OpenVPN username-as-common-name: CN tekshiruvingiz nima uchun bo'sh
common_name ni username bilan taqqoslaydigan client-connect skripti nomni o'zi bilan taqqoslashi mumkin. Almashtirish bajarilishidan oldin sertifikatni hisobga bog'lang.
Siz client-connect skriptini qo'shasiz, u common_name username dan farq qiladigan har qanday ulanishni rad etadi va bu sertifikat bilan hisob o'rtasidagi bog'lanish kabi ko'rinadi. username-as-common-name ishlayotgan serverda bu taqqoslash skript ishga tushganda allaqachon ma'nosini yo'qotgan. Ikkala qiymat ham bir xil satr, shuning uchun sinov butunlay boshqa odamga berilgan sertifikat uchun ham o'tadi.
Tekshiruv skript yomon yozilgani uchun xato emas. U o'qigan qiymat o'sha ulanishda avval almashtirilgani uchun xato.
Taqqoslash nimani isbotlayotgandek ko'rinadi
Sertifikat bilan autentifikatsiya va parol bilan autentifikatsiya alohida dalillardir va server ikkalasini ham bir shaxsga tegishli bo'lishini talab qilmasdan talab qilishi mumkin. Bo'shliq haqiqiy: amaldagi qurilma sertifikati va har qanday amaldagi hisob birgalikda o'sha sertifikat va bitta nomlangan hisobdan boshqa da'vo. common_name ni username bilan taqqoslaydigan skript ikkalasi orasidagi yo'qolgan bo'g'in kabi o'qiladi. Agar common_name hali ham sertifikat aytgan ma'noni bildirsa, shunday bo'lardi.
Shundaymi yoki yo'qmi bitta server parametriga bog'liq va bu parametr odatda aloqasiz sabab bilan yoqiladi, masalan har bir foydalanuvchining konfiguratsiya fayllarini nomlashni osonlashtirish uchun.
username-as-common-name nom bilan nima qiladi
username-as-common-name yoqilganda, OpenVPN foydalanuvchi nomi va parol tekshirilgandan so'ng sertifikatning umumiy nomini autentifikatsiya qilingan foydalanuvchi nomi bilan almashtiradi. O'sha tekshiruv davomida ishlaydigan tekshiruv ilgagi hali ham sertifikatning umumiy nomini oladi, chunki almashtirish hali sodir bo'lmagan. Undan keyingi hamma narsa, jumladan client-connect, foydalanuvchi nomini ko'radi. Shuning uchun keyingi qayta chaqiruv bitta shaxsni ikki marta oladi va uni taqdim etilgan sertifikat bilan taqqoslay olmaydi.
| Stage | What common_name holds |
|---|---|
| Username and password verification hook | The certificate common name, for example bob-device |
| After the replacement | The authenticated account, alice |
| client-connect callback | The account again, alice |
Bitta misol ulanishni kuzatib boring: bob-device uchun berilgan sertifikat, alice sifatida muvaffaqiyatli katalogga kirish va parametr yoqilgan. Tekshiruv bosqichi hali ham ikki xil satrni ko'rishi mumkin. Ulanish bosqichi alice va alice ni ko'radi.
Bu misol taqqoslash nima uchun bo'sh ekanini ko'rsatadi. Sertifikat tekshiruvi va parol tekshiruvi hali ham o'z-o'zidan ishlayotgani uchun ulanish boshqacha qabul qilingan bo'lardi deganini ko'rsatmaydi.
Bog'lanishni ikkala shaxs hali mavjud bo'lgan joyga qo'ying
Qoida sertifikat shaxsi va hisobni bir vaqtda ko'radigan bosqichda qo'llanilishi kerak, bu amalda foydalanuvchi nomi va parol tekshiruvi ilgagi yoki u yerda yuklangan plagin degani. Allaqachon parol tekshiruvini bajaradigan qo'llab-quvvatlanadigan plagin odatda juftlik qoidasini qo'shish uchun to'g'ri joy, chunki uni nom taqqoslash bilan almashtirish parol tekshiruvini butunlay yo'q qiladi.
Kod yozishdan oldin xaritalashni belgilang, chunki tenglik kamdan-kam haqiqiy siyosat bo'ladi. Sertifikat ko'pincha qurilmani, kirish esa shaxsni aniqlaydi va bitta qurilma qonuniy ravishda bir necha kishiga xizmat qilishi mumkin. Munosabatni berilishini siz nazorat qiladigan shaklda saqlang va nom o'zgartirish, qayta berish va domen bilan malakali nomlarda nima bo'lishini hal qiling. Katalogni tushunmasdan kichik harflarga o'tkazish yoki domen prefiksini olib tashlash alohida qolishi kerak bo'lgan ikki hisobni birlashtirishi mumkin.
Parametr qaysi mijoz konfiguratsiyasi qo'llanilishini ham o'zgartirishini unutmang, chunki client-config-dir umumiy nom bilan bog'langan.
Juftlikni ikkita amaldagi hisob ma'lumoti bilan sinab ko'ring
Siyosatingiz ruxsat bergan juftlikdan boshlang va u ulanashini tasdiqlang. So'ngra o'sha amaldagi sertifikatni boshqa, ammo boshqacha amaldagi hisob bilan taqdim eting: bu urinish muvaffaqiyatsiz bo'lishi kerak va u noto'g'ri terilgan parol tufayli emas, juftlik qoidasi tufayli muvaffaqiyatsiz bo'lishi kerak. Noto'g'ri parol parol tekshiruvi ishlayotganini isbotlaydi va sertifikat bilan hisob orasidagi qoida haqida hech narsa aytmaydi.
Sertifikati yo'q va yaroqsiz sertifikat yo'llarini ham tekshiring va server har bir mijoz sozlamalari uchun qaysi shaxsdan foydalanishini tasdiqlang. Agar taqqoslashning ishlashining yagona yo'li username-as-common-name ni o'chirish bo'lsa, avval o'sha o'zgarish narxini baholang, chunki u har bir mijozning konfiguratsiya qidiruvini sertifikat nomiga qaytaradi.