Alternativní názvy subjektu: jak se identifikuje server VPN

Váš klient odmítne certifikát, jehož řetězec se čistě ověří, a chyba říká, že název nesouhlasí. Ta zpráva není o tom, kdo certifikát podepsal. Je o rozšíření alternativních názvů subjektu, které nese identity, jež certifikát smí zastupovat, a o tom, zda se identita, kterou jste nastavili, objevuje ve správné podobě. Důvěra odpovídá na to, kdo ho podepsal, zatímco kontrola názvu odpovídá na to, kterému hostiteli patří.

Co klient skutečně porovnává

Klient převede vaši konfiguraci na referenční identitu: název hostitele, adresu nebo identifikátor specifický pro protokol. Poté v certifikátu hledá tuto identitu a uplatňuje pravidla párování používaného protokolu. Počítají se jen položky stejného typu, takže položka DNS nemůže uspokojit adresu, a porovnání proběhne bez ohledu na to, zda se někdo na certifikát vůbec podívá.

Když v tomto rozšíření referenční identita chybí, kontrola selže, i když starší obecný název odpovídá. Certifikát může být oprávněně vydán společnosti a přesto být pro vpn.example.com nesprávný, pokud název nebyl nikdy zahrnut. Selhání je neshoda názvu, i když je certifikát pravý.

Názvy DNS a adresy IP jsou samostatné položky

Profil, který ukazuje na 203.0.113.10, zatímco certifikát uvádí jen vpn.example.com, je odmítnut, protože pakety dorazí, ale identita nesouhlasí. Názvy DNS a adresní literály se ukládají jako různé typy položek a jedno nikdy nenahradí druhé. Proto může být služba dostupná podle adresy a přesto nepoužitelná přes profil, který tuto adresu používá.

Divoké karty mají také svá pravidla: divoká karta pokrývá jednu jmenovku, nikoli každý název pod doménou. Porovnání DNS nerozlišuje velká a malá písmena, zatímco jiné typy identifikátorů ano, takže hodnota, která na obrazovce vypadá stejně, může v přísném porovnání selhat. Zkontrolujte pravidla párování pro používaný typ identity, místo abyste řetězce porovnávali očima. Přidání názvu do rozšíření je rozhodnutí při vydání, ne něco, co může zajistit nastavení klienta.

Prohlédněte certifikát, který spojení skutečně použilo

Čtěte materiál, který předkládá živý koncový bod, ne soubor zkopírovaný ze stránky správy. Nástroj pro vyrovnávání zátěže nebo náhradní instance může představit něco jiného než certifikát nahraný před měsíci, a tento rozdíl je v konzoli neviditelný.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blok alternativních názvů subjektu, řetězec vydavatele i doba platnosti patří do jednoho čtení, protože neshoda názvu a vypršení platnosti vytvářejí různé chyby. Porovnejte každý název v tomto bloku s identitou nastavenou v profilu, znak po znaku, a poznamenejte si, o jaký typ jde. Opakování příkazu proti adresní podobě koncového bodu ukáže, zda certifikát pokrývá obě identity, nebo jen jednu. Přátelské zobrazení subjektu v řídicí konzoli není výsledkem validace a neříká nic o tom, které názvy rozšíření obsahuje.

Obecný název není moderním zdrojem pravdy

Prohlížeče a většina knihoven TLS nyní při párování názvu hostitele obecný název ignorují a obracejí se na rozšíření. Někteří klienti VPN stále nejprve porovnávají obecný název nebo se k němu vracejí, když rozšíření chybí, a tak jeden certifikát může projít v prohlížeči a selhat v klientu. Stejná kontrola názvu může projít na jedné platformě a selhat na jiné, aniž by se certifikát vůbec změnil.

Zjistěte, které pole váš klient čte, než rozhodnete, že je certifikát špatný. Dva klienti na stejném koncovém bodu se mohou rozcházet a ten rozpor je informace o klientu, ne o certifikátu.

Opravte vydání nebo profil, ne kontrolu

Když byl profil postaven kolem aliasu, buď ho přesměrujte na dokumentovaný název hostitele, nebo znovu vydajte certifikát pro alias a nasaďte ho v plánovaném okně. Umlčení varování není třetí možností, protože kontrola je jediný krok, který váže podepsaný certifikát k tomuto konkrétnímu hostiteli. Její odstranění znamená, že jakýkoli certifikát od stejné autority může zaujmout místo serveru, ke kterému jste chtěli přistoupit.

Obnova by měla zachovat zamýšlené názvy a účel, ne jen posunout datum vypršení dopředu. Obnova, která vypustí název, je nový výpadek naplánovaný na příští restart a obvykle přijde bez varování, protože starý certifikát byl v době změny stále platný.

Zaznamenejte očekávanou identitu, názvy, které byly předloženy, a řetězec, který je podepsal. Tento záznam promění příští obnovu v porovnání místo vyšetřování. Definice rozšíření je v RFC 5280, pokud potřebujete ověřit konkrétní vydání.