Enwau amgen y pwnc: sut mae gweinydd VPN yn cael ei adnabod

Mae eich cleient yn gwrthod tystysgrif y mae ei chadwyn yn dilysu'n lân, ac mae'r gwall yn dweud nad yw'r enw'n cyfateb. Nid yw'r neges honno yn ymwneud â phwy a lofnododd y dystysgrif. Mae'n ymwneud ag estyniad enwau amgen y pwnc, sy'n cario'r hunaniaethau y mae'r dystysgrif yn cael eu cynrychioli, ac ag a yw'r hunaniaeth a ffurfweddwyd gennych yn ymddangos yno yn y ffurf gywir. Mae ymddiriedaeth yn ateb pwy a'i llofnododd, tra bod y gwiriad enw yn ateb pa westeiwr y mae'n perthyn iddo.

Beth mae'r cleient yn ei gymharu mewn gwirionedd

Mae'r cleient yn troi eich ffurfweddiad yn hunaniaeth gyfeirio: enw gwesteiwr, cyfeiriad, neu adnabyddwr sy'n benodol i brotocol. Yna mae'n chwilio'r dystysgrif am y hunaniaeth honno, gan gymhwyso rheolau cyfateb y protocol a ddefnyddir. Dim ond cofnodion o'r un math sy'n cyfrif, felly ni all cofnod DNS fodloni cyfeiriad, ac mae'r gymhariaeth yn digwydd p'un a yw rhywun byth yn edrych ar y dystysgrif ai peidio.

Pan fo'r hunaniaeth gyfeirio ar goll o'r estyniad hwnnw, mae'r gwiriad yn methu hyd yn oed os yw'r hen enw cyffredin yn cyfateb. Gellir dyroddi tystysgrif yn gyfreithlon i gwmni ac eto bod yn anghywir ar gyfer vpn.example.com os na chafodd yr enw ei gynnwys erioed. Methiant enw yw'r methiant, er bod y dystysgrif yn ddilys.

Mae enwau DNS a chyfeiriadau IP yn gofnodion ar wahân

Mae proffil sy'n pwyntio at 203.0.113.10 tra bod y dystysgrif ond yn rhestru vpn.example.com yn cael ei wrthod, oherwydd bod y pecynnau'n cyrraedd ond nid yw'r hunaniaeth yn cyfateb. Mae enwau DNS a llythyrennau cyfeiriad yn cael eu storio fel mathau cofnod gwahanol, ac ni fydd y naill byth yn disodli'r llall. Dyna pam y gall gwasanaeth fod yn gyrraeddadwy drwy gyfeiriad ac eto'n ddiwerth drwy broffil sy'n defnyddio'r cyfeiriad hwnnw.

Mae cardiau gwyllt yn ufuddhau i'w rheolau eu hunain hefyd: mae cerdyn gwyllt yn cwmpasu un label, nid pob enw o dan barth. Nid yw cymhariaeth DNS yn sensitif i faint nodau, tra bod mathau eraill o adnabyddwr yn sensitif, felly gall gwerth sy'n edrych yn unfath ar y sgrin fethu cymhariaeth gaeth. Gwiriwch y rheolau cyfateb ar gyfer y math hunaniaeth a ddefnyddir yn hytrach na chymharu llinynnau â llygad. Mae ychwanegu enw at yr estyniad yn benderfyniad dyroddi, nid yn rhywbeth y gall gosodiad cleient ei ddarparu.

Archwiliwch y dystysgrif a ddefnyddiwyd gan y cysylltiad mewn gwirionedd

Darllenwch y deunydd a gyflwynir gan y pen draw byw, nid ffeil a gopïwyd o dudalen weinyddu. Gall cydbwysedd llwyth neu achos newydd gyflwyno rhywbeth gwahanol i'r dystysgrif a lwythwyd fisoedd yn ôl, ac mae'r gwahaniaeth hwnnw'n anweledig mewn consol.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Mae bloc enwau amgen y pwnc, cadwyn y dyroddwr a'r cyfnod dilysu i gyd yn perthyn i'r un darlleniad, oherwydd bod anghysondeb enw a dod i ben yn cynhyrchu gwahanol wallau. Cymharwch bob enw yn y bloc hwnnw â'r hunaniaeth a ffurfweddwyd yn y proffil, nod wrth nod, a nodwch pa fath yw hi. Mae ailadrodd y gorchymyn yn erbyn ffurf cyfeiriad y pen draw yn dangos a yw'r dystysgrif yn cwmpasu'r ddwy hunaniaeth neu ddim ond un. Nid yw arddangosiad pwnc cyfeillgar mewn consol rheoli yn ganlyniad dilysu ac nid yw'n dweud dim am ba enwau sydd yn yr estyniad.

Nid yr enw cyffredin yw ffynhonnell fodern y gwir

Mae porwyr a rhan fwyaf o lyfrgelloedd TLS bellach yn anwybyddu'r enw cyffredin ar gyfer cyfateb enw gwesteiwr ac yn ymgynghori â'r estyniad yn lle hynny. Mae rhai cleientiaid VPN yn dal i gymharu'r enw cyffredin yn gyntaf neu'n disgyn yn ôl iddo pan fo'r estyniad yn absennol, a dyna sut y gall un dystysgrif basio porwr a methu cleient. Gall yr un gwiriad enw basio ar un platfform a methu ar y llall heb i'r dystysgrif newid o gwbl.

Darganfyddwch pa faes y mae eich cleient yn ei ddarllen cyn penderfynu bod y dystysgrif yn anghywir. Gall dau gleient ar yr un pen draw anghytuno, ac mae'r anghytundeb yn wybodaeth am y cleient yn hytrach nag am y dystysgrif.

Trwsiwch y dyroddiad neu'r proffil, nid y gwiriad

Pan adeiladwyd proffil o amgylch alias, naill ai ailgyfeiriwch ef at yr enw gwesteiwr a ddogfennwyd neu ailddyroddwch y dystysgrif ar gyfer yr alias a'i defnyddio mewn ffenestr a gynlluniwyd. Nid yw tawelu'r rhybudd yn drydydd opsiwn, oherwydd y gwiriad yw'r unig gam sy'n clymu tystysgrif lofnodwyd i'r gwesteiwr penodol hwn. Mae ei dynnu'n golygu y gall unrhyw dystysgrif o'r un awdurdod sefyll i mewn am y gweinydd y bwriedech ei gyrraedd.

Dylai adnewyddiad gadw'r enwau a'r diben a fwriadwyd yn hytrach nag ond symud y dyddiad dod i ben ymlaen. Mae adnewyddiad sy'n gollwng enw yn amhariad newydd a drefnwyd ar gyfer yr ailgychwyn nesaf, ac mae fel arfer yn cyrraedd heb rybudd oherwydd bod yr hen dystysgrif yn dal yn ddilys pan wnaed y newid.

Cofnodwch yr hunaniaeth ddisgwyliedig, yr enwau a gyflwynwyd a'r gadwyn a'u llofnododd. Mae'r cofnod hwnnw'n troi'r adnewyddiad nesaf yn gymhariaeth yn hytrach nag yn ymchwiliad. Mae diffiniad yr estyniad yn RFC 5280 os oes angen i chi wirio dyroddiad penodol.