Nima uchun ikkita OpenVPN sertifikati bitta CCD siyosatini baham ko'rishi mumkin

CA bir xil OpenVPN mijozga xos konfiguratsiyani oladigan ikkita sertifikatni imzolashi mumkin va ikkala sertifikatning hech birida hech narsa hech kimni ogohlantirmaydi. Seriya raqamlari farq qiladi, kalitlar farq qiladi va tashkiliy birlik o'zgarganda to'liq sub'ektlar ham farq qiladi. Server har bir mijozning siyosatini bitta nom orqali belgilaydi va o'sha nom yagona bo'lishi kerak bo'lgan yagona narsadir.

Server nomni belgilaydi, seriya raqamini emas

Oddiy sertifikat qidiruvida server taqdim etilgan sertifikatdan umumiy nomni oladi va shu nomdagi client-config-dir yozuvini qidiradi. Seriya raqami hech qachon qidiruvga kirmaydi. Umumiy nomdan tashqari barcha maydonlarda farq qiladigan ikkita sertifikat bitta faylga tushadi, shuning uchun ikkinchi ulanish birinchi qurilmaning qat'iy manzili va yuborilgan marshrutlarini meros oladi.

Shunday qilib CA tomonidagi noyoblik tekshiruvi o'tadi, VPN esa hanuz to'qnashadi. Ikki tekshiruv turli savollarga javob beradi.

Biror narsani imzolashdan oldin samarali nom qanday bo'lishi kerakligini hal qiling va uni tegishli qurilma yoki hisob yonida qayd eting. Nom, egasi, maqsadi va sertifikat barmoq izidan iborat reyestr ko'pgina joriy etishlarni qamrab oladi. Usiz sertifikat arxivi qaysi nom qaysi qurilmaga tegishli ekanining yagona yozuvi bo'lib qoladi va bu arxiv ruxsat etilgan almashtirishni mavjud nomga da'vo qilayotgan ikkinchi qurilmadan ajrata olmaydi. Nomni ro'yxatdan o'tish paytida, agar ikki operator bir vaqtda chiqara olsa, qulf ostida band qiling.

Xaritalash aslida qaysi nomni ishlatadi

Oddiy sertifikat qidiruvi umumiy nomdan foydalanadi. Tasdiqlangan foydalanuvchi nomini xaritalash uchun sozlangan server uning o'rniga shu qiymatdan foydalanadi, bu esa sertifikatning umumiy nomini siyosat tanlash uchun ahamiyatsiz qiladi. Qaysi xaritalash amalda ekanini bilish uchun ishlab turgan konfiguratsiyani o'qing.

Ikkala xaritalash bir vaqtda mavjud bo'lishi mumkin, va u holda natija server ularni hal qiladigan tartibga bog'liq. Umumiy nomga qaytadigan foydalanuvchi nomi xaritalashi reyestr hech qachon tasdiqlamagan sertifikatni jimgina qabul qiladi. Samarali nomni uni yaratgan buyruq yoniga yozing, shunda keyingi operator tartibni qaytadan kashf etishga majbur bo'lmasin. Har bir xaritalash uchun bitta ulanishni sinash arzon va savolni hal qiladi.

Xaritalash nima ishlab chiqarsa, o'sha band qilinadigan qiymatdir. CA da umumiy nomlarni band qilib, server foydalanuvchi nomlariga tayanayotgan bo'lsa, noto'g'ri narsa band qilinadi.

Ikki CA bir xil nomni tasdiqlashi mumkin

VPN xizmati bir nechta chiqaruvchi organga ishonishi mumkin va har bir organ qaysi nomlar band qilinganligi haqida o'z tasavvurini saqlaydi. Ikki mustaqil CA turli qurilmalar uchun bir xil umumiy nomni ikkalasi ham tasdiqlashi mumkin va server ikkala sertifikatni shikoyatsiz qabul qiladi. Ishonch paketidagi har bir organni ro'yxatga oling, faqat odatda chiqaradiganingizni emas. Nosozlik ikkinchi organning sertifikati birinchi marta ishlatilganda ko'rinadi.

Xuddi shu mulohaza umumiy nom noyobligi o'rniga to'liq sub'ekt noyobligini talab qiladigan CA uchun ham amal qiladi.

Umumiy nomni baham ko'radigan, lekin tashkiliy birligi bilan farq qiladigan ikkita sertifikat turli sub'ektlarga ega, shuning uchun CA hech qanday ziddiyat haqida xabar bermaydi, server esa bitta nomni ko'radi. Standart qiymatni taxmin qilish o'rniga chiqarish vositangiz haqiqatan ishlatadigan sozlamani tekshiring. openssl ca hujjatlarida unique_subject bilan ishlash o'sha yerdagi tegishli dastasi, va bu vosita atrofidagi o'ramlar uni almashtirish o'rniga odatda ochib beradi.

Yangilash — band qilingan qayta foydalanish, to'qnashuv emas

Nomni saqlaydigan yangilash ataylab qilingan qayta foydalanish va reyestr buni oddiy so'zlar bilan aytishi kerak. Eski va yangi barmoq izini bitta nom ostida yozing, taqrizchi almashtirishni egallashdan ajrata olsin. Serverning duplicate-cn parametri bunga aloqasi yo'q: u bir vaqtdagi seanslarni boshqaradi, ro'yxatdan o'tish yoki nom band qilishni emas. Ikkala hisob ma'lumoti qancha vaqt mavjud bo'lishi va eskisi qachon qabul qilinmasligini hal qiling.

Almashtirishni topshirishdan oldin sertifikatda aslida nima borligini qayta o'qing. Sub'ekt satri server xaritalaydigan maydon, fayl nomi nima taklif qilsa ham.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Bekor qilish odatda sertifikatni chiqaruvchisi ostida aniqlaydi, shuning uchun bitta seriya raqamini iste'foga chiqarish o'sha organning to'g'ri chiqarilgan almashtirishiga ta'sir qilmaydi. Aynan shu xatti-harakat toza yangilashga kerak, va bekor qilish ikki qurilma baham ko'rgan nomni tozalay olmasligining sababi ham shu. Foydalanuvchi qurilmani ko'rishdan oldin sinov ulanishida samarali siyosat nomini va ajratilgan manzilni tekshiring. So'ng eski hisob ma'lumotini ataylab iste'foga chiqaring va buni qilganingizni qayd eting.