Alternatiewe vakname: hoe 'n VPN-bediener geïdentifiseer word

Jou kliënt verwerp 'n sertifikaat waarvan die ketting skoon valideer, en die fout sê die naam stem nie ooreen nie. Daardie boodskap gaan nie oor wie die sertifikaat onderteken het nie. Dit gaan oor die uitbreiding vir alternatiewe vakname, wat die identiteite dra wat die sertifikaat mag verteenwoordig, en oor of die identiteit wat jy opgestel het daar in die regte vorm voorkom. Vertroue antwoord wie dit onderteken het, terwyl die naamtoets antwoord aan watter gasheer dit behoort.

Wat die kliënt werklik vergelyk

Die kliënt omskep jou konfigurasie in 'n verwysingsidentiteit: 'n gasheernaam, 'n adres of 'n protokolspesifieke identifiseerder. Daarna soek dit in die sertifikaat na daardie identiteit en pas die passingreëls van die protokol toe wat gebruik word. Net inskrywings van dieselfde tipe geld, so 'n DNS-inskrywing kan nie 'n adres bevredig nie, en die vergelyking gebeur of 'n mens ooit na die sertifikaat kyk of nie.

Wanneer die verwysingsidentiteit uit daardie uitbreiding ontbreek, misluk die toets selfs al stem die ou gemeenskaplike naam ooreen. 'n Sertifikaat kan wettig aan 'n maatskappy uitgereik word en tog die verkeerde een vir vpn.example.com wees as die naam nooit ingesluit is nie. Die mislukking is 'n naamwanpassing, selfs al is die sertifikaat eg.

DNS-name en IP-adresse is aparte inskrywings

'n Profiel wat na 203.0.113.10 wys terwyl die sertifikaat net vpn.example.com lys, word verwerp, want die pakkette kom aan maar die identiteit stem nie ooreen nie. DNS-name en adresliterale word as verskillende inskrywingstipes gestoor, en een vervang nooit die ander nie. Daarom kan 'n diens per adres bereikbaar wees en tog onbruikbaar wees deur 'n profiel wat daardie adres gebruik.

Jokertekens volg ook hul eie reëls: 'n jokerteken dek 'n enkele etiket, nie elke naam onder 'n domein nie. DNS-vergelyking is hoofletterongevoelig, terwyl ander identifiseerdertipes dit nie is nie, so 'n waarde wat op die skerm identies lyk, kan 'n streng vergelyking faal. Kontroleer die passingreëls vir die identifiseerdertipe wat gebruik word eerder as om stringe met die oog te vergelyk. Om 'n naam by die uitbreiding te voeg is 'n uitreikingsbesluit, nie iets wat 'n kliëntinstelling kan verskaf nie.

Ondersoek die sertifikaat wat die verbinding werklik gebruik het

Lees die materiaal wat die lewendige eindpunt aanbied, nie 'n lêer wat van 'n administrasiebladsy gekopieer is nie. 'n Lasbalanseerder of 'n vervangingsinstansie kan iets anders aanbied as die sertifikaat wat maande gelede opgelaai is, en daardie verskil is onsigbaar in 'n konsole.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Die blok vir alternatiewe vakname, die uitreikingsketting en die geldigheidsperiode hoort almal in dieselfde lees, want 'n naamwanpassing en 'n vervaldatum lewer verskillende foute. Vergelyk elke naam in daardie blok met die identiteit wat in die profiel opgestel is, karakter vir karakter, en let op watter tipe dit is. As jy die opdrag teen die adresvorm van die eindpunt herhaal, sien jy of die sertifikaat beide identiteite dek of net een. 'n Vriendelike vakvertoning in 'n bestuurskonsole is nie 'n valideringsresultaat nie en sê niks oor watter name die uitbreiding bevat nie.

Die gemeenskaplike naam is nie die moderne bron van waarheid nie

Blaaiers en die meeste TLS-biblioteke ignoreer nou die gemeenskaplike naam vir gasheernaampassing en raadpleeg eerder die uitbreiding. Sommige VPN-kliënte vergelyk steeds eers die gemeenskaplike naam of val daarop terug wanneer die uitbreiding ontbreek, en daarom kan een sertifikaat 'n blaaier slaag en 'n kliënt faal. Dieselfde naamtoets kan op een platform slaag en op 'n ander faal sonder dat die sertifikaat enigsins verander.

Vind uit watter veld jou kliënt lees voordat jy besluit die sertifikaat is verkeerd. Twee kliënte op dieselfde eindpunt kan verskil, en die verskil is inligting oor die kliënt eerder as oor die sertifikaat.

Herstel die uitreiking of die profiel, nie die toets nie

Wanneer 'n profiel rondom 'n alias gebou is, rig dit óf na die gedokumenteerde gasheernaam óf reik die sertifikaat vir die alias uit en ontplooi dit in 'n beplande venster. Om die waarskuwing stil te maak is nie 'n derde opsie nie, want die toets is die enigste stap wat 'n ondertekende sertifikaat aan hierdie spesifieke gasheer bind. Om dit te verwyder beteken enige sertifikaat van dieselfde owerheid kan instaan vir die bediener wat jy bedoel het om te bereik.

Hernuwing moet die beoogde name en doel bewaar eerder as om net die vervaldatum vorentoe te skuif. 'n Hernuwing wat 'n naam laat val, is 'n nuwe onderbreking wat vir die volgende herbegin geskeduleer is, en dit kom gewoonlik sonder waarskuwing omdat die ou sertifikaat nog geldig was toe die verandering gemaak is.

Teken die verwagte identiteit, die name wat aangebied is en die ketting wat hulle onderteken het, aan. Daardie rekord maak die volgende hernuwing 'n vergelyking eerder as 'n ondersoek. Die uitbreidingsdefinisie is in RFC 5280 as jy 'n spesifieke uitreiking moet nagaan.