SSTP ziurtagiria ez dator bat: zure zerbitzariak aurkeztu behar duen izena

Bezeroak profileko ostalari-izena ziurtagiriarekin alderatzen du, eta gero katea eta helburua egiaztatzen ditu. Konpondu profila edo ziurtagiria, inoiz ez baliozkotzea.

SSTP bezeroak zerbitzaria TLS baliozkotzea lortu ondoren soilik onartzen du, eta egiaztapen horrek izena, katea eta helburua alderatzen ditu. Izena konexio-profiletik dator, ez kasualitatez pinga dezakezun helbidetik. Hiruretako bat bat ez datorrenean, bezeroak ziurtagiri-arazoa jakinarazten du eta ez da inoiz saio-hasierako eskaerara iristen.

Profilaren izenak erabakitzen du zer egiaztatzen den

SSTPk TLS exekutatzen du TCP 443 gainean, beraz bezeroa beste edozein TLS bezeroren antzera jokatzen du: profileko ostalari-izena hartzen du, izen hori eskatzen du eta ziurtagiria harekin alderatzen du. Profilan IP helbide bat idazten baduzu, alderaketa IP helbideen alderaketa bihurtzen da, eta zerbitzari ziurtagiri gehienek ez dute hura betetzen.

Horregatik nabigatzaileko proba batek ongi atera daiteke VPNak huts egiten duen bitartean, nabigatzaileak profilekoaz bestelako izen bat erabili duelako. Zatiketa bera agertzen da split-horizon DNSak VPNaren ostalari-izena barne helbide batera ebazten duenean, nabigatzailea publiko batera iritsi den bitartean. Lerrokatu profila dokumentatutako ostalari-izenarekin lehenengo, eta gero alderatu ziurtagiriak. Hori baino lehen aldatzen duzun beste edozer susmoa da.

Zerbitzariaren ziurtagiriak zer eduki behar duen

Bezero modernoek subjektuaren izen alternatiboen luzapenarekin alderatzen dute, beraz ostalari-izenak DNS sarrera gisa agertu behar du han. Izen arruntak soilik ez du nahikoa egungo baliozkotze-pilentzat, eta komodinak etiketa bat estaltzen du, ez asmatzen duzun edozein azpidomeinu. Hiru ziurtagirik muga erakusten dute: izen zuzena helburu okerrarekin nortasuna baliozkotzen du eta gero helburuaren egiaztapenean huts egiten du, izen eta helburu zuzenak tarteko ziurtagiri bat falta dela katean huts egiten dute, eta izen arruntean soilik agertzen den izenak huts egiten du beste bi horietako ezein axola baino lehen.

Ziurtagiriak zerbitzariaren autentifikaziorako helburua ere behar du, Microsoften SSTP zehaztapenean aipatzen den gako-erabilera luzatuaren balioa, hots serverAuth objektu-identifikatzailearekin 1.3.6.1.5.5.7.3.1. Gako-erabilerak eta kate baliozkoak multzoa osatzen dute. Zerbitzarian dagoen ziurtagiri batek, izen zuzenarentzat jaulkia baina bezeroaren autentifikaziorako soilik, huts egiten du oraindik.

Egiaztatu katea eta erlojua kredentzialen aurretik

Denbora eta konfiantza hutsegiteak izen-desadostasunak bezalako emaitza ikusgarria sortzen dute, eta biak pasahitz arazoa baino merkeago diagnostikatzen dira. Egiaztatu zerbitzariaren erlojua eta bezeroaren erlojua, eta gero irakurri katea bezeroak ikusten duen bezala:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Lehen komandoak izena, baliozkotasun-leihoa eta bezeroak alderatuko dituen izen alternatiboak inprimatzen ditu. Bigarrenak egiaztatze-erroreak jakinarazten ditu aurkeztutako katearekin, eta han agertzen da falta den tarteko ziurtagiria. Windowsen, denbora-zerbitzuaren kontsultak esaten dizu erlojua zuzentzen ari den edo soilik desbideratu den.

Barneko CA batek baldintza bat gehiago gehitzen du: bezeroak CA horretan konfiantza izan behar du. Instalatu erakundearen sustraia bere banaketa-kanal onartuaren bidez, ordezko ziurtagiria eskaintzen duen orrialde batetik beharrean, erabaki hori konfiantza-eredu osoa baita txiki-txikian.

Zerbitzariaren baliozkotzea eta erabiltzailearen autentifikazioa hutsegite desberdinak dituzten etapa sekuentzialak dira. Ziurtagiri-errore batek bezeroak zerbitzarian inoiz konfiantzarik izan ez zuela esan nahi du, eta pasahitz baztertu batek, berriz, zerbitzarian konfiantza izan zuela eta kredentzialak okerrak zirela. Ziurtagiriaren baliozkotzea desaktibatzea pasahitz-eskaerara iristeko bermea kentzea da, hura konpondu beharrean. Bidearen gainerakoa funtzionatzen duela frogatzeko, probatu ostalari-izen eta ataka bera katea jada konfiantza duen bezero batetik, eta utzi inplementatutako profila bere horretan.

Konpondu izena edo ziurtagiria eta probatu berriro

Hiru baldintzak erabakitzen dute konponketa. Profilaren izena okerra bada, zuzendu profila edo gehitu falta den izena ziurtagiriari. Katea osatugabea bada, instalatu tarteko ziurtagiria zerbitzarian. Helburua okerra bada, berrargitaratu inguruan adabakirik jarri beharrean.

Aldaketaren ondoren, konektatu berriro onartutako bezeroarekin eta egiaztatu saio-hasierako eskaera agertzen dela, eta gero tunela altxatzen dela. Idatzi txartelean erabilitako ostalari-izena, jaulkitzailea eta iraungitze-data. Erregistro horrek hurrengo berritzea programatutako zeregin bihurtzen du, beste etenaldi bat izan beharrean, eta hurrengo pertsonari erakusten dio hiru baldintzetako zein zegoen benetan hautsita.

Erlazionatutako artikuluak