OpenVPN verify-x509-name: subject, name və name-prefix fərqi

Əvvəlcə uyğunluq növünü, sonra mətni oxuyun: verify-x509-name direktivi düzgün görünə bilər, amma etibar etmək istəmədiyiniz sertifikatı yenə də qəbul edə bilər. Gözlənilən mətni eyni, növləri fərqli iki sətir fərqli tələblərdir. Əvvəlcə növü, sonra mətni oxuyun. Direktivi bütün yoxlama deyil, bağlantıya əlavə bir şərt kimi qəbul edin.

Seçim əslində nəyi təsdiqləyir

Direktiv qarşı tərəfin sertifikatının daşımalı olduğu kimliyi adlandırır. Müqayisə uğursuz olduqda, OpenVPN əl sıxmanı dayandırır və heç bir tunel qurulmur. Profildəki hər şey qüvvədə qalır: sertifikat etibarlı CA-ya zəncirlənməlidir və rol yoxlaması keçməlidir, yəni bu əlavə şərtdir, əvəzləyici deyil. Ad gözləntisini ödəyib rol yoxlamasında uğursuz olan profil yenə də pozulmuş sayılır və jurnal bunu adətən deyir.

O, brauzerin apardığı hostname yoxlamasından da fərqlənir. Brauzer adları öz TLS yığınının qaydaları ilə subyektin alternativ adlarına uyğunlaşdırır, OpenVPN isə seçdiyiniz növlə sertifikatın bir sahəsini müqayisə edir. Buna görə brauzer üslubunda hostname-i direktivə yapışdırmaq, sertifikat xidməti həqiqətən əhatə etdiyi halda belə uyğunsuzluq yarada bilər.

subject: bütün fərqləndirici ad, hərf-hərf

Heç bir növ yazılmadıqda standart olan subject ilə gözlənilən dəyər sertifikatın bütün subject DN-ni təkrar etməlidir. Sahə sırası, ayırıcılar, boşluqlar və ekranlaşdırma hamısı sayılır, çünki müqayisə kodlanmış sətir üzərində aparılır. Növü buraxın və üç müqayisənin ən sərtini seçmiş olursunuz. Kosmetik fərqi xilas edən normallaşdırma addımı yoxdur. Bunu ilk yeniləmədən əvvəl bilməyə dəyər, sonra deyil.

Bu sərtlik yeniləmələr arasında kövrəkdir. Atributları yenidən sıralayan, əlavə sahə daxil edən və ya dəyərin ekranlaşdırma üsulunu dəyişən CA eyni maşın üçün yeni sətir yaradır və illərlə işləyən direktiv növbəti buraxılışda uğursuz olmağa başlayır. Qəbul edilmiş DN-ni dəyişiklik qeydində saxlamaq növbəti yeniləməni sadə fərqə çevirir. Operator tam DN yayımlayıb formasına zəmanət verirsə, subject ağlabatan seçimdir; digər hallarda daha dar bir sahəni doğru saxlamaq asandır.

name: bir sahə, adətən ümumi ad

Növü name bir subyekt sahəsini müqayisə edir. Profil başqa cür demirsə, bu sahə ümumi addır və gözlənilən dəyər ətrafındakı DN deyil, məhz həmin sahədir.

Məsələ burasındadır ki, müasir sertifikatlar xidmətin adını həmişə CN-ə qoymur. Çoxu onu subyektin alternativ adında daşıyır və CN-i boş və ya ümumi saxlayır, yəni brauzerin qəbul etdiyi sertifikat bu müqayisədə yenə uğursuz ola bilər. Gözləntini yazmazdan əvvəl sizə həqiqətən verilmiş sertifikatı yoxlayın və profilin hansı sahəni seçdiyini təsdiqləyin. Boş CN-in bir adla müqayisəsi uyğunsuzluqdur, konfiqurasiya qəzası deyil.

name-prefix: dizaynca genişdir, ona görə əhatəni məhdudlaşdırın

Bir name-prefix gözləntisi seçilmiş sahənin başlanğıcına uyğun gəlir. Bu, adlandırma sxemi üçün rahat, ortaq istifadə olunan hər şey üçün isə təhlükəlidir.

Gözlənti kimi vpn.example götürülsə, həm vpn.example.com həm də vpn.example.net keçərdi, bir şərtlə ki zəncirin qalan hissəsi etibarlı olsun. Genişlik xüsusiyyətdir və eyni zamanda yazılı əsaslandırılmalı hissədir. Prefiks CA və adlandırma sxemi sizə aid olduqda ağlabatandır, açıq CA eyni naxışa buraxdıqda isə çox zəifdir. Sxem çeviklik tələb edirsə, onu müştəri yoxlamasını genişləndirməkdənsə CA-da məhdudlaşdırın.

Növü identifikatordan seçin, sonra sübut edin

Operatorun nəzərdə tutduğu kimlikdən geriyə doğru işləyin. Tam DN yayımlayır və onu sabit saxlayırsa, subject bunu ifadə edir. Xidməti ümumi adla adlandırırsa, istifadə edin name. Adlandırma sxeminə sahibdirsə və bütün məkanını qəbul edirsə, name-prefix bunu açıq deyir.

Yeniləmələr direktivin sınandığı yerdir. Təsdiqlənmiş kimliyi köhnə faylla deyil, yeni sertifikatla müqayisə edin, çünki yeni endpoint ünvanı yeni sertifikat kimliyi demək deyil. Direktivi yalnız tanış ünvan cavab verdiyi üçün silməyin: əlçatanlıq və nəzərdə tutulan qarşı tərəf fərqli faktlardır, və ünvan yalnız nəyinsə cavab verdiyini sübut edir. Dəqiq xətanı və açıq ad detallarını təmizlənmiş hesabatda qeyd edin, çünki ad uyğunsuzluğu heç bir şəxsi açar materialı olmadan göstərilə bilər.

Dəstəklənən düzəlişdən sonra hər nəzərdə tutulan yoxlama aktiv halda yenidən qoşulun və həqiqətən ehtiyac duyduğunuz resursu yoxlayın. Uğur nəzərdə tutulan serverin qəbul olunması deməkdir, hansısa sertifikatın keçirilməsi deyil. Rəsmi sənəd OpenVPN 2.6 manual üç növü və onların etibar qeydlərini sənədləşdirir və satıcı interfeysi profillə ziddiyyət təşkil etdikdə sitat gətiriləcək mənbə budur.