Subyekt alternativ adları: VPN serveri necə identifikasiya olunur

Müştəriniz zənciri təmiz doğrulanan sertifikatı rədd edir və xəta adın uyğun gəlmədiyini bildirir. Bu mesaj sertifikatı kimin imzaladığı ilə bağlı deyil. Söhbət sertifikatın təmsil etməyə icazə verdiyi kimlikləri daşıyan subyekt alternativ adları uzantısından və konfiqurasiya etdiyiniz kimliyin orada düzgün formada olub-olmamasından gedir. Etibar kimin imzaladığına cavab verir, ad yoxlaması isə hansı hosta aid olduğuna cavab verir.

Müştəri əslində nəyi müqayisə edir

Müştəri konfiqurasiyanızı istinad kimliyinə çevirir: host adı, ünvan və ya protokola xas identifikator. Sonra sertifikatda həmin kimliyi axtarır və istifadə olunan protokolun uyğunlaşdırma qaydalarını tətbiq edir. Yalnız eyni tipli qeydlər sayılır, ona görə DNS qeydi ünvanı təmin edə bilməz və müqayisə insanın sertifikata baxıb-baxmamasından asılı olmayaraq baş verir.

İstinad kimliyi həmin uzantıda yoxdursa, köhnə ümumi ad uyğun gəlsə belə yoxlama uğursuz olur. Sertifikat bir şirkətə qanuni şəkildə verilə bilər və yenə də vpn.example.com üçün səhv ola bilər, əgər ad heç vaxt daxil edilməyibsə. Uğursuzluq ad uyğunsuzluğudur, sertifikat əsl olsa da.

DNS adları və IP ünvanları ayrı qeydlərdir

203.0.113.10 ünvanına yönələn profil, sertifikat yalnız vpn.example.com sadalayırsa, rədd edilir, çünki paketlər çatır, amma kimlik uyğun gəlmir. DNS adları və ünvan literalları fərqli qeyd növləri kimi saxlanılır və biri heç vaxt digərini əvəz etmir. Buna görə xidmət ünvanla əlçatan ola bilər və yenə də həmin ünvanı istifadə edən profil vasitəsilə yararsız ola bilər.

Joker simvollar da öz qaydalarına tabedir: joker bir etiketi əhatə edir, domen altındakı hər adı yox. DNS müqayisəsi böyük-kiçik hərfə həssas deyil, digər identifikator növləri isə həssasdır, ona görə ekranda eyni görünən dəyər ciddi müqayisədə uğursuz ola bilər. İstifadə olunan kimlik növü üçün uyğunlaşdırma qaydalarını yoxlayın, sətirləri gözlə müqayisə etməyin. Uzantıya ad əlavə etmək buraxılış qərarıdır, müştəri parametrinin təmin edə biləcəyi bir şey deyil.

Bağlantının həqiqətən istifadə etdiyi sertifikatı yoxlayın

İnzibatı səhifədən kopyalanmış faylı deyil, canlı son nöqtənin təqdim etdiyi materialı oxuyun. Yük balanslaşdırıcısı və ya əvəzedici instans aylar əvvəl yüklənmiş sertifikatdan fərqli bir şey təqdim edə bilər və bu fərq konsolda görünmür.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Subyekt alternativ adları bloku, buraxan zəncir və etibarlılıq müddəti eyni oxumaya aiddir, çünki ad uyğunsuzluğu və bitmə müddəti fərqli xətalar yaradır. Həmin blokdakı hər adı profildə konfiqurasiya edilmiş kimliklə hərf-hərf müqayisə edin və onun hansı tip olduğunu qeyd edin. Əmri son nöqtənin ünvan formasına qarşı təkrarlamaq sertifikatın hər iki kimliyi yoxsa yalnız birini əhatə etdiyini göstərir. İdarəetmə konsolunda dostyana subyekt göstərişi yoxlama nəticəsi deyil və uzantının hansı adları ehtiva etdiyi barədə heç nə demir.

Ümumi ad müasir həqiqət mənbəyi deyil

Brauzerlər və əksər TLS kitabxanaları artıq host adı uyğunlaşdırması üçün ümumi ada məhəl qoymur və uzantıya müraciət edir. Bəzi VPN müştəriləri hələ də əvvəlcə ümumi adı müqayisə edir və ya uzantı olmadıqda ona qayıdır, buna görə bir sertifikat brauzerdə keçib müştəridə uğursuz ola bilər. Eyni ad yoxlaması bir platformada keçib digərində uğursuz ola bilər, sertifikat heç dəyişməsə də.

Sertifikatın səhv olduğuna qərar verməzdən əvvəl müştərinizin hansı sahəni oxuduğunu öyrənin. Eyni son nöqtədə iki müştəri fərqli fikirdə ola bilər və bu fərq sertifikat haqqında deyil, müştəri haqqında məlumatdır.

Yoxlamanı deyil, buraxılışı və ya profili düzəldin

Profil bir ləqəb ətrafında qurulubsa, ya onu sənədləşdirilmiş host adına yönəldin, ya da ləqəb üçün sertifikatı yenidən buraxın və planlaşdırılmış pəncərədə yerləşdirin. Xəbərdarlığı susdurmaq üçüncü seçim deyil, çünki yoxlama imzalanmış sertifikatı bu konkret hosta bağlayan yeganə addımdır. Onu silmək o deməkdir ki, eyni orqandan olan istənilən sertifikat çatmaq istədiyiniz serverin yerinə keçə bilər.

Yeniləmə nəzərdə tutulan adları və məqsədi qorumalıdır, sadəcə bitmə tarixini irəli çəkməməlidir. Adı itirən yeniləmə növbəti yenidən başlatma üçün planlanmış yeni kəsintidir və adətən xəbərdarlıq olmadan gəlir, çünki dəyişiklik edilərkən köhnə sertifikat hələ qüvvədə idi.

Gözlənilən kimliyi, təqdim edilən adları və onları imzalayan zənciri qeyd edin. Bu qeyd növbəti yeniləməni araşdırma yerinə müqayisəyə çevirir. Uzantı tərifi RFC 5280 sənədindədir, əgər konkret buraxılışı yoxlamaq lazımdırsa.