OpenVPN verify-x509-name: subject, name ja name-prefix

Lugege kõigepealt sobivustüüp ja seejärel tekst: üks verify-x509-name direktiiv võib tunduda õige, kuid siiski võtta vastu sertifikaadi, mida te ei kavatsenud usaldada. Kaks rida sama oodatud tekstiga, kuid erinevate tüüpidega on erinevad nõuded. Lugege kõigepealt tüüp, seejärel tekst. Käsitlege direktiivi ühe lisatingimusena ühendusele, mitte kogu kontrollina.

Mida valik tegelikult kinnitab

Direktiiv nimetab identiteedi, mida vastaspoole sertifikaat peab kandma. Kui võrdlus ebaõnnestub, OpenVPN katkestab käepigistuse ja tunnel ei tõuse. Kõik muu profiilis kehtib endiselt: sertifikaat peab ahelas jõudma usaldatud CA-ni ja rollikontroll peab läbima, seega on see lisatingimus, mitte asendus. Profiil, mis täidab nimenõude ja ebaõnnestub rollikontrollis, on ikka katki, ja logi ütleb seda tavaliselt.

See erineb ka brauseri hostinime valideerimisest. Brauser sobitab nimesid subjecti alternatiivnimedega oma TLS-pinu reeglite järgi, samal ajal kui OpenVPN võrdleb ühte sertifikaadi välja teie valitud tüübiga. Seetõttu võib brauseri stiilis hostinime direktiivi kleepimine anda mittevastavuse ka siis, kui sertifikaat teenust tõesti katab.

subject: kogu eristav nimi, märk märgi haaval

Kui tüüp on kirjutamata, on vaikeväärtus subject, ja oodatud väärtus peab taasesitama sertifikaadi kogu subject-DN-i. Väljade järjekord, eraldajad, tühikud ja escapimine loevad kõik, sest võrdlus käib kodeeritud stringil. Kui tüübi ära jätate, olete valinud kolmest võrdlusest kõige rangema. Puudub normaliseerimissamm, mis päästaks kosmeetilise erinevuse. Seda tasub teada enne esimest uuendust, mitte pärast.

See rangus on uuenduste vahel habras. CA, mis järjestab atribuudid ümber, lisab lisavälja või muudab väärtuse escapimist, loob sama masina jaoks uue stringi, ja aastaid töötanud direktiiv hakkab järgmisel väljaandmisel ebaõnnestuma. Vastuvõetud DN-i hoidmine muudatuste logis muudab järgmise uuenduse lihtsaks erinevuseks. Kui operaator avaldab täieliku DN-i ja tagab selle kuju, on subject mõistlik valik; mujal on kitsamat välja lihtsam õigena hoida.

name: üks väli, tavaliselt üldnimi

Tüüp name võrdleb üht subjecti välja. Kui profiil ei ütle teisiti, on see väli üldnimi ja oodatud väärtus on täpselt see väli, mitte seda ümbritsev DN.

Konks on selles, et kaasaegsed sertifikaadid ei pane teenuse nime alati CN-i. Paljud kannavad seda subjecti alternatiivnimes ja jätavad CN-i tühjaks või üldiseks, nii et brauseri aktsepteeritud sertifikaat võib selle võrdluse siiski läbi kukkuda. Enne ootuse kirjutamist uurige sertifikaati, mis teile tegelikult väljastati, ja kinnitage, millise välja profiil valib. Tühi CN, mida võrreldakse nimega, on mittevastavus, mitte konfiguratsiooniõnnetus.

name-prefix: kavatsuslikult lai, seega piira ulatust

Tüübi name-prefix ootus sobib valitud välja algusega. See on mugav nimeskeemi jaoks ja ohtlik kõige jagatud jaoks.

Kui ootuseks on vpn.example, läbiksid nii vpn.example.com kui ka vpn.example.net eeldusel, et ülejäänud ahelat usaldatakse. Laius on funktsioon ja ühtlasi osa, mida tuleks kirjalikult põhjendada. Prefiks on mõistlik, kui CA ja nimeskeem on teie omad, ja palju nõrgem, kui avalik CA väljastab samasse mustrisse. Kui skeem vajab paindlikkust, piirake seda CA juures, mitte laiendage kliendi kontrolli.

Valige tüüp identifikaatori järgi ja tõestage see

Töötage tagurpidi identiteedist, mida operaator kavatseb. Kui ta avaldab täieliku DN-i ja hoiab seda stabiilsena, subject väljendab seda. Kui ta nimetab teenust üldnimega, kasutage name. Kui tal on nimeskeem ja ta aktsepteerib kogu selle ruumi, name-prefix ütleb seda selgesõnaliselt.

Uuendused on koht, kus direktiivi testitakse. Võrrelge kinnitatud identiteeti uue sertifikaadiga, mitte vana failiga, sest uus lõpp-punkti aadress ei tähenda uut sertifikaadi identiteeti. Ärge kustutage direktiivi ainult seetõttu, et tuttav aadress vastab: kättesaadavus ja kavatsetud vastaspool on erinevad faktid, ja aadress tõestab vaid, et miski vastas. Kirjutage täpne viga ja avalikud nimeandmed puhastatud aruandesse, sest nime mittevastavust saab näidata ilma igasuguse privaatvõtme materjalita.

Pärast toetatud parandust ühenduge uuesti kõigi kavatsetud kontrollidega ja kontrollige ressurssi, mida tegelikult vajate. Edu tähendab, et kavatsetud server võeti vastu, mitte et mõni sertifikaat pressiti läbi. Ametlik käsiraamat OpenVPN 2.6 manual dokumenteerib kolm tüüpi ja nende usaldusmärkused ning see on viide, mida tsiteerida, kui tarnija liides profiiliga vastuolus on.