Umumiy CA, alohida eshiklar: har bir qabul fayli uchun bitta xizmat

Umumiy organga qarshi tekshiriladigan sertifikat ishonch sinovidan o'tdi, a'zolik sinovidan emas. Bu ikki qaror ko'pincha birlashtiriladi, chunki ikkalasi ham ulanish paytida sodir bo'ladi, va bu birlashuv xizmatda bo'lmasligi kerak odam o'sha yerga qabul qilinmaguncha ko'rinmay qoladi. Yechim ikkinchi organ emas; bu ikkinchi qaror, har bir xizmat uchun qabul qilinadigan va daemon uni o'qiydigan joyda yozib qo'yiladigan. Ikkalasini alohida saqlang, bu sohadagi chalkashlikning ko'pi yo'qoladi.

Ishonchli zanjir xizmat a'zoligi haqida hech narsa aytmaydi

Ikki xizmat bir xil chiqaruvchi ierarxiyani qabul qilib, baribir turli populyatsiyaga ega bo'lishi mumkin. Bitta noutbuk birinchisiga tegishli va ikkinchisiga yetib bormasligi kerak, holbuki o'sha ierarxiyaning boshqa mijozlari haqiqatan ham u yerga tegishli. O'sha xizmatdan organni olib tashlash undan qonuniy foydalanadiganlarning barchasini bloklaydi, shuning uchun ish qabul, ishonch emas.

Bitta eshikda ikkita qulfni tasavvur qilish yordam beradi. Sertifikat tashqi qulfni ochadi, xizmatga oid qaror esa ichki qulfni ochadi; hech biri ikkinchisini almashtirmaydi. Faqat tashqi qulfi bor xizmat a'zolikni umuman ta'minlamaydi, u faqat autentifikatsiya qiladi. Biror narsani o'zgartirishdan oldin ikkala qarorni yozib qo'ying, chunki faqat ishlayotgan ulanish shaklida mavjud siyosatni audit qilib bo'lmaydi. Keyingi gaplar ichki qulf haqida.

Ixtiyoriy bekor qilishlarni qabul darvozasiga aylantiring

Mijoz konfiguratsiyasi katalogi odatda qulaylik: undagi fayllar o'zlari nomlagan mijozlarning sozlamalarini bekor qiladi, fayli yo'q mijoz esa serverning standart qiymatlari bilan ishlaydi. Bitta direktiva bu qulaylikni darvozaga aylantiradi, shunday qilib fayl yo'qligi ulanish rad etilishini bildiradi.

client-config-dir /etc/openvpn/service-a/clients
ccd-exclusive

Jamiyat nashri OpenVPN 2.6 ccd-exclusive o'zining qo'llanma sahifasida aynan shu shartni hujjatlashtiradi, va nomlangan faylni qidirish mijozning haqiqiy identifikatsiyasiga bog'liq. Boshqa buildlar va mahsulot boshqaradigan serverlar farq qilishi mumkin, shuning uchun boshqa joyda o'sha semantikaga tayanishdan oldin o'rnatilgan versiyani tasdiqlang.

Yuqoridagi yo'lni misol deb qabul qiling va qo'llanma o'ylab topgan katalogni yaratish o'rniga haqiqatda joylashtirilgan sxemani tekshiring. Mavjud sertifikat tekshiruvlarini, server identifikatsiyasi tekshiruvlarini va hisob autentifikatsiyasini avvalgidek qoldiring, chunki fragment shart qo'shadi va hech narsani olib tashlamaydi. O'zgarishni ishlab chiqarishdan oldin tayyorlang, chunki noto'g'ri joyda ko'tarilgan rad javobi sertifikat nosozligidek ko'rinadi va tekshiruvni organga yo'naltiradi. Keyin rad etilgan mijozning jurnal satri zanjirni emas, yo'qolgan konfiguratsiya faylini nomlashini tasdiqlang.

Har bir xizmat uchun bitta katalog, bitta umumiy ro'yxat emas

A'zolik uni ta'minlaydigan xizmatga tegishli, shuning uchun har bir xizmat o'z katalogi va o'z fayllarini saqlaydi. Ikki xizmatni bitta ro'yxatga yo'naltirish ularni a'zolikni bo'lishishga majbur qiladi kimdir buni maqsad qilganmi yoki yo'qmi, va natijada yuzaga kelgan o'zgarishni qarorga qaytarib bog'lash qiyin. Umumiy organ umumiy bo'lib qolishi mumkin; qabul fayllari qololmaydi. Ularni alohida saqlash, shuningdek, bir xizmatdagi xato boshqasini jimgina kengaytira olmasligini bildiradi.

DEFAULT yozuvi odamlarni chalg'itadigan holat. Nomlangan fayl topilmaganda u zaxira sozlamalarni beradi, lekin bu darvoza talab qiladigan nomlangan fayl emas, shuning uchun u yolg'iz mijozni qabul qila olmaydi. Hech qanday yozuvi yo'q mijozni sinab ko'ring va rad javobini tasdiqlang; agar o'sha mijoz qabul qilinsa, zaxira qo'llanilmoqda va ccd-exclusive o'sha nusxada kuchda emas.

Haqiqiy identifikatsiya qaysi fayl o'qilishini hal qiladi

Qidiruv mijoz haqiqatda autentifikatsiya qilgan identifikatsiyadan foydalanadi, bu odatda sertifikatning umumiy nomi. Server shuningdek foydalanuvchi nomi va parolni tekshirsa va o'sha nomni umumiy nomga moslashtirsa, fayl buning o'rniga autentifikatsiya qilingan foydalanuvchi nomiga mos kelishi kerak. Mos kelmaslik katalogni hech qachon tanlanmaydigan ishonchli fayl nomlari bilan to'ldirib qo'yadi.

O'qish ikkinchi yarmi. Daemon odatda ishga tushgandan keyin imtiyozlardan voz kechadi, shuning uchun qisqartirilgan hisobga katalog va undagi har bir yozuvga o'qish ruxsati kerak. Mijozlar yoziladigan har qanday yo'l orqali o'z yozuvlarini yarata olmasligi kerak, chunki o'z-o'ziga xizmat qabuli mexanizmni butunlay bekor qiladi. Faqat fayl rejimini emas, ulash va bo'lishish ruxsatlarini ham tekshiring, chunki bir hisob uchun yopiq ko'rinadigan katalog boshqasi uchun ochiq bo'lishi mumkin. Keyin ishlayotgan jarayon haqiqatda qaysi hisobdan foydalanishini tasdiqlang, unit fayl qaysi hisobni eslatishini emas. Bu ikkisi boshqa hech narsa ularni o'zgartirmaganida bir xil bo'ladi.

Rad javobini, qabulni va bekor qilishni alohida kuzating

Xizmatga tegishli identifikatsiyani sinab ko'ring va u ulanishingizni tasdiqlang. Yozuvi yo'q amaldagi sertifikatni sinab ko'ring va u rad etilishini tasdiqlang. Boshqa xizmatga qabul qilingan identifikatsiyani sinab ko'ring va bu yerda qabul qilinmasligini tasdiqlang. Har bir natijaning yoniga xizmat nusxasi va haqiqiy identifikatsiyani yozib qo'ying, chunki bu kontekstsiz natijani boshqa hech kim qayta hosil qila olmaydi.

Qaytarib olish bekor qilishdan alohida operatsiya. Qabul faylini tahrirlash bitta xizmat huquqini olib tashlaydi, identifikatsiya esa boshqa hamma joyda amalda qoladi, holbuki buzilgan kalit tashkilotning bekor qilish javobini talab qiladi. Allaqachon ochilgan seanslarga nima bo'lishini oldindan hal qiling, chunki katalogni tahrirlash ham, bekor qilish ro'yxati ham ularni o'z-o'zidan tugatmaydi.

Qabul ham faqat birinchi darvoza. Xizmatga qo'shilish uning orqasidagi subnetlar, ma'lumotlar bazalari yoki boshqaruv interfeyslari haqida hech narsa aytmaydi, va bu resurs siyosati alohida yozilishi va tekshirilishi kerak.