Bakit Maaaring Magbahagi ng Isang Patakarang CCD ang Dalawang Sertipiko ng OpenVPN

Maaaring pumirma ang isang CA ng dalawang sertipiko na nakakakuha ng parehong OpenVPN kliyente-specific na configuration, at walang anumang bagay sa alinman sa dalawang sertipiko ang nagbababala sa sinuman. Magkaiba ang mga serial number, magkaiba ang mga key, at magkaiba rin ang buong subject kapag nagbago ang isang organizational unit. Tinutukoy ng server ang patakaran bawat kliyente sa pamamagitan ng isang pangalan, at ang pangalang iyon ang tanging bagay na dapat natatangi.

Pangalan ang tinutukoy ng server, hindi serial number

Sa karaniwang paghahanap ng sertipiko, kinukuha ng server ang common name mula sa iniharap na sertipiko at naghahanap ng entry sa client-config-dir na may pangalang iyon. Hindi kailanman pumapasok ang serial number sa paghahanap. Dalawang sertipiko na magkaiba sa lahat ng field maliban sa common name ay napupunta sa parehong file, kaya namamana ng pangalawang koneksyon ang fixed address at mga pushed route ng unang device.

Ganoon nakakapasa ang pagsusuri ng pagiging natatangi sa panig ng CA habang bumabangga pa rin ang VPN. Magkaibang tanong ang sinasagot ng dalawang pagsusuri.

Magpasya kung ano ang dapat na mabisang pangalan bago pumirma ng anuman, at itala ito sa tabi ng device o account na pagmamay-ari nito. Ang rehistro ng pangalan, may-ari, layunin at fingerprint ng sertipiko ay sumasaklaw sa karamihan ng deployment. Kung wala nito, ang archive ng sertipiko ang tanging talaan kung aling pangalan ang pag-aari ng aling device, at hindi kayang ikinaiba ng archive na iyon ang awtorisadong pagpapalit sa isang pangalawang device na nag-aangkin ng umiiral nang pangalan. Ireserba ang pangalan sa enrollment, sa ilalim ng lock kung dalawang operator ang maaaring mag-isyu nang sabay.

Aling pangalan ang aktuwal na ginagamit ng pagmamapa

Ginagamit ng karaniwang paghahanap ng sertipiko ang common name. Ang server na naka-set up para i-map ang isang authenticated username ay ginagamit ang halagang iyon sa halip, na nagpapawalang-bisa sa common name ng sertipiko para sa pagpili ng patakaran. Basahin ang tumatakbong configuration upang makita kung aling pagmamapa ang may bisa.

Maaaring naroroon ang dalawang pagmamapa nang sabay, at ang resulta ay nakasalalay sa pagkakasunod-sunod na tinutukoy ng server. Ang pagmamapa ng username na bumabalik sa common name ay tahimik na tatanggap ng sertipiko na hindi kailanman inaprubahan ng rehistro. Isulat ang mabisang pangalan sa tabi ng command na gumawa nito upang hindi na kailangang muling tuklasin ng susunod na operator ang pagkakasunod-sunod. Ang pagsubok ng isang koneksyon bawat pagmamapa ay mura at nilulutas ang tanong.

Anuman ang gawin ng pagmamapa, iyon ang halagang dapat ireserba. Ang pagreserba ng mga common name sa CA habang umaasa ang server sa mga username ay nagrereserba ng maling bagay.

Maaaring aprubahan ng dalawang CA ang parehong pangalan

Ang isang serbisyo ng VPN ay maaaring magtiwala sa higit sa isang issuing authority, at bawat authority ay may sariling ideya kung aling mga pangalan ang nakuha na. Maaaring aprubahan ng dalawang independiyenteng CA ang parehong common name para sa magkaibang device, at tinatanggap ng server ang parehong sertipiko nang walang reklamo. Imbentaryuhin ang bawat authority sa trust bundle, hindi lamang ang karaniwan mong pinag-iisyuhan. Lumilitaw ang pagkabigo sa unang pagkakataon na gamitin ang sertipiko mula sa pangalawang authority.

Ang parehong pangangatwiran ay nalalapat sa isang CA na nagpapatupad ng pagiging natatangi ng buong subject sa halip na ng common name.

Dalawang sertipiko na nagbabahagi ng common name ngunit magkaiba sa organizational unit ay may magkaibang subject, kaya walang conflict na iniuulat ang CA habang isang pangalan ang nakikita ng server. Suriin ang setting na aktuwal na ginagamit ng iyong issuing tool sa halip na mag-akala ng default. Ang paghawak ng unique_subject sa dokumentasyon ng openssl ca ang kaugnay na control doon, at ang mga wrapper sa paligid ng tool na iyon ay karaniwang inilalantad ito sa halip na palitan ito.

Ang pag-renew ay isang nakareserbang muling paggamit, hindi banggaan

Ang pag-renew na nagpapanatili ng pangalan ay sinadyang muling paggamit, at dapat itong sabihin ng rehistro sa simpleng salita. Itala ang luma at bagong fingerprint sa ilalim ng isang pangalan upang makilala ng tagasuri ang pagpapalit mula sa pag-agaw. Ang duplicate-cn na opsyon ng server ay walang kaugnayan: ito ay namamahala ng sabay na session, hindi enrollment o reserbasyon ng pangalan. Magpasya kung gaano katagal maaaring umiral ang dalawang credential at kung kailan hihinto ang pagtanggap sa luma.

Bago iabot ang pagpapalit, basahin muli kung ano talaga ang nilalaman ng sertipiko. Ang linya ng subject ang field na imamapa ng server, anuman ang ipinahihiwatig ng pangalan ng file.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Karaniwang tinutukoy ng revocation ang isang sertipiko sa ilalim ng issuer nito, kaya ang pagreretiro ng isang serial number ay hindi nakakaapekto sa wastong naisyong pagpapalit mula sa parehong authority. Iyan mismo ang kailangan ng malinis na pag-renew, at iyan din ang dahilan kung bakit hindi kayang linisin ng revocation ang pangalang ibinabahagi ng dalawang device. Beripikahin ang mabisang pangalan ng patakaran at ang itinalagang address sa isang test connection bago makita ng user ang device. Pagkatapos ay sadyang iretiro ang lumang credential at itala na ginawa mo iyon.