İki OpenVPN Sertifikası Neden Tek Bir CCD Politikasını Paylaşabilir

Bir CA, aynı OpenVPN istemciye özel yapılandırmayı alan iki sertifika imzalayabilir ve iki sertifikanın hiçbirinde kimseyi uyaran bir şey yoktur. Seri numaraları farklıdır, anahtarlar farklıdır ve bir organizasyon birimi değiştiğinde tam konular da farklıdır. Sunucu her istemcinin politikasını tek bir ad üzerinden belirler ve bu ad, benzersiz olması gereken tek şeydir.

Sunucu bir adı belirler, seri numarasını değil

Sıradan sertifika aramasında sunucu, sunulan sertifikadan ortak adı alır ve bu adda bir client-config-dir girdisi arar. Seri numarası aramaya hiç girmez. Ortak ad dışında her alanda farklılaşan iki sertifika aynı dosyaya düşer, böylece ikinci bağlantı ilk cihazın sabit adresini ve itilen rotalarını devralır.

CA tarafındaki benzersizlik kontrolü böyle geçerken VPN hâlâ çakışır. İki kontrol farklı soruları yanıtlar.

Herhangi bir şeyi imzalamadan önce etkin adın ne olması gerektiğine karar verin ve onu ait olduğu cihazın veya hesabın yanına kaydedin. Ad, sahip, amaç ve sertifika parmak izi içeren bir kayıt çoğu kurulumu kapsar. Bu yoksa, hangi adın hangi cihaza ait olduğunun tek kaydı sertifika arşividir ve o arşiv, yetkilendirilmiş bir değişimi mevcut bir adı talep eden ikinci bir cihazdan ayıramaz. Adı kayıt sırasında, iki operatör aynı anda verebiliyorsa bir kilit altında rezerve edin.

Eşleme gerçekte hangi adı kullanıyor

Sıradan sertifika araması ortak adı kullanır. Kimliği doğrulanmış bir kullanıcı adını eşlemek için ayarlanmış bir sunucu bunun yerine o değeri kullanır; bu da sertifikanın ortak adını politika seçimi için ilgisiz kılar. Hangi eşlemenin yürürlükte olduğunu görmek için çalışan yapılandırmayı okuyun.

İki eşleme aynı anda bulunabilir ve o zaman sonuç, sunucunun bunları çözme sırasına bağlıdır. Ortak ada geri düşen bir kullanıcı adı eşlemesi, kaydın hiç onaylamadığı bir sertifikayı sessizce kabul eder. Etkin adı, onu üreten komutun yanına yazın ki bir sonraki operatör sırayı yeniden keşfetmek zorunda kalmasın. Her eşleme için bir bağlantı test etmek ucuzdur ve soruyu halleder.

Eşleme ne üretirse üretsin, rezerve edilecek değer odur. Sunucu kullanıcı adlarına dayanırken CA'da ortak adları rezerve etmek yanlış şeyi rezerve etmektir.

İki CA aynı adı onaylayabilir

Bir VPN hizmeti birden fazla veren otoriteye güvenebilir ve her otorite hangi adların alındığına dair kendi fikrini korur. İki bağımsız CA farklı cihazlar için aynı ortak adı onaylayabilir ve sunucu iki sertifikayı da şikâyet etmeden kabul eder. Güven paketindeki her otoriteyi envanterleyin, yalnızca normalde verdiğiniz otoriteyi değil. Arıza, ikinci otoritenin sertifikası ilk kez kullanıldığında ortaya çıkar.

Aynı mantık, ortak ad benzersizliği yerine tam konu benzersizliğini dayatan bir CA için de geçerlidir.

Ortak adı paylaşan ama organizasyon birimi farklı olan iki sertifikanın konuları farklıdır, bu nedenle sunucu tek bir ad görürken CA çakışma bildirmez. Varsayılanı kabul etmek yerine veren aracınızın gerçekte kullandığı ayarı denetleyin. openssl ca belgelerindeki unique_subject işleyişi oradaki ilgili ayardır ve o aracın etrafındaki sarmalayıcılar genellikle onu değiştirmek yerine açığa çıkarır.

Yenileme, çakışma değil rezerve edilmiş bir yeniden kullanımdır

Adı koruyan bir yenileme bilinçli bir yeniden kullanımdır ve kayıt bunu sade sözlerle söylemelidir. Eski ve yeni parmak izini tek bir ad altında kaydedin ki bir gözden geçiren değişimi ele geçirmeden ayırt edebilsin. Sunucunun duplicate-cn seçeneği bununla ilgisizdir: eşzamanlı oturumları yönetir, kaydı veya ad rezervasyonlarını değil. Her iki kimlik bilgisinin ne kadar süre var olabileceğine ve eskisinin ne zaman kabul edilmeyeceğine karar verin.

Değişimi teslim etmeden önce sertifikanın gerçekte ne içerdiğini yeniden okuyun. Konu satırı, dosya adı ne önerirse önersin sunucunun eşleyeceği alandır.

openssl x509 -in device42.crt -noout -subject -serial -issuer

İptal genellikle bir sertifikayı veren otorite altında tanımlar, bu nedenle tek bir seri numarasını devreden çıkarmak aynı otoritenin doğru verdiği bir değişimi etkilemez. Tam olarak bu davranış temiz bir yenilemenin ihtiyacıdır ve iptalin iki cihazın paylaştığı bir adı temizleyememesinin nedeni de budur. Etkin politika adını ve atanmış adresi kullanıcı cihazı görmeden önce bir test bağlantısında doğrulayın. Ardından eski kimlik bilgisini bilerek devreden çıkarın ve bunu yaptığınızı kaydedin.