Ασυμφωνία πιστοποιητικού SSTP: το όνομα που πρέπει να παρουσιάσει ο διακομιστής σας

SSTP πελάτης SSTP δέχεται τον διακομιστή μόνο αφού πετύχει η επικύρωση TLS, και ο έλεγχος αυτός συγκρίνει ένα όνομα, μια αλυσίδα και έναν σκοπό. Το όνομα προέρχεται από το προφίλ σύνδεσης, όχι από τη διεύθυνση που τυχαίνει να μπορείτε να κάνετε ping. Όταν ένα από τα τρία δεν ταιριάζει, ο πελάτης αναφέρει πρόβλημα πιστοποιητικού και δεν φτάνει ποτέ στο μήνυμα σύνδεσης.

Το όνομα του προφίλ καθορίζει τι ελέγχεται

Το SSTP εκτελεί TLS πάνω από TCP 443, οπότε ο πελάτης συμπεριφέρεται όπως κάθε άλλος πελάτης TLS: παίρνει το όνομα κεντρικού υπολογιστή από το προφίλ, ζητά αυτό το όνομα και συγκρίνει το πιστοποιητικό με αυτό. Αν γράψετε διεύθυνση IP στο προφίλ, η σύγκριση γίνεται σύγκριση διευθύνσεων IP, την οποία τα περισσότερα πιστοποιητικά διακομιστή δεν ικανοποιούν.

Επομένως μια δοκιμή στο πρόγραμμα περιήγησης μπορεί να πετύχει ενώ το VPN αποτυγχάνει, επειδή το πρόγραμμα περιήγησης χρησιμοποίησε διαφορετικό όνομα από το προφίλ. Η ίδια διάσπαση εμφανίζεται όταν το DNS split-horizon μετατρέπει το όνομα του VPN σε εσωτερική διεύθυνση ενώ το πρόγραμμα περιήγησης έφτασε σε δημόσια. Ευθυγραμμίστε πρώτα το προφίλ με το τεκμηριωμένο όνομα κεντρικού υπολογιστή και μετά συγκρίνετε πιστοποιητικά. Οτιδήποτε άλλο αλλάξετε πριν από αυτό είναι εικασία.

Τι πρέπει να φέρει το πιστοποιητικό του διακομιστή

Οι σύγχρονοι πελάτες συγκρίνουν με την επέκταση εναλλακτικών ονομάτων υποκειμένου, οπότε το όνομα κεντρικού υπολογιστή πρέπει να εμφανίζεται εκεί ως εγγραφή DNS. Το κοινό όνομα μόνο δεν αρκεί για τις σημερινές στοίβες επικύρωσης, και ο χαρακτήρας μπαλαντέρ καλύπτει μία ετικέτα και όχι οποιονδήποτε υποτομέα επινοήσετε. Τρία πιστοποιητικά δείχνουν το όριο: το σωστό όνομα με λάθος σκοπό επικυρώνει την ταυτότητα και μετά αποτυγχάνει στον έλεγχο σκοπού, το σωστό όνομα και σκοπός με ελλείπον ενδιάμεσο αποτυγχάνει στην αλυσίδα, και ένα όνομα που υπάρχει μόνο στο κοινό όνομα αποτυγχάνει πριν μετρήσει οποιοδήποτε από τα δύο.

Το πιστοποιητικό χρειάζεται επίσης τον σκοπό ελέγχου ταυτότητας διακομιστή, την τιμή εκτεταμένης χρήσης κλειδιού που ονομάζεται στην την προδιαγραφή SSTP της Microsoft, δηλαδή serverAuth με αναγνωριστικό αντικειμένου 1.3.6.1.5.5.7.3.1. Η χρήση κλειδιού και μια έγκυρη αλυσίδα συμπληρώνουν το σύνολο. Ένα πιστοποιητικό που υπάρχει στον διακομιστή, εκδόθηκε για το σωστό όνομα αλλά μόνο για έλεγχο ταυτότητας πελάτη, αποτυγχάνει ακόμη.

Ελέγξτε την αλυσίδα και το ρολόι πριν από τα διαπιστευτήρια

Αποτυχίες χρόνου και εμπιστοσύνης παράγουν το ίδιο ορατό αποτέλεσμα με μια ασυμφωνία ονόματος, και τα δύο διαγιγνώσκονται φθηνότερα από ένα πρόβλημα κωδικού. Ελέγξτε το ρολόι του διακομιστή και το ρολόι του πελάτη και μετά διαβάστε την αλυσίδα όπως τη βλέπει ο πελάτης:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Η πρώτη εντολή εκτυπώνει το όνομα, το παράθυρο ισχύος και τα εναλλακτικά ονόματα με τα οποία θα συγκρίνει ο πελάτης. Η δεύτερη αναφέρει σφάλματα επαλήθευσης μαζί με την αλυσίδα όπως παρουσιάζεται, και εκεί εμφανίζεται ένα ελλείπον ενδιάμεσο πιστοποιητικό. Στα Windows το ερώτημα της υπηρεσίας ώρας σας λέει αν το ρολόι διορθώνεται ή απλώς έχει ξεφύγει.

Μια εσωτερική CA προσθέτει άλλη μια συνθήκη: ο πελάτης πρέπει να εμπιστεύεται αυτή την CA. Εγκαταστήστε τη ρίζα του οργανισμού μέσω του εγκεκριμένου καναλιού διανομής, όχι από σελίδα που προσφέρει πιστοποιητικό αντικατάστασης, γιατί αυτή η απόφαση είναι ολόκληρο το μοντέλο εμπιστοσύνης σε σμίκρυνση.

Η επικύρωση διακομιστή και ο έλεγχος ταυτότητας χρήστη είναι διαδοχικά στάδια με διαφορετικές αποτυχίες. Σφάλμα πιστοποιητικού σημαίνει ότι ο πελάτης δεν εμπιστεύτηκε ποτέ τον διακομιστή, ενώ κωδικός που απορρίφθηκε σημαίνει ότι τον εμπιστεύτηκε και τα διαπιστευτήρια ήταν λάθος. Το να απενεργοποιήσετε την επικύρωση πιστοποιητικού για να φτάσετε στο αίτημα κωδικού αφαιρεί την εγγύηση αντί να τη διορθώσει. Για να αποδείξετε ότι το υπόλοιπο μονοπάτι λειτουργεί, δοκιμάστε το ίδιο όνομα κεντρικού υπολογιστή και θύρα από πελάτη που εμπιστεύεται ήδη την αλυσίδα, και αφήστε το αναπτυγμένο προφίλ όπως είναι.

Διορθώστε το όνομα ή το πιστοποιητικό και δοκιμάστε ξανά

Τρεις συνθήκες καθορίζουν τη διόρθωση. Αν το όνομα του προφίλ είναι λάθος, διορθώστε το προφίλ ή προσθέστε το ελλείπον όνομα στο πιστοποιητικό. Αν η αλυσίδα είναι ελλιπής, εγκαταστήστε το ενδιάμεσο στον διακομιστή. Αν ο σκοπός είναι λάθος, επανεκδώστε αντί να μπαλώσετε γύρω του.

Μετά την αλλαγή, συνδεθείτε ξανά με τον υποστηριζόμενο πελάτη και επιβεβαιώστε ότι εμφανίζεται το αίτημα σύνδεσης και μετά ότι η σήραγγα ανεβαίνει. Σημειώστε στο δελτίο το όνομα κεντρικού υπολογιστή που χρησιμοποιήθηκε, τον εκδότη και την ημερομηνία λήξης. Αυτή η καταγραφή κάνει την επόμενη ανανέωση προγραμματισμένη εργασία αντί για άλλη διακοπή, και δείχνει επίσης στο επόμενο άτομο ποια από τις τρεις συνθήκες είχε πραγματικά παραβιαστεί.