OpenVPN client-config-dir: fayl nomi va sertifikat CN-si
CCD fayl nomi sertifikatning umumiy nomidan yoki bu xaritalash yoqilganda foydalanuvchi nomidan olinadi. Fayl nomini o'zgartirishdan oldin ikkala qoidani solishtiring.
Mijoz ulanmasdan turib ham ikkita nom o'yinda: noutbukdagi fayl nomi (nuc.ovpn) va server hisob ma'lumotlaridan oladigan identifikator. client-config-dir qidiruvi ikkinchisini ishlatadi. Mijozda profil nomini o'zgartirish yoki server fayliga .conf qo'shish server qaysi faylni ochishini o'zgartirmaydi.
Foydali taqqoslash «qaysi nomni ishlatdim» emas, «server qaysi qoidani qo'llaydi», chunki sertifikat bilan autentifikatsiya va foydalanuvchi nomi/parol bilan autentifikatsiya bir xil kirishdan turli amaldagi nomlar berishi mumkin.
Profil nomi va sertifikatning umumiy nomi
Standart sertifikatga asoslangan sozlamada server X.509 umumiy nomini oladi va client-config-dir ichidan aynan shu nomdagi faylni qidiradi. Sertifikatida tester yozilgan nuc.ovpn nomli profil /etc/openvpn/server/ccd/tester ga hal bo'ladi. Mijoz faylining nomi hech qachon hisobga kirmaydi. Nomuvofiqlik yashirinadigan birinchi joy shu.
Shuning uchun sinchkovlik bilan nomlangan profillar bilan to'la katalog har safar xato qilishi mumkin. Fayl subject, elektron pochta manzili yoki GUI'da ko'rsatilgan nom bo'yicha emas, umumiy nom satri bo'yicha moslashtiriladi.
Harflar registrini ajratadigan fayl tizimida Tester va tester ikki xil fayl bo'lib, faqat bittasi ochiladi. Umumiy nomni mijoz haqiqatan taqdim etgan sertifikatdan tekshiring, yozuvlaringizdagi nusxadan emas.
username-as-common-name qoidani teskari aylantiradi
Server username-as-common-name bilan foydalanuvchi nomi/parol autentifikatsiyasini ishga tushirganda, autentifikatsiya qilingan foydalanuvchi nomi bu qidiruv uchun sertifikatning umumiy nomini almashtiradi.
Ikki holatni bevosita solishtiring: sertifikat identifikatorida fayl sertifikatga ergashadi va parolni almashtirish ahamiyatsiz; foydalanuvchi nomi identifikatorida fayl kirish nomiga ergashadi va sertifikatni qayta chiqarish ahamiyatsiz. Server qaysi maydonni almashtirsa, nom shunga qarab o'zgartirilishi kerak. Yangi CN bilan qayta chiqarilgan sertifikat qidiruv maqsadini jimgina o'zgartiradi, eski CCD fayli esa diskda qolib to'g'ri ko'rinadi.
Aralash konfiguratsiyalar mavjud va chalkashlikning ko'p qismi shu yerdan boshlanadi. Agar bitta xizmat bloki almashtirishni yoqsa, boshqasi yoqmasa, amaldagi nom ulanishni qaysi nusxa bajarganiga bog'liq. Global fayl amal qiladi deb o'ylash o'rniga faol konfiguratsiyani tasdiqlang. Asl server parametrlari ma'lumotnomasi nomlangan fayl bo'yicha qidiruvni va ixtiyoriy zaxira variantni hujjatlashtiradi.
Server nima o'qiydi va nimani jimgina o'tkazib yuboradi
Fayl tanlanishini ikkita kichik farq hal qiladi. Birinchisi qo'shilgan kengaytma. Ikkinchisi nomda qolib ketgan tasodifiy belgi.
OpenVPN qidirayotgan nomga .conf qo'shmaydi, shuning uchun tester.conf tester ga mos kelmaydi. Kengaytmalarni yashiruvchi muharrir ro'yxatda to'g'ri ko'rinadigan va hech qachon mos kelmaydigan faylni qoldirishi mumkin.
Mos fayl bo'lmasa, server DEFAULT nomli faylga o'tishi mumkin. Shuning uchun ba'zi sozlamalarning kelishi har bir mijoz fayli ishlatilganiga dalil emas. Ajratilgan manzilni yoki itarib yuborilgan marshrutlarni har bir mijoz fayli beradigan narsa bilan solishtiring. Ruxsatlar uchinchi filtr, chunki server imtiyozlardan voz kechgandan keyin faylni ochadi; uni o'qiy oladigan root qobig'i hech narsani isbotlamaydi.
To'g'ri fayl nomi mazmunni tasdiqlamaydi
Tanlov va mazmun alohida nosozliklar. To'g'ri fayl ochilgandan keyin ham uning ko'rsatmalari o'sha mijoz uchun amal qilishi kerak.
ifconfig-push topologiya haqiqatan ishlata oladigan manzilni ajratishi kerak, iroute esa faqat o'sha mijoz orqasidagi yo'naltirilgan quyi tarmoq uchun ma'noga ega.
Bitta identifikator, bir nechta qurilma
Bir xil umumiy nomni taqdim etgan ikkita noutbuk bir xil faylni tanlaydi va bir xil mijozga xos sozlamalarni oladi. Alohida manzillar yoki alohida bekor qilish kerak bo'lsa, alohida identifikatorlar kerak, bitta faylning ikki nusxasi emas.
Taqqoslash identifikatorni bo'lishish va har bir qurilmaga bitta sertifikat chiqarish o'rtasida. Bo'lishish boshqarishda oddiyroq va bekor qilishda qo'polroq; qurilma uchun sertifikatlar esa ko'proq sozlash talab qiladi va o'chirish uchun toza birlik beradi.