OpenVPN verify-x509-name: subject, name eta name-prefix

Irakurri lehenik bat-etortze mota eta gero testua: verify-x509-name direktiba zuzena dirudi eta, hala ere, fidatzeko asmorik ez zenuen ziurtagiri bat onar dezake. Itxaroten den testu bera baina mota desberdinak dituzten bi lerro baldintza desberdinak dira. Irakurri lehenik mota, gero testua. Hartu direktiba konexioaren baldintza gehiago gisa, ez kontrol oso gisa.

Zer baieztatzen duen aukerak benetan

Direktibak beste aldeko ziurtagiriak eraman behar duen identitatea izendatzen du. Konparazioak huts egiten duenean, OpenVPN uko egiten dio esku-emateari eta ez da tunelik altxatzen. Profilaren beste guztia indarrean dago oraindik: ziurtagiriak konfiantzazko CA batera kateatu behar du eta rolakontrolak pasa behar du, beraz, baldintza gehigarria da, ez ordezkoa. Izenaren itxaropena betetzen duen eta rolakontrola huts egiten duen profila hondatuta dago oraindik, eta erregistroak normalean hori esaten du.

Nabigatzaileak egiten duen ostalari-izenaren baliozkotzearen desberdina da ere. Nabigatzaileak izenak subject-en izen alternatiboekin konparatzen ditu bere TLS pilaren arauen arabera, OpenVPN-k ziurtagiriaren eremu bat zuk aukeratutako motarekin konparatzen duen bitartean. Horregatik, nabigatzaile-estiloko ostalari-izen bat direktiban itsasteak desadostasuna sor dezake ziurtagiriak zerbitzua benetan estaltzen duenean ere.

subject: eremu bereizle osoa, karaktere karaktere

Mota idatzi gabe dagoenean, lehenetsia subject da, eta itxaroten den balioak ziurtagiriaren subject DN osoa erreproduzitu behar du. Eremuen ordenak, bereizleek, tarteek eta escaping-ek dena balio dute, konparazioa kodetuta dagoen katean egiten baita. Mota alde batera uzten baduzu, hiru konparazioetatik zorrotzena aukeratu duzu. Ez dago normalizazio-pausorik diferentzia kosmetiko bat salbatuko duenik. Lehen berritzearen aurretik jakitea merezi du, ez ondoren.

Zorroztasun hori hauskorra da berritzeen artean. Atribatuak berrantolatzen, eremu gehigarri bat sartzen edo balio baten escapinga aldatzen duen CA batek kate berria sortzen du makina bererako, eta urteetan funtzionatu zuen direktiba bat hurrengo emisioan huts egiten hasten da. Onartutako DN aldaketen erregistroan gordetzeak hurrengo berritzea diferentzia bihurtzen du. Operadoreak DN osoa argitaratzen eta haren forma bermatzen duenean, subject aukera zentzuzkoa da; beste leku batzuetan, eremu estuagoa errazago mantentzen da egiazko.

name: eremu bat, normalean izen arrunta

Motak name subject-eko eremu bat konparatzen du. Profilak kontrakoa esaten ez badu, eremu hori izen arrunta da, eta itxaroten den balioa eremu hori bera da, ez haren inguruko DN-a.

Trikua da ziurtagiri modernoek ez dutela zerbitzuaren izena beti CN-n jartzen. Askok subject-eko izen alternatibo batean daramate eta CN hutsik edo orokor uzten dute, beraz, nabigatzaileak onartzen duen ziurtagiri batek konparazio hau huts egin dezake. Aztertu benetan jaulkitako ziurtagiria itxaropena idatzi aurretik, eta berretsi profilak zein eremu hautatzen duen. CN huts bat izen batekin konparatuta desadostasuna da, ez konfigurazio-istripua.

name-prefix: diseinuz zabala, beraz mugatu norainokoa

Motako itxaropen bat name-prefix hautatutako eremuaren hasierarekin bat dator. Hau erosoa da izendatze-eskema batentzat eta arriskutsua partekatutako edozein gauzarentzat.

Itxaropentzat vpn.example hartuta, bai vpn.example.com bai vpn.example.net ere pasako lirateke, katearen gainerakoa fidagarria bada. Zabaltasuna ezaugarria da, eta era berean idatziz justifikatu beharreko zatia. Aurrizkia zentzuzkoa da CA eta izendatze-eskema zureak direnean, eta askoz ahulagoa CA publiko batek eredu berean jaulkitzen duenean. Eskemak malgutasuna behar badu, mugatu CA-n, ez zabaldu bezeroaren kontrola.

Hautatu mota identifikatzailetik eta, gero, frogatu

Egin atzera operadoreak nahi duen identitatetik. DN osoa argitaratzen badu eta egonkor mantentzen badu, subject horrek adierazten du. Zerbitzua izen arruntaz izendatzen badu, erabili name. Izendatze-eskema bat badauka eta haren espazio osoa onartzen badu, name-prefix hori argi esaten du.

Berritzeak dira direktiba probatzen den lekua. Konparatu onartutako identitatea ziurtagiri berriarekin, ez fitxategi zaharrarekin, amaierako puntuaren helbide berri batek ez baitu ziurtagiri-identitate berririk esan nahi. Ez ezabatu direktiba helbide ezagun batek erantzuten duelako soilik: irisgarritasuna eta nahi den bestea gertaera desberdinak dira, eta helbideak soilik frogatzen du zerbait erantzun duela. Idatzi errore zehatza eta izenaren datu publikoak txosten garbitu batean, izen-desadostasuna erakuts baitaiteke gako pribatuaren materialik gabe.

Onartutako zuzenketa baten ondoren, konektatu berriro nahi diren kontrol guztiekin eta egiaztatu benetan behar duzun baliabidea. Arrakastak esan nahi du nahi zen zerbitzaria onartu dela, ez ziurtagiri bat nola edo hala sartu dela. Eskuliburu ofizialak OpenVPN 2.6 manual hiru motak eta haien konfiantza-oharrak dokumentatzen ditu, eta hori da aipatzeko erreferentzia hornitzailearen interfazea profilarekin ados ez datorrenean.