Tek ortak ad, iki sertifika: izin listesi mi, iptal mi?

Aynı ortak ad altında dizüstü bilgisayar sertifikasını yeniden düzenlemek bir değiştirme gibi görünür ve herkes eskisinin öldüğünü varsayar. Değildir. Önceki sertifika, aynı yetkili tarafından imzalanmış geçerli bir sertifika olarak kalır ve istemcileri ada göre kabul eden her denetim onu kabul etmeye devam eder. Kimlik denetimini kimlik bilgisi denetiminden ayıran şey seri numarasıdır ve düzeltmenin yeri orasıdır.

Sunucunun kullandığı adlandırma ilkesiyle başlayın

İki denetim karıştırılır: bir istemciyi kendini ne olarak sunduğu için kabul etmek ve belirli bir sertifikayı hizmetten çıkarmak. Birincisi ad denetimi, ikincisi iptal denetimidir. Farklı sorulara cevap verirler ve bir kurulum biri olmadan ötekine sahip olabilir.

Sunucu yapılandırmasını okuyun ve hangi kimlik kaynağının iş başında olduğunu not edin. username-as-common-name kimliği doğrulanmış kullanıcı adını istemciye özgü aramalar için etkin ad yapar. O olmadan sertifikadaki özne ortak adı kullanılır. Cevap ne olursa olsun, herhangi bir izin listesine dokunmadan önce yazın.

İki yol aynı sertifika için farklı bir izin verilen ad kümesi üretir. Burada tahmin etmek yanlış dosyayı düzenlemek ve denetimin çalışmadığı sonucuna varmak demektir.

Bir istemciyi gerçekte neyin kabul ettiğini kontrol edin

Eşleşen bir dosyayla ilişkili client-config-dir istemciye özgü seçenekler sağlar; tek başına bir kabul kuralı değildir. Ada göre kabul ccd-exclusive gerektirir ve bu, eşleşen dosyası olmayan istemcileri reddeder. Bunu canlı bir kurulumda açmak, adı için dosyası olmayan herkesin bağlantısını keser, bu yüzden herhangi bir şeyi değiştirmeden önce dosyaları sayın.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Sayı denetimin kendisidir: dizin listesini bağlanmasını beklediğiniz kimliklerle karşılaştırın.

Ardından her dosya adının büyük-küçük harf ve boşluklar dahil etkin kimlikle tam olarak eşleştiğini doğrulayın. office-laptop için dosya, öznesi Office-Laptop olarak okunan bir sertifikaya hiçbir şey yapmaz. Sondaki boşluklar da düz bir listeden gizlenir ve böylece var gibi görünen bir dosya okunmadan kalır.

Ağ geçidinin yüklediği CRL'yi kontrol edin

CRL, iptal edilen sertifikaları veren ve seri numarasına göre adlandırır ve bu, ad denetiminde eksik olan ayrıntı düzeyidir. İki sertifika ortak bir adı paylaşıp seri numarasında farklılaşabilir, ve yalnızca seri numarası düzeyinde bir liste onları ayırır.

Dosyaya hiç güvenmeden önce yapılandırılmış yolu, düzenlenme tarihini ve bir sonraki güncelleme alanını doğrulayın.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL'deki seri numarasını saklamayı düşündüğünüz sertifikadaki seri numarasıyla karşılaştırın. O karşılaştırma testin tamamıdır ve bir kez gözle yapmak, kimsenin okumadığı bir betiğe güvenmekten daha değerlidir. Güncellenmiş CRL'yi ağ geçidinin zaten okuduğu yoldan dağıtın. Yanlış dizinde duran bir CRL hiçbir şey uygulamaz ve hiçbir istemci günlüğü ondan söz etmez.

Değiştirin, sonra iki sonucu da kanıtlayın

Değişimi aynı ortak ad altında düzenleyin, iki seri numarasını da kaydedin ve ancak ondan sonra eskisini iptal edin. Bu sıra, değişikliği hazırlarken çalışan bir kimliği erişilebilir tutar.

Önce değişimi test edin: kimliğini doğrulamalı ve adının hakkı olan her şeye ulaşmalıdır. Sonra eski sertifikayı test edin ve reddedildiğini doğrulayın, çünkü başarılı bir değiştirme iptal hakkında hiçbir şey söylemez. İkisi de hâlâ bağlanıyorsa iptal girdisi okunmuyordur ya da eski seri numarası hiç listelenmemiştir. Hiçbiri bağlanmıyorsa kimlik bilgisini değil kabul kuralını bozdunuz.

Zaten kurulmuş oturumlar ayrı bir konudur, çünkü ağ geçidi canlı bağlantıları da düşürecek şekilde yapılandırılmadıkça iptal yeni kimlik doğrulamalara uygulanır. Birine söz vermeden önce hemen kaldırmanın gerekli olup olmadığına karar verin.

Bir ad denetiminin asla yapamayacağı şey

Bir izin listesi bu kimliğin bağlanıp bağlanamayacağını yanıtlar. O kimliğin hangi sertifikayı kullandığını söyleyemez ve kimlik bilgisi geçerli ve iptal edilmemiş kaldıkça eski bir kimlik bilgisini kabul eder. Bu boşluk bir olay sırasında ortaya çıkar; değişim aylar önce düzenlenmişken ve önceki hâlâ çalışırken.

Sertifika düzeyinde denetim gerektiğinde, sertifikayı adlandıran bir mekanizma kullanın: CRL girdileri ya da işletmecinin tuttuğu bir parmak izini denetleyen bir doğrulama kancası. İkisi de bakım gerektirir ve ikisi de inceledikleri nesne konusunda dürüsttür. OpenVPN 2.6 kılavuzu belgeler crl-verify ve istemciye özgü kabulü ayrı seçenekler olarak, tam da bu nedenle.

Hangi denetimin hangi işi yaptığını yazın, sonra olumsuz durumu test edin. Bir bağlantıyı reddettiğini hiç görmediğiniz bir iptal, çalışmasını umduğunuz bir yapılandırmadır.