Bitta umumiy nom, ikkita sertifikat: ruxsat ro'yxatimi yoki bekor qilishmi?

Xuddi shu umumiy nom ostida noutbuk sertifikatini qayta chiqarish almashtirishday tuyuladi va hamma eskisi o'lgan deb o'ylaydi. Unday emas. Oldingi sertifikat xuddi shu idora tomonidan imzolangan amaldagi sertifikat bo'lib qoladi va mijozlarni nom bo'yicha qabul qiladigan har qanday nazorat uni qabul qilishda davom etadi. Shaxsni tekshirishni hisob ma'lumotlarini tekshirishdan ajratadigan narsa — seriya raqami va tuzatish aynan o'sha yerda bo'lishi kerak.

Server ishlatadigan nomlash siyosatidan boshlang

Ikki nazorat aralashtiriladi: mijozni o'zini kim deb atashiga qarab qabul qilish va bitta aniq sertifikatni xizmatdan chiqarish. Birinchisi nom tekshiruvi, ikkinchisi bekor qilish tekshiruvi. Ular turli savollarga javob beradi va bir joylashtirishda biri ikkinchisisiz bo'lishi mumkin.

Server konfiguratsiyasini o'qing va qaysi shaxs manbasi ishlatilayotganini qayd eting. username-as-common-name autentifikatsiya qilingan foydalanuvchi nomini mijozga xos qidiruvlar uchun amaldagi nomga aylantiradi. Usiz sertifikatdagi subyektning umumiy nomi ishlatiladi. Javob nima bo'lishidan qat'i nazar, har qanday ruxsat ro'yxatiga tegishdan oldin uni yozib qo'ying.

Ikkala yo'l bir xil sertifikat uchun ruxsat etilgan nomlarning boshqa to'plamini beradi. Bu yerda taxmin qilish noto'g'ri faylni tahrirlash va nazorat ishlamaydi degan xulosaga kelish demakdir.

Mijozni aslida nima qabul qilishini tekshiring

Mos faylga bog'langan client-config-dir mijozga xos parametrlarni beradi; o'zi alohida qabul qoidalari emas. Nom bo'yicha qabul qilish uchun ccd-exclusive kerak, u mos fayli yo'q mijozlarni rad etadi. Uni ishlab turgan joylashtirishda yoqish nomi uchun fayl bo'lmagan barcha odamlarning ulanishini uzadi, shuning uchun biror narsani o'zgartirishdan oldin fayllarni sanang.

grep -nE 'ccd-exclusive|client-config-dir|username-as-common-name' /etc/openvpn/server/server.conf
ls -1 /etc/openvpn/ccd/

Sanoqning o'zi tekshiruv: katalog ro'yxatini ulanishini kutayotgan shaxslar bilan solishtiring.

So'ngra har bir fayl nomi amaldagi shaxsga harf registri va bo'shliqlar bilan birga aniq mos kelishini tasdiqlang. office-laptop uchun fayl subyekti Office-Laptop deb o'qiladigan sertifikat uchun hech narsa qilmaydi. Oxiridagi bo'shliqlar ham oddiy ro'yxatdan yashirinadi va shu bilan mavjud bo'lib ko'ringan fayl o'qilmay qoladi.

Shlyuz yuklaydigan CRL ni tekshiring

CRL bekor qilingan sertifikatlarni chiqaruvchi va seriya raqami bo'yicha nomlaydi, bu esa nom tekshiruvida yo'q bo'lgan tafsilotdir. Ikki sertifikat umumiy nomni bo'lishishi va seriya raqamida farq qilishi mumkin, va faqat seriya darajasidagi ro'yxat ularni ajratadi.

Faylga ishonishdan oldin sozlangan yo'lni, chiqarilgan sanani va keyingi yangilanish maydonini tasdiqlang.

openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate
openssl x509 -in office-laptop.crt -noout -serial -subject

CRL dagi seriya raqamini saqlab qolmoqchi bo'lgan sertifikatdagi seriya raqami bilan solishtiring. Aynan shu solishtirish butun sinovdir va uni bir marta ko'z bilan qilish hech kim o'qimagan skriptga ishonishdan qimmatroq. Yangilangan CRL ni shlyuz allaqachon o'qiydigan yo'l orqali tarqating. Noto'g'ri katalogda turgan CRL hech narsani amalga oshirmaydi va hech bir mijoz jurnali uni eslatmaydi.

Almashtiring, so'ngra ikkala natijani isbotlang

Almashtirishni xuddi shu umumiy nom ostida chiqaring, ikkala seriya raqamini yozib oling va shundan keyingina eskisini bekor qiling. Bu tartib o'zgarishni tayyorlayotganingizda ishlaydigan shaxsni ochiq saqlaydi.

Avval almashtirishni sinab ko'ring: u autentifikatsiyadan o'tishi va nomi haqli bo'lgan hamma narsaga yetishi kerak. So'ngra eski sertifikatni sinab ko'ring va u rad etilishini tasdiqlang, chunki muvaffaqiyatli almashtirish bekor qilish haqida hech narsa demaydi. Ikkalasi hamon ulansa, bekor qilish kiritmasi o'qilmayapti yoki eski seriya raqami hech qachon ro'yxatga kiritilmagan. Hech biri ulanmasa, siz hisob ma'lumotlarini emas, qabul qilish qoidasini buzdingiz.

Allaqachon o'rnatilgan sessiyalar alohida masala, chunki shlyuz jonli ulanishlarni uzish uchun ham sozlanmagan bo'lsa, bekor qilish yangi autentifikatsiyalarga tegishli. Birovga va'da berishdan oldin zudlik bilan olib tashlash kerakmi yoki yo'qligini hal qiling.

Nom tekshiruvi hech qachon qila olmaydigan narsa

Ruxsat ro'yxati bu shaxs ulana oladimi degan savolga javob beradi. U bu shaxs qaysi sertifikatdan foydalanganini ayta olmaydi va hisob ma'lumotlari amalda va bekor qilinmagan ekan, eski ma'lumotlarni qabul qilaveradi. Bu bo'shliq voqea paytida ko'rinadi, almashtirish bir necha oy oldin chiqarilgan va oldingisi hali ishlayotgan paytda.

Sertifikat darajasidagi nazorat zarur bo'lgan joyda sertifikatni nomlaydigan mexanizmdan foydalaning: CRL yozuvlari yoki operator saqlaydigan barmoq izini tekshiruvchi verifikatsiya ilgagi. Ikkalasi ham xizmat ko'rsatishni talab qiladi va ikkalasi ham tekshiradigan obyektiga nisbatan halol. OpenVPN 2.6 qo'llanmasi ga ko'ra crl-verify va mijozga xos qabul alohida parametrlar sifatida qayd etilgan, aynan shu sababdan.

Qaysi nazorat qaysi ishni bajarishini yozing, so'ngra salbiy holatni sinang. Ulanishni rad etishini hech qachon ko'rmagan bekor qilish — ishlaydi deb umid qilgan sozlamangizdir.