Nombres alternativos del sujeto: cómo se identifica un servidor VPN

Su cliente rechaza un certificado cuya cadena se valida limpiamente, y el error dice que el nombre no coincide. Ese mensaje no trata de quién firmó el certificado. Trata de la extensión de nombres alternativos del sujeto, que lleva las identidades que el certificado puede representar, y de si la identidad que usted configuró aparece allí en la forma correcta. La confianza responde quién lo firmó, mientras que la comprobación del nombre responde a qué host pertenece.

Qué compara realmente el cliente

El cliente convierte su configuración en una identidad de referencia: un nombre de host, una dirección o un identificador específico del protocolo. Después busca esa identidad en el certificado, aplicando las reglas de coincidencia del protocolo en uso. Solo cuentan las entradas del mismo tipo, así que una entrada DNS no puede satisfacer una dirección, y la comparación ocurre tanto si alguien mira el certificado como si no.

Cuando la identidad de referencia falta en esa extensión, la comprobación falla aunque el nombre común heredado coincida. Un certificado puede emitirse legítimamente a una empresa y aun así ser el incorrecto para vpn.example.com si el nombre nunca se incluyó. El fallo es una discrepancia de nombre aunque el certificado sea auténtico.

Los nombres DNS y las direcciones IP son entradas separadas

Un perfil que apunta a 203.0.113.10 mientras el certificado solo enumera vpn.example.com se rechaza, porque los paquetes llegan pero la identidad no coincide. Los nombres DNS y las direcciones literales se almacenan como tipos de entrada distintos, y uno nunca sustituye al otro. Por eso un servicio puede ser accesible por dirección y aun así inutilizable mediante un perfil que use esa dirección.

Los comodines también obedecen sus propias reglas: un comodín cubre una sola etiqueta, no todos los nombres bajo un dominio. La comparación DNS no distingue mayúsculas de minúsculas, mientras que otros tipos de identificador sí, así que un valor que parece idéntico en pantalla puede fallar una comparación estricta. Compruebe las reglas de coincidencia del tipo de identidad en uso en lugar de comparar cadenas a ojo. Añadir un nombre a la extensión es una decisión de emisión, no algo que pueda aportar un ajuste del cliente.

Inspeccione el certificado que la conexión usó realmente

Lea el material que presenta el punto final activo, no un archivo copiado de una página de administración. Un balanceador de carga o una instancia de reemplazo puede presentar algo distinto del certificado que se subió hace meses, y esa diferencia es invisible en una consola.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

El bloque de nombres alternativos del sujeto, la cadena del emisor y el periodo de validez pertenecen a una misma lectura, porque una discrepancia de nombre y una caducidad producen errores distintos. Compare cada nombre de ese bloque con la identidad configurada en el perfil, carácter por carácter, y anote de qué tipo es. Repetir el comando contra la forma de dirección del punto final muestra si el certificado cubre ambas identidades o solo una. Una visualización amigable del sujeto en una consola de gestión no es un resultado de validación y no dice nada sobre qué nombres contiene la extensión.

El nombre común no es la fuente moderna de la verdad

Los navegadores y la mayoría de las bibliotecas TLS ahora ignoran el nombre común para la coincidencia de nombres de host y consultan la extensión. Algunos clientes VPN todavía comparan primero el nombre común o recurren a él cuando la extensión está ausente, y así un certificado puede pasar un navegador y fallar en un cliente. La misma comprobación de nombre puede pasar en una plataforma y fallar en otra sin que el certificado cambie en absoluto.

Averigüe qué campo lee su cliente antes de decidir que el certificado es incorrecto. Dos clientes en el mismo punto final pueden discrepar, y la discrepancia es información sobre el cliente, no sobre el certificado.

Repare la emisión o el perfil, no la comprobación

Cuando un perfil se construyó en torno a un alias, o bien rediríjalo al nombre de host documentado o bien vuelva a emitir el certificado para el alias y despliéguelo en una ventana planificada. Silenciar la advertencia no es una tercera opción, porque la comprobación es el único paso que vincula un certificado firmado a este host concreto. Eliminarla significa que cualquier certificado de la misma autoridad puede ocupar el lugar del servidor que pretendía alcanzar.

La renovación debería preservar los nombres y el propósito previstos en lugar de limitarse a adelantar la fecha de caducidad. Una renovación que pierde un nombre es una nueva interrupción programada para el próximo reinicio, y suele llegar sin aviso porque el certificado antiguo seguía siendo válido cuando se hizo el cambio.

Registre la identidad esperada, los nombres que se presentaron y la cadena que los firmó. Ese registro convierte la próxima renovación en una comparación en lugar de una investigación. La definición de la extensión está en RFC 5280 si necesita comprobar una emisión concreta.