Ikki OpenVPN sertifikati, bitta CCD nomi: nima xato ketdi

Turli seriya raqamlari, turli kalitlar va hattoki turli to'liq subyektlarga ega ikki mijoz sertifikati baribir bitta siyosat fayliga yetib borishi mumkin, chunki server ularning hech biriga qaramaydi. U sertifikatdan nomni o'qiydi va unga mos mijoz konfiguratsiya faylini ochadi. Agar ikkala sertifikat ham bir xil nomni olib yursa, ikkinchisi ulanayotgan paytda birinchisining siyosatini meros qilib oladi.

To'qnashuv ro'yxatdan o'tkazish paytida yuzaga keladi va faqat ulanish paytida aniqlanadi, odatda qurilma boshqa mashinaga tegishli manzil yoki marshrutlar to'plamini olganida. Buni oldini olish uchun server qaysi maydonni xaritalashini kelishib olish, so'ngra biror narsa imzolanishidan oldin o'sha qiymatni band qilish kerak.

Sertifikat vositalaringiz sizni ogohlantirmaydi, chunki X.509 ichidagi noyoblik va OpenVPN siyosati nomining noyobligi turli tizimlar tomonidan qo'llanadigan turli talablardir.

Server nomni qidiradi, barmoq izini emas

Odatdagi sertifikatga asoslangan xaritalashda server taqdim etilgan sertifikatdan umumiy nomni oladi va mijoz konfiguratsiyasi katalogidan shu nomdagi faylni qidiradi. Bu fayl statik manzilni qotirishi, marshrutlarni yuborishi yoki har bir mijoz uchun tarmoq devori belgilarini qo'llashi mumkin. Qidiruv fayl nomi bilan satr mosligi, shuning uchun harflar kattaligi, bo'sh joylar va tinish belgilari barchasi muhim.

Ba'zi joylashtirishlar xaritalashni ataylab almashtiradi, shunda autentifikatsiyadan o'tgan foydalanuvchi nomi umumiy nom o'rnini egallaydi, va u holda noyob bo'lishi kerak bo'lgan narsa foydalanuvchi nomidir. Qanday bo'lmasin, siyosatni tanlaydigan qiymat siz band qiladigan qiymatdir. Biror narsa chiqarishdan oldin qaysi biri ekanini hal qiling; to'qnashuvdan keyin taxmin qilish so'rashdan qimmat.

Ikki organ bir nomga to'qnash keladigan joy

Bir nechta chiqaruvchi organdan sertifikat qabul qiladigan tashkilot bitta nom maydoniga yozadigan ikki mustaqil ro'yxatdan o'tkazish jarayonini yuritadi. Har bir organning o'z noyoblik qoidalari uning ichida amal qiladi, shuning uchun ikkalasi ham bir xil umumiy nom uchun qonuniy ravishda chiqara oladi va hech biri noto'g'ri narsani sezmaydi.

Seriya raqamlari yordam bermaydi. X.509 seriya raqami o'z chiqaruvchisi doirasida noyob bo'lishini talab qiladi, bu o'sha organning hisob yuritish xususiyati, qurilmaning global identifikatori emas. Subyektni tekshirish ham umumiy nomni tekshirishdan boshqa sinov: ikki sertifikat bitta CN ni baham ko'rishi, lekin tashkiliy bo'linmada farqlanishi va shu sababli alohida subyektlarga ega bo'lishi mumkin. Bu xususiyatlarning har biri saqlanib turishi mumkin, shu bilan birga server hanuz ikki sertifikatni bitta fayl nomiga xaritalaydi.

OpenSSL CA hujjatlari o'z ma'lumotlar bazasining fikrini boshqaradigan unique_subject sozlamasini qamrab oladi, va halol boshlanish nuqtasi ma'lum bir EasyRSA yoki OpenSSL standarti amal qiladi deb taxmin qilish o'rniga o'z chiqarish konfiguratsiyangizni o'qishdir.

Imzolashdan oldin amaldagi nomni band qiling

Qurilmani uning tasdiqlangan yozuviga va u yerdan aniq siyosat fayl nomiga xaritalaydigan reyestr yuriting, shunda nom bir marta ajratiladi va ajratilgan holda qoladi. Band qilish atomar bo'lishi kerak, bu amalda ajrat-va-keyin-imzola qadamini o'rab turgan ma'lumotlar bazasi cheklovi yoki qulf degani, ikki kishi tahrirlaydigan jadval emas.

Keyin tekshiruvni chiqarishning bir qismiga aylantiring: so'ralgan nom allaqachon mavjud bo'lsa imzolashdan bosh torting va bu tekshiruvga server ishonadigan har bir organni qo'shing, chunki boshqa organ band qilgan nom ham xuddi shunday band. Aniq sabab bilan rad etilgan so'rov boshqa birovning statik manzilini doim oladigan qurilma haqidagi chiptadan arzon.

Yangilash nomni ataylab qayta ishlatadi

Mavjud qurilma uchun qayta chiqarish shu siyosat nomi ostida yangi seriya raqami berishi kerak, va bu to'qnashuv emas, qonuniy qayta foydalanish. Oldindan hal qilinishi kerak bo'lgan narsa qoplanish: eski va yangi sertifikat bir vaqtda amal qilishi mumkinmi, va eski hisob ma'lumotlari qanday bekor qilinadi.

Buni hal qilish uchun duplicate-cn ga murojaat qilmang. Bu server parametri bir xil nomni taqdim etuvchi bir vaqtli ulanishlarni boshqaradi; u ro'yxatdan o'tkazishni qulflamaydi, va uni yoqish bitta umumiy statik manzilni bir vaqtda ikki mashina uchun xavfsiz qilmaydi. Bekor qilish odatda sertifikatni chiqaruvchi va seriya raqami bo'yicha aniqlaydi, shuning uchun eski hisob ma'lumotlarini bekor qilish uning o'rnini bosuvchisini bekor qilishi shart emas, toki server to'g'ri bekor qilish ma'lumotlarini olib qo'llasa.

Xaritalashni mashinadagi vositalar bilan tasdiqlang

Qurilmaga yangi hisob ma'lumotlarini berishdan oldin nomni sertifikatdan server o'qiydigan usulda o'qing, so'ngra tanlanishini kutgan siyosat fayli bilan solishtiring.

openssl x509 -in device42.crt -noout -subject -nameopt sep_multiline
ls -l /etc/openvpn/ccd/device42
grep -n "duplicate-cn" /etc/openvpn/server.conf

Birinchi buyruq subyekt maydonlarini alohida chop etadi, bu adashgan tashkiliy bo'linmani yoki ikkilangan bo'sh joyni darhol ko'rinadigan qiladi. Ikkinchisi aynan shu nom ostida siyosat fayli borligini tasdiqlaydi, uchinchisi esa server bitta nomda bir nechta seansga ruxsat berishga sozlanganini ko'rsatadi. Xato hali hodisa emas, imzo qiymatida bo'lganida, ro'yxatdan o'tkazish qadamidan chiqishdan oldin uchtasini ham yangi sertifikatda ishga tushiring. Chiqishni chipta bilan birga saqlang, keyingi odam server aslida qaysi nomni olganini ko'rsin.

Haqiqiy ulanish bilan yakunlang va ajratilgan manzil hamda yuborilgan marshrutlarni yozmoqchi bo'lganingiz bilan emas, siyosat fayli bilan solishtiring. Agar ikki qurilma bir xil statik manzil haqida xabar bersa, reyestrda hech qanday sertifikat tekshiruvi hech qachon oshkor qilmaydigan to'qnashuv bor.