OpenVPN verify-x509-name: subject, name a name-prefix

Darllenwch y math o gymharu yn gyntaf, yna'r testun: gall verify-x509-name gyfarwyddeb edrych yn gywir ac eto derbyn tystysgrif nad oeddech yn bwriadu ymddiried ynddi. Mae dwy linell â'r un testun disgwyliedig ond mathau gwahanol yn ofynion gwahanol. Darllenwch y math yn gyntaf, yna'r testun. Triniwch y gyfarwyddeb fel un amod arall ar y cysylltiad, nid fel y gwiriad cyfan.

Beth mae'r opsiwn yn ei haeru mewn gwirionedd

Mae'r gyfarwyddeb yn enwi hunaniaeth y mae'n rhaid i dystysgrif y pen arall ei chario. Pan fydd y gymhariaeth yn methu, OpenVPN mae'n atal yr ysgwyd llaw ac nid oes twnnel yn codi. Mae popeth arall yn y proffil yn dal i fod yn berthnasol: rhaid i'r dystysgrif gadwyno i CA a ymddiriedir ynddi, a rhaid i'r gwiriad rôl lwyddo, felly amod ychwanegol yw hwn yn hytrach na chyfweithiwr. Mae proffil sy'n bodloni'r disgwyliad enw ac yn methu'r gwiriad rôl yn dal yn doredig, ac mae'r log fel arfer yn dweud hynny.

Mae hefyd yn wahanol i'r dilysu enw gwesteiwr a wneir gan borwr. Mae porwr yn cymharu enwau ag enwau amgen y subject o dan reolau ei stac TLS, tra bod OpenVPN yn cymharu un maes tystysgrif gan ddefnyddio'r math a ddewiswyd gennych. Dyna pam y gall gludo enw gwesteiwr ar ffurf porwr i'r gyfarwyddeb gynhyrchu anghysondeb hyd yn oed pan fydd y dystysgrif yn wir yn cwmpasu'r gwasanaeth.

subject: yr enw gwahaniaethol cyfan, nod wrth nod

Gyda subject, sef y diofyn pan nad ysgrifennir math, rhaid i'r gwerth disgwyliedig atgynhyrchu holl DN subject y dystysgrif. Mae trefn y meysydd, y gwahanwyr, y bylchau a'r dianc i gyd yn cyfrif, oherwydd bod y gymhariaeth yn rhedeg ar y llinyn fel y'i codwyd. Os hebdwch y math, rydych wedi dewis y mwyaf llym o'r tair cymhariaeth. Nid oes cam normaleiddio i achub gwahaniaeth cosmetig. Mae'n werth gwybod hyn cyn yr adnewyddiad cyntaf, nid ar ôl.

Mae'r llymder hwnnw'n fregus ar draws adnewyddiadau. Mae CA sy'n aildrefnu priodoleddau, yn mewnosod maes ychwanegol neu'n newid sut y mae'n dianc gwerth yn cynhyrchu llinyn newydd ar gyfer yr un peiriant, ac mae cyfarwyddeb a weithiodd am flynyddoedd yn dechrau methu ar y cyhoeddiad nesaf. Mae cadw'r DN a dderbyniwyd yn y cofnod newidiadau yn troi'r adnewyddiad nesaf yn wahaniaeth. Lle mae'r gweithredwr yn cyhoeddi DN llawn ac yn gwarantu ei siâp, mae subject yn ddewis rhesymol; mewn mannau eraill mae maes culach yn haws ei gadw'n gywir.

name: un maes, fel arfer yr enw cyffredin

Mae'r math name yn cymharu un maes subject. Oni bai bod y proffil yn dweud fel arall, y maes hwnnw yw'r enw cyffredin, a'r gwerth disgwyliedig yw'r maes hwnnw'n union, nid y DN o'i gwmpas.

Y dal yw nad yw tystysgrifau modern bob amser yn rhoi enw'r gwasanaeth yn y CN. Mae llawer yn ei gario mewn enw amgen subject ac yn gadael y CN yn wag neu'n gyffredinol, felly gall tystysgrif y mae porwr yn ei derbyn fethu'r gymhariaeth hon o hyd. Archwiliwch y dystysgrif a roddwyd i chi mewn gwirionedd cyn ysgrifennu'r disgwyliad, a chadarnhewch pa faes y mae'r proffil yn ei ddewis. Mae CN gwag wedi'i gymharu ag enw yn anghysondeb, nid yn ddamwain ffurfweddu.

name-prefix: eang o fwriad, felly cyfyngwch y cwmpas

Mae disgwyliad o fath name-prefix yn cyfateb i ddechrau'r maes a ddewiswyd. Mae hynny'n gyfleus ar gyfer cynllun enwi ac yn beryglus ar gyfer unrhyw beth a rennir.

Gyda vpn.example fel y disgwyliad, byddai'r ddau vpn.example.com a vpn.example.net yn pasio, ar yr amod bod gweddill y gadwyn yn cael ei hymddiried. Ehangder yw'r nodwedd, a hefyd y rhan y dylid ei chyfiawnhau'n ysgrifenedig. Mae rhagddodiad yn rhesymol pan mai chi biau'r CA a'r cynllun enwi, ac yn llawer gwannach pan fydd CA cyhoeddus yn cyhoeddi i'r un patrwm. Os oes angen hyblygrwydd ar y cynllun, cyfyngwch ef yn y CA yn hytrach na lledu'r gwiriad cleient.

Dewiswch y math o'r dynodydd, yna profwch ef

Gweithiwch yn ôl o'r hunaniaeth y mae'r gweithredwr yn bwriadu ei defnyddio. Os yw'n cyhoeddi DN llawn ac yn ei gadw'n sefydlog, subject yw'r ffordd i fynegi hynny. Os yw'n enwi'r gwasanaeth wrth yr enw cyffredin, defnyddiwch name. Os yw'n berchen ar gynllun enwi ac yn derbyn ei holl ofod, name-prefix mae'n dweud hynny'n glir.

Yr adnewyddiadau yw lle mae'r gyfarwyddeb yn cael ei phrofi. Cymharwch yr hunaniaeth a gymeradwywyd â'r dystysgrif newydd yn hytrach nag â'r hen ffeil, oherwydd nid yw cyfeiriad pen terfyn newydd yn golygu hunaniaeth dystysgrif newydd. Peidiwch â dileu'r gyfarwyddeb dim ond am fod cyfeiriad cyfarwydd yn ateb: mae cyrhaeddedd a'r pen arall a fwriadwyd yn ffeithiau gwahanol, ac mae'r cyfeiriad yn profi dim ond bod rhywbeth wedi ateb. Cofnodwch y gwall manwl a manylion cyhoeddus yr enw mewn adroddiad wedi'i lanhau, oherwydd gellir dangos anghysondeb enw heb unrhyw ddeunydd allwedd breifat.

Ar ôl cywiriad a gefnogir, ailgysylltwch gyda phob gwiriad a fwriadwyd wedi'i alluogi a gwirio'r adnodd sydd ei angen arnoch mewn gwirionedd. Mae llwyddiant yn golygu bod y gweinydd a fwriadwyd wedi'i dderbyn, nid bod rhyw dystysgrif wedi'i thwyllo drwodd. Mae'r llawlyfr swyddogol OpenVPN 2.6 manual yn dogfennu'r tri math a'u nodiadau ymddiriedaeth, a dyma'r cyfeiriad i'w ddyfynnu pan fydd rhyngwyneb gwerthwr yn anghytuno â'r proffil.