Vì sao hai chứng chỉ OpenVPN có thể dùng chung một chính sách CCD

Một CA có thể ký hai chứng chỉ nhận cùng OpenVPN cấu hình dành riêng cho máy khách, và không có gì trong cả hai chứng chỉ cảnh báo bất kỳ ai. Số sê-ri khác nhau, khóa khác nhau, và toàn bộ chủ thể cũng khác nhau ngay khi một đơn vị tổ chức thay đổi. Máy chủ quyết định chính sách cho từng máy khách thông qua một tên duy nhất, và tên đó là thứ duy nhất phải là duy nhất.

Máy chủ quyết định một tên, không phải số sê-ri

Khi tra cứu chứng chỉ thông thường, máy chủ lấy tên chung từ chứng chỉ được trình bày và tìm một mục client-config-dir mang tên đó. Số sê-ri không bao giờ tham gia vào việc tra cứu. Hai chứng chỉ khác nhau ở mọi trường ngoại trừ tên chung sẽ rơi vào cùng một tệp, nên kết nối thứ hai thừa hưởng địa chỉ cố định và các tuyến được đẩy của thiết bị đầu tiên.

Đó là cách một kiểm tra tính duy nhất phía CA vượt qua trong khi VPN vẫn xung đột. Hai kiểm tra trả lời hai câu hỏi khác nhau.

Quyết định tên hiệu lực phải là gì trước khi ký bất cứ điều gì, và ghi lại bên cạnh thiết bị hoặc tài khoản mà nó thuộc về. Một sổ đăng ký gồm tên, chủ sở hữu, mục đích và dấu vân tay chứng chỉ bao quát hầu hết các triển khai. Không có nó, kho lưu trữ chứng chỉ là bản ghi duy nhất về việc tên nào thuộc thiết bị nào, và kho lưu trữ đó không thể phân biệt một lần thay thế được cấp phép với một thiết bị thứ hai đang đòi một tên đã tồn tại. Đặt trước tên ngay khi đăng ký, dưới khóa nếu hai người vận hành có thể cấp cùng lúc.

Ánh xạ thực sự dùng tên nào

Tra cứu chứng chỉ thông thường dùng tên chung. Một máy chủ được thiết lập để ánh xạ tên người dùng đã xác thực sẽ dùng giá trị đó thay thế, khiến tên chung của chứng chỉ không còn liên quan đến việc chọn chính sách. Hãy đọc cấu hình đang chạy để xem ánh xạ nào có hiệu lực.

Cả hai ánh xạ đều có thể cùng tồn tại, và khi đó kết quả phụ thuộc vào thứ tự máy chủ giải quyết chúng. Một ánh xạ tên người dùng quay về tên chung sẽ âm thầm chấp nhận một chứng chỉ mà sổ đăng ký chưa từng phê duyệt. Ghi tên hiệu lực bên cạnh lệnh đã tạo ra nó để người vận hành tiếp theo không phải khám phá lại thứ tự. Thử một kết nối cho mỗi ánh xạ là rẻ và giải quyết câu hỏi.

Bất kể ánh xạ tạo ra gì, đó là giá trị cần đặt trước. Đặt trước tên chung trong CA trong khi máy chủ dựa vào tên người dùng là đặt trước sai thứ.

Hai CA có thể cùng phê duyệt một tên

Một dịch vụ VPN có thể tin cậy nhiều hơn một cơ quan cấp chứng chỉ, và mỗi cơ quan giữ quan điểm riêng về việc tên nào đã bị lấy. Hai CA độc lập có thể cùng phê duyệt một tên chung cho các thiết bị khác nhau, và máy chủ chấp nhận cả hai chứng chỉ mà không phàn nàn. Hãy kiểm kê mọi cơ quan trong gói tin cậy, không chỉ cơ quan bạn thường cấp từ đó. Sự cố xuất hiện lần đầu khi một chứng chỉ từ cơ quan thứ hai được dùng.

Lập luận tương tự áp dụng cho một CA áp đặt tính duy nhất của toàn bộ chủ thể thay vì tính duy nhất của tên chung.

Hai chứng chỉ chia sẻ một tên chung nhưng khác nhau ở đơn vị tổ chức có chủ thể khác nhau, nên CA không báo xung đột trong khi máy chủ chỉ thấy một tên. Hãy kiểm tra cài đặt mà công cụ cấp chứng chỉ của bạn thực sự dùng thay vì giả định một giá trị mặc định. Việc xử lý unique_subject trong tài liệu openssl ca là nút điều khiển liên quan ở đó, và các lớp bọc quanh công cụ đó thường phơi bày nó thay vì thay thế nó.

Gia hạn là một lần tái sử dụng được đặt trước, không phải xung đột

Một lần gia hạn giữ nguyên tên là tái sử dụng có chủ đích, và sổ đăng ký nên nói rõ điều đó bằng lời lẽ đơn giản. Ghi lại dấu vân tay cũ và mới dưới một tên duy nhất để người đánh giá phân biệt được việc thay thế với việc chiếm đoạt. Tùy chọn duplicate-cn của máy chủ không liên quan: nó quản lý các phiên đồng thời, không phải đăng ký hay đặt trước tên. Quyết định xem cả hai thông tin đăng nhập có thể tồn tại bao lâu và khi nào cái cũ không còn được chấp nhận.

Trước khi bàn giao bản thay thế, hãy đọc lại xem chứng chỉ thực sự chứa gì. Dòng chủ thể là trường mà máy chủ sẽ ánh xạ, bất kể tên tệp gợi ý điều gì.

openssl x509 -in device42.crt -noout -subject -serial -issuer

Việc thu hồi thường nhận diện một chứng chỉ dưới nhà phát hành của nó, nên việc cho nghỉ một số sê-ri không ảnh hưởng đến một bản thay thế được cấp đúng từ cùng cơ quan. Chính hành vi đó là thứ một lần gia hạn sạch cần, và đó cũng là lý do việc thu hồi không thể dọn sạch một tên bị hai thiết bị chia sẻ. Hãy xác thực tên chính sách hiệu lực và địa chỉ được cấp trên một kết nối thử trước khi người dùng nhìn thấy thiết bị. Sau đó cho nghỉ thông tin đăng nhập cũ một cách có chủ đích và ghi lại rằng bạn đã làm vậy.