้นใน ไม่มีตัวใดใช้แทนอีกตัวได้ บริการที่มีแต่กุญแจชั้นนอกไม่ได้บังคับความเป็นสมาชิกเลย เพียงแต่พิสูจน์ตัวตน เขียนการตัดสินใจทั้งสองก่อนแก้อะไร เพราะนโยบายที่มีอยู่เพียงในรูปการเชื่อมต่อที่ใช้งานได้ตรวจสอบไม่ได้ สิ่งที่ตามมาเกี่ยวกับกุญแจชั้นใน

เปลี่ยนการแทนที่แบบเลือกได้ให้เป็นประตูรับเข้า

ไดเรกทอรีการตั้งค่าไคลเอนต์มักเป็นความสะดวก ไฟล์ในนั้นแทนที่การตั้งค่าของไคลเอนต์ที่ระบุชื่อ และไคลเอนต์ที่ไม่มีไฟล์ก็ทำงานด้วยค่าเริ่มต้นของเซิร์ฟเวอร์ คำสั่งเดียวเปลี่ยนความสะดวกนั้นให้เป็นประตู คือถ้าไฟล์หายไปก็หมายถึงการเชื่อมต่อถูกปฏิเสธ

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

รุ่นชุมชนของ OpenVPN 2.6 ccd-exclusiveเอกสารหน้าคู่มือของตนระบุเงื่อนไขนี้ไว้พอดี และการค้นหาไฟล์ที่ระบุชื่อขึ้นอยู่กับตัวตนที่มีผลของไคลเอนต์ การสร้างอื่นและเซิร์ฟเวอร์ที่ผลิตภัณฑ์จัดการอาจแตกต่างกัน ดังนั้นยืนยันเวอร์ชันที่ติดตั้งก่อนพึ่งพาความหมายเดียวกันที่อื่น

ถือว่าเส้นทางข้างต้นเป็นตัวอย่างและตรวจสอบเลย์เอาต์ที่ปรับใช้จริงแทนการสร้างไดเรกทอรีที่คู่มือแต่งขึ้น ปล่อยการตรวจสอบใบรับรอง การตรวจสอบตัวตนเซิร์ฟเวอร์ และการพิสูจน์ตัวตนบัญชีไว้เหมือนเดิม เพราะส่วนย่อยนี้เพิ่มเงื่อนไขและไม่ได้เอาอะไรออก เตรียมการเปลี่ยนแปลงก่อนโปรดักชัน เพราะการปฏิเสธที่ถูกยกขึ้นผิดจุดดูเหมือนความล้มเหลวของใบรับรองและส่งการสอบสวนไปที่หน่วยงาน จากนั้นยืนยันว่าบรรทัดบันทึกของไคลเอนต์ที่ถูกปฏิเสธระบุชื่อไฟล์การตั้งค่าที่หายไป ไม่ใช่ห่วงโซ่

หนึ่งไดเรกทอรีต่อบริการ ไม่ใช่รายการร่วมรายการเดียว

ความเป็นสมาชิกเป็นของบริการที่บังคับใช้ ดังนั้นแต่ละบริการจึงเก็บไดเรกทอรีของตนและไฟล์ของตน การชี้สองบริการไปที่รายการเดียวทำให้ทั้งสองแบ่งปันความเป็นสมาชิก ไม่ว่ามีใครตั้งใจหรือไม่ และการเปลี่ยนแปลงที่เกิดขึ้นนั้นยากจะสาวกลับไปถึงการตัดสินใจ หน่วยงานร่วมยังร่วมได้ แต่ไฟล์รับเข้าร่วมไม่ได้ การแยกไว้ยังหมายความว่าข้อผิดพลาดในบริการหนึ่งไม่สามารถขยายอีกบริการอย่างเงียบ ๆ ได้

รายการ DEFAULT คือกรณีที่ทำให้คนเข้าใจผิด มันให้การตั้งค่าสำรองเมื่อไม่พบไฟล์ที่ระบุชื่อ แต่มันไม่ใช่ไฟล์ที่ระบุชื่อซึ่งประตูต้องการ จึงไม่สามารถรับไคลเอนต์ได้เอง ทดสอบไคลเอนต์ที่ไม่มีรายการเลยและยืนยันการปฏิเสธ หากไคลเอนต์นั้นถูกอนุญาต แสดงว่ากำลังใช้ค่าสำรองและ ccd-exclusive ไม่มีผลในอินสแตนซ์นั้น

ตัวตนที่มีผลเป็นตัวกำหนดว่าจะอ่านไฟล์ใด

การค้นหาใช้ตัวตนที่ไคลเอนต์พิสูจน์ตัวจริง ซึ่งโดยปกติคือชื่อสามัญของใบรับรอง เมื่อเซิร์ฟเวอร์ตรวจสอบชื่อผู้ใช้และรหัสผ่านด้วยและแมปชื่อนั้นเป็นชื่อสามัญ ไฟล์ต้องตรงกับชื่อผู้ใช้ที่พิสูจน์แล้วแทน ความไม่ตรงกันทำให้ไดเรกทอรีเต็มไปด้วยชื่อไฟล์ที่ดูสมเหตุสมผลแต่ไม่เคยถูกเลือก

การอ่านคืออีกครึ่งหนึ่ง เดมอนมักลดสิทธิ์หลังจากเริ่มทำงาน ดังนั้นบัญชีที่ลดสิทธิ์แล้วต้องมีสิทธิ์อ่านไดเรกทอรีและทุกรายการในนั้น ไคลเอนต์ต้องไม่สามารถสร้างรายการของตนเองผ่านเส้นทางที่เขียนได้ เพราะการรับเข้าแบบบริการตนเองทำให้กลไกทั้งหมดไร้ผล ตรวจสอบสิทธิ์การเมานต์และการแชร์ ไม่ใช่แค่โหมดไฟล์ เพราะไดเรกทอรีที่ดูเหมือนปิดสำหรับบัญชีหนึ่งอาจเปิดสำหรับอีกบัญชี จากนั้นยืนยันว่ากระบวนการที่รันอยู่ใช้บัญชีใดจริง ไม่ใช่บัญชีที่ไฟล์ unit กล่าวถึง สองอย่างนี้เหมือนกันเฉพาะเมื่อไม่มีอะไรอื่นเปลี่ยนมัน

สังเกตการปฏิเสธ การรับเข้า และการเพิกถอนแยกกัน

ลองตัวตนที่เป็นของบริการและยืนยันว่าเชื่อมต่อได้ ลองใบรับรองที่ใช้ได้แต่ไม่มีรายการและยืนยันว่าถูกปฏิเสธ ลองตัวตนที่ได้รับอนุญาตในอีกบริการและยืนยันว่าไม่ได้รับอนุญาตที่นี่ บันทึกอินสแตนซ์ของบริการและตัวตนที่มีผลข้างผลลัพธ์แต่ละรายการ เพราะผลลัพธ์ที่ไม่มีบริบทนั้นคนอื่นไม่สามารถทำซ้ำได้

การถอนเป็นการดำเนินการแยกจากการเพิกถอน การแก้ไขไฟล์รับเข้าถอดสิทธิ์ของบริการหนึ่งในขณะที่ตัวตนยังใช้ได้ทุกที่อื่น ส่วนกุญแจที่ถูกบุกรุกต้องมีการตอบสนองการเพิกถอนขององค์กร ตัดสินใจล่วงหน้าว่าจะเกิดอะไรกับเซสชันที่เปิดอยู่แล้ว เพราะทั้งการแก้ไขไดเรกทอรีและการเพิกถอนไม่สามารถจบเซสชันเหล่านั้นได้เอง

การรับเข้ายังเป็นเพียงประตูแรก การเข้าร่วมบริการไม่ได้บอกอะไรเกี่ยวกับซับเน็ต ฐานข้อมูล หรืออินเทอร์เฟซการจัดการที่อยู่เบื้องหลัง และนโยบายทรัพยากรนั้นต้องเขียนและทดสอบแยกต่างหาก