cles::blog

OpenVPN に接続できるクライアントを CN によって制限する方法を調べたのでメモ。

† CRL を使う

正道と思われるのは X.509 で定められている証明書失効リスト (CRL) を使う方法でしょう。CRL に載っている証明書はもはや有効な証明書ではないので、そのような CN の証明書からは接続ができなくなります。具体的な OpenVPN の設定としては server.conf に下記のような記述を追加すれば OK です。

† client-config-dir / ccd-exclusive の合わせ技

上記の構成はCA １つ OpenVPN サーバ１つの構成であれば PKI の本筋とも言える使い方ですが、CA が１つで OpenVPN サーバが複数台あると少し状況が変わってきます。つまり、証明書が有効でもログインさせたくないという場合が出てくるということです。このような場合には client-config-dir / ccd-exclusive を組み合わせて使うと、ホワイトリスト形式で接続を許可する CN を指定できます。ちなみに client-config-dir はクライアント（CNで識別）ごとに異なる設定ファイルを読み込ませるための仕組みであり、ccd-exclusive はそのようなファイルが無い場合に接続を拒否するという仕組みです。

具体的には server.conf に下記のような記述を追加します。

server.conf が例えば /etc/openvpn/conf/server.conf にある場合には、接続を許可したいクライアントの CN 名で /etc/openvpn/conf/ccd/(CN名) という空ファイルを作成しておけば、ファイルがあるユーザーのみログインできるようになります。

† ovpnCNcheck スクリプトを使う

もっと柔軟に制御したいという場合には tls-verify というオプションを使って、スクリプトで CN を検証するという方法もあるようです。
下記の ovpnCNcheck を使う、もしくはこれをベースに自分でスクリプトを書くと良さそうです。

ovpnCNcheck — an OpenVPN tls-verify script | Robert Penz Blog
I’ve therefore written two scripts with solve this problem. These scripts check if the peer is in the allowed user list by checking the CN (common name) of the X.509 certificate against a provided text file. For example in OpenVPN, you could use the directive:

今回の旅の最後のディナーはやっぱり我々らしくネタに走ろうということで、魚河岸 丸天で巨大なかき揚げ丼を食べることになりました。元々は沼津のお店らしいのですが、富士に支店があって助かりました。

覚悟はしていましたが、それ以上のボリュームにびっくり。
確かミスター味っ子にこういうかき揚げ丼がありましたよね！

どうやって作ったのか^*1分かりませんが、軽く 10cm 以上あるきれいな円筒形のかきあげが、ご飯の中心に鎮座しています。タレはかけられていないので、自分でかける必要があります。

この巨大なタワーを上から崩して食べていくわけですが、途中でちょっと油がきつくなってくるので、すかさずご飯を食べようとすると・・・タワーが倒壊しそうになって困りました。仕方がないので、途中で作戦を変更し、かき揚げタワーを全て突き崩してから食べましたが・・・ご飯は少し残してしまいました。突き崩していて気づいたのは中の衣にも揚げ色がついているので、バラバラの状態で揚げてから1つにまとめる方法を取っていると思われます。

ネタだけというのもアレなので、サイドメニューとして生桜えび、生しらすもちゃんと食べました。ちなみに友人はこうなる事を予期したのか、時価の煮魚定食（2000円弱）を注文していましたが、こちらもなかなかのお味でコストパフォーマンスは高いです。

• ^*1: 魚河岸丸天：おすすめの逸品

日牟禮八幡宮にお参りしたら昼飯の時間になってしまったので、近くにあったたねや 日牟禮茶屋でランチ。

このあたりに入ってから「たねや」の看板はよく見かけていて、友人と「たねやというのは何屋なんだろうね？」という話をしていたのですが、予期せず謎が解けることになりました。この辺りでは名が通った和菓子やさんのようです。

今回の旅では麺ばかり食べていたので、しっかりとせいろ蒸し膳でご飯を補給することに。季節のおこわと近江野菜のおばんざいは月替わりになっているようで、それぞれ根菜おこわ、近江牛のじゅんじゅん、エビ大根（黒糖風味）、かぶらと青菜のおひたし、ごぼうのごままぶし、白菜としめじの炊きもの（生姜あんかけ）、赤コン煮になっていました。それぞれの量は決して多くありませんが、このあたりの名物が一度に食べられるようになっています。

店内は非常におちついた雰囲気で、月替わりのメニューの説明も一品ずつ丁寧にしてくれて、気持ちよく食事することができました。お菓子屋さんなので、食前と食後にそれぞれお菓子が出てきますが、どちらも美味しかったです。