Dalawang OpenVPN Certificate, Isang CCD Name: Ano ang Nagkamali

Dalawang kliyenteng certificate na may magkaibang serial number, magkaibang key at kahit magkaibang buong subject ay maaari pa ring mapunta sa isang policy file, dahil wala sa mga iyon ang tinitingnan ng server. Nagbabasa ito ng pangalan mula sa certificate at binubuksan ang katumbas na client configuration file. Kung pareho ang pangalang dala ng dalawang certificate, mamanahin ng pangalawa ang policy ng una sa sandaling kumonekta ito.

Ang banggaan ay nalilikha sa enrolment at natatuklasan lamang sa oras ng koneksyon, kadalasan kapag ang isang device ay tumatanggap ng address o set ng ruta na pag-aari ng ibang makina. Upang maiwasan ito, kailangang magkasundo kung aling field ang minamapa ng server, at pagkatapos ay ireserba ang halagang iyon bago pumirma ng kahit ano.

Hindi ka babalaan ng iyong mga certificate tool, dahil ang pagiging natatangi sa loob ng X.509 at ang pagiging natatangi ng pangalan ng OpenVPN policy ay magkaibang pangangailangan na ipinapatupad ng magkaibang sistema.

Naghahanap ang server ng pangalan, hindi fingerprint

Sa karaniwang mapping na nakabatay sa certificate, kinukuha ng server ang common name mula sa inihaing certificate at naghahanap ng file na may ganoong pangalan sa direktoryo ng client configuration nito. Maaaring i-pin ng file na iyon ang isang static na address, mag-push ng ruta o maglapat ng firewall mark sa bawat kliyente. Ang paghahanap ay string match sa pangalan ng file, kaya mahalaga ang malalaki at maliliit na titik, espasyo at bantas.

Sinasadya ng ilang deployment na baligtarin ang mapping upang ang awtentikadong username ang pumalit sa common name, at doon ang username ang kailangang maging natatangi. Alinman sa dalawa, ang halagang pumipili ng policy ay ang halagang iyong inireserba. Magpasya kung alin ito bago maglabas ng kahit ano; ang manghula pagkatapos ng banggaan ay mas mahal kaysa magtanong.

Kung saan nagtatagpo ang dalawang awtoridad sa isang pangalan

Ang organisasyong tumatanggap ng certificate mula sa higit sa isang issuing authority ay nagpapatakbo ng dalawang independiyenteng proseso ng enrolment na nagsusulat sa isang namespace. Naaangkop sa loob ng bawat awtoridad ang sarili nitong tuntunin sa pagiging natatangi, kaya pareho silang makakapaglabas nang lehitimo para sa parehong common name nang walang napapansin ang isa man na mali.

Hindi nakakatulong ang serial number. Hinihiling ng X.509 na natatangi ang serial number sa loob ng saklaw ng issuer nito, isang katangian ng accounting ng awtoridad na iyon at hindi pandaigdigang pagkakakilanlan ng device. Ang pagsusuri ng subject ay iba rin sa pagsusuri ng common name: maaaring magbahagi ng CN ang dalawang certificate ngunit magkaiba sa organizational unit at sa gayon ay may magkaibang subject. Lahat ng katangiang iyon ay maaaring totoo habang ang server ay nagmamapa pa rin ng dalawang certificate sa isang pangalan ng file.

Ang dokumentasyon ng OpenSSL CA ay sumasaklaw sa setting na unique_subject na kumokontrol sa opinyon ng sarili nitong database, at ang tapat na simula ay basahin ang iyong issuing configuration sa halip na ipagpalagay na may umiiral na partikular na default ng EasyRSA o OpenSSL.

Ireserba ang epektibong pangalan bago pumirma

Panatilihin ang isang rehistro na nagmamapa ng device sa aprubadong rekord nito at mula doon sa eksaktong pangalan ng policy file, upang ang isang pangalan ay maialok nang isang beses at manatiling nakalaan. Dapat atomiko ang reserbasyon, na sa pagsasagawa ay nangangahulugang isang database constraint o lock sa paligid ng hakbang na maglaan-at-pagkatapos-pumirma, hindi isang spreadsheet na ine-edit ng dalawang tao.

Pagkatapos, gawing bahagi ng paglabas ang pagsusuri: tanggihan ang pagpirma kapag umiiral na ang hinihiling na pangalan, at isama sa pagsusuring iyon ang bawat awtoridad na pinagkakatiwalaan ng server, dahil ang pangalang inireserba ng kabilang awtoridad ay kasing-okupa rin. Ang tinanggihang kahilingan na may malinaw na dahilan ay mas mura kaysa sa tiket tungkol sa device na paulit-ulit na nakakakuha ng static na address ng iba.

Sinasadya ng renewal na gamitin muli ang pangalan

Ang muling paglabas para sa umiiral na device ay dapat gumawa ng bagong serial number sa ilalim ng parehong pangalan ng policy, at iyon ay lehitimong muling paggamit at hindi banggaan. Ang kailangang pasyahan nang maaga ay ang overlap: kung ang luma at bagong certificate ay maaaring maging wasto nang sabay, at paano ititigil ang lumang credential.

Huwag umabot sa duplicate-cn upang lutasin ito. Kinokontrol ng server option na iyon ang sabay na koneksyon na naghahain ng parehong pangalan; hindi nito nilo-lock ang enrolment, at ang pagpapagana nito ay hindi ginagawang ligtas ang isang pinagsasaluhang static na address para sa dalawang makina nang sabay. Karaniwang kinikilala ng revocation ang certificate sa pamamagitan ng issuer at serial number, kaya ang pagtigil sa lumang credential ay hindi kailangang magpawalang-bisa sa kapalit nito hangga't natatanggap at ipinapatupad ng server ang tamang revocation data.

Kumpirmahin ang mapping gamit ang mga tool sa makina

Bago ibigay sa isang device ang bago nitong credential, basahin ang pangalan mula sa certificate sa paraang gagawin ng server, pagkatapos ay ihambing ito sa policy file na inaasahan mong mapipili.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Ang unang utos ay nagpi-print ng subject field nang hiwalay, na ginagawang agad na nakikita ang naligaw na organizational unit o nadobleng espasyo. Kinukumpirma ng pangalawa na may policy file sa ilalim ng eksaktong pangalang iyon, at ipinapakita ng pangatlo kung naka-configure ang server na payagan ang maraming session sa isang pangalan. Patakbuhin ang tatlo sa isang bagong certificate bago ito umalis sa hakbang ng enrolment, habang ang pagkakamali ay nagkakahalaga pa ng isang pirma at hindi isang insidente. Itabi ang output kasama ng tiket upang makita ng susunod na tao kung aling pangalan ang aktwal na natanggap ng server.

Tapusin sa isang tunay na koneksyon at ihambing ang itinalagang address at ang mga na-push na ruta sa policy file, hindi sa kung ano ang balak mong isulat. Kung dalawang device ang nag-uulat ng parehong static na address, may banggaan sa rehistro na hindi kailanman ibubunyag ng anumang inspeksyon ng certificate.