الأسماء البديلة للموضوع: كيف يُعرَّف خادم VPN

يرفض عميلك شهادةً تتحقق سلسلتها بنجاح، ويقول الخطأ إن الاسم غير مطابق. تلك الرسالة لا تتعلق بمن وقّع الشهادة. إنها تتعلق بامتداد الأسماء البديلة للموضوع، الذي يحمل الهويات المسموح للشهادة بتمثيلها، وبما إذا كانت الهوية التي أعددتها تظهر هناك بالشكل الصحيح. الثقة تجيب عن من وقّعها، بينما يجيب فحص الاسم عن أي مضيف تنتمي إليه.

ما يقارنه العميل فعليًا

يحوّل العميل إعدادك إلى هوية مرجعية: اسم مضيف أو عنوان أو معرّف خاص بالبروتوكول. ثم يبحث في الشهادة عن تلك الهوية، مطبقًا قواعد المطابقة الخاصة بالبروتوكول المستخدم. لا تُحتسب إلا الإدخالات من النوع نفسه، لذا لا يمكن لإدخال DNS أن يفي بعنوان، وتجري المقارنة سواء نظر إنسان إلى الشهادة أم لا.

عندما تكون الهوية المرجعية غائبة من ذلك الامتداد، يفشل الفحص حتى لو طابق الاسم الشائع القديم. يمكن إصدار شهادة بشكل مشروع لشركة ومع ذلك تكون خاطئة لـ vpn.example.com إذا لم يُضمَّن الاسم قط. الفشل هو عدم تطابق في الاسم رغم أن الشهادة أصلية.

أسماء DNS وعناوين IP إدخالات منفصلة

ملف تعريف يشير إلى 203.0.113.10 بينما تسرد الشهادة vpn.example.com فقط يُرفض، لأن الحزم تصل لكن الهوية لا تتطابق. تُخزَّن أسماء DNS والعناوين الحرفية كأنواع إدخال مختلفة، ولا يحل أحدهما محل الآخر أبدًا. لهذا يمكن الوصول إلى خدمة عبر العنوان ومع ذلك تكون غير قابلة للاستخدام عبر ملف تعريف يستخدم ذلك العنوان.

تتبع أحرف البدل قواعدها الخاصة أيضًا: حرف البدل يغطي تسمية واحدة، وليس كل اسم تحت نطاق. مقارنة DNS غير حساسة لحالة الأحرف، بينما أنواع المعرّفات الأخرى ليست كذلك، لذا قد تفشل قيمة تبدو متطابقة على الشاشة في مقارنة صارمة. تحقق من قواعد المطابقة لنوع الهوية المستخدم بدلًا من مقارنة السلاسل بالنظر. إضافة اسم إلى الامتداد قرار إصدار، وليس شيئًا يمكن لإعداد العميل توفيره.

افحص الشهادة التي استخدمها الاتصال فعليًا

اقرأ المادة التي يقدمها الطرف النشط، لا ملفًا نُسخ من صفحة إدارة. قد يقدم موازن الحمل أو نسخة بديلة شيئًا مختلفًا عن الشهادة التي رُفعت قبل أشهر، وهذا الاختلاف غير مرئي في لوحة التحكم.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

كتلة الأسماء البديلة للموضوع وسلسلة المصدر وفترة الصلاحية تنتمي جميعًا إلى قراءة واحدة، لأن عدم تطابق الاسم وانتهاء الصلاحية ينتجان خطأين مختلفين. قارن كل اسم في تلك الكتلة بالهوية المعدة في ملف التعريف، حرفًا بحرف، ولاحظ نوعه. تكرار الأمر على صيغة العنوان للطرف النشط يُظهر ما إذا كانت الشهادة تغطي الهويتين أم واحدة فقط. عرض الموضوع الودود في لوحة إدارة ليس نتيجة تحقق ولا يقول شيئًا عن الأسماء التي يحتويها الامتداد.

الاسم الشائع ليس المصدر الحديث للحقيقة

تتجاهل المتصفحات ومعظم مكتبات TLS الآن الاسم الشائع لمطابقة اسم المضيف وتستشير الامتداد بدلًا منه. لا تزال بعض عملاء VPN تقارن الاسم الشائع أولًا أو ترجع إليه عند غياب الامتداد، ولهذا يمكن لشهادة واحدة أن تنجح في متصفح وتفشل في عميل. قد ينجح فحص الاسم نفسه على منصة ويفشل على أخرى دون أن تتغير الشهادة إطلاقًا.

اكتشف أي حقل يقرأه عميلك قبل أن تقرر أن الشهادة خاطئة. قد يختلف عميلان على الطرف النشط نفسه، والاختلاف معلومة عن العميل لا عن الشهادة.

أصلح الإصدار أو ملف التعريف، لا الفحص

عندما بُني ملف تعريف حول اسم مستعار، إما أعد توجيهه إلى اسم المضيف الموثق أو أعد إصدار الشهادة للاسم المستعار وانشرها في نافذة مخطط لها. إسكات التحذير ليس خيارًا ثالثًا، لأن الفحص هو الخطوة الوحيدة التي تربط شهادة موقعة بهذا المضيف بعينه. إزالته تعني أن أي شهادة من الجهة نفسها يمكن أن تحل محل الخادم الذي أردت الوصول إليه.

ينبغي للتجديد أن يحافظ على الأسماء والغرض المقصودين بدلًا من مجرد تقديم تاريخ الانتهاء. التجديد الذي يُسقط اسمًا هو انقطاع جديد مجدول لإعادة التشغيل التالية، ويأتي عادة دون تحذير لأن الشهادة القديمة كانت لا تزال صالحة عند إجراء التغيير.

سجّل الهوية المتوقعة والأسماء التي قُدّمت والسلسلة التي وقعتها. يحوّل ذلك السجل التجديد التالي إلى مقارنة بدلًا من تحقيق. تعريف الامتداد موجود في RFC 5280 إذا احتجت إلى التحقق من إصدار معين.