OpenVPN verify-x509-name: subject, name ja name-prefix

Lue ensin vastaavuustyyppi ja sitten teksti: verify-x509-name direktiivi voi näyttää oikealta ja silti hyväksyä sertifikaatin, johon et aikonut luottaa. Kaksi riviä, joilla on sama odotettu teksti mutta eri tyypit, ovat eri vaatimuksia. Lue ensin tyyppi ja sitten teksti. Käsittele direktiiviä yhtenä lisäehtona yhteydelle, ei koko tarkistuksena.

Mitä valinta todella väittää

Direktiivi nimeää identiteetin, joka vastapuolen sertifikaatilla on oltava. Kun vertailu epäonnistuu, OpenVPN keskeyttää kättelyn eikä tunnelia nouse. Kaikki muu profiilissa pätee edelleen: sertifikaatin on ketjuttava luotettuun CA:han ja roolitarkistuksen on läpäistävä, joten tämä on lisäehto eikä korvike. Profiili, joka täyttää nimen odotuksen ja epäonnistuu roolitarkistuksessa, on edelleen rikki, ja loki yleensä kertoo sen.

Se eroaa myös selaimen tekemästä isäntänimen validoinnista. Selain sovittaa nimiä subjectin vaihtoehtoisiin nimiin TLS-pinonsa sääntöjen mukaan, kun taas OpenVPN vertaa yhtä sertifikaatin kenttää valitsemaasi tyyppiin. Siksi selaintyylisen isäntänimen liittäminen direktiiviin voi tuottaa ristiriidan, vaikka sertifikaatti todella kattaisi palvelun.

subject: koko erottava nimi, merkki merkiltä

Kun tyyppiä ei ole kirjoitettu, oletus on subject, ja odotetun arvon on toistettava sertifikaatin koko subject-DN. Kenttien järjestys, erottimet, välilyönnit ja escapetus kaikki lasketaan, koska vertailu kulkee merkkijonolla sellaisena kuin se on koodattu. Jos jätät tyypin pois, olet valinnut kolmesta vertailusta tiukimman. Ei ole normalisointivaihetta, joka pelastaisi kosmeettisen eron. Se kannattaa tietää ennen ensimmäistä uusintaa, ei sen jälkeen.

Tämä tiukkuus on haurasta uusintojen välillä. CA, joka järjestää attribuutit uudelleen, lisää ylimääräisen kentän tai muuttaa arvon escapetusta, tuottaa samalle koneelle uuden merkkijonon, ja vuosia toiminut direktiivi alkaa epäonnistua seuraavassa myönnössä. Hyväksytyn DN:n pitäminen muutoslokissa tekee seuraavasta uusinnasta eron. Kun operaattori julkaisee täyden DN:n ja takaa sen muodon, subject on järkevä valinta; muualla kapeampaa kenttää on helpompi pitää totuudenmukaisena.

name: yksi kenttä, yleensä yleisnimi

Tyyppi name vertaa yhtä subjectin kenttää. Ellei profiili toisin sano, tämä kenttä on yleisnimi, ja odotettu arvo on täsmälleen tämä kenttä, ei sitä ympäröivä DN.

Koukku on siinä, että nykyaikaiset sertifikaatit eivät aina pane palvelun nimeä CN:ään. Monet kantavat sitä subjectin vaihtoehtoisessa nimessä ja jättävät CN:n tyhjäksi tai yleiseksi, joten selaimen hyväksymä sertifikaatti voi silti epäonnistua tässä vertailussa. Tarkastele sertifikaatti, joka sinulle todella myönnettiin, ennen kuin kirjoitat odotuksen, ja varmista, minkä kentän profiili valitsee. Tyhjä CN nimeen verrattuna on ristiriita, ei kokoonpanon onnettomuus.

name-prefix: tarkoituksella laaja, rajaa siis laajuus

Tyypin name-prefix odotus vastaa valitun kentän alkua. Se on kätevää nimeämiskaavalle ja vaarallista kaikelle jaetulle.

Jos odotuksena on vpn.example, sekä vpn.example.com että vpn.example.net läpäisisivät, jos ketjun loppuosa on luotettu. Laajuus on ominaisuus ja samalla se osa, joka pitää perustella kirjallisesti. Etuliite on järkevä, kun CA ja nimeämiskaava ovat sinun, ja paljon heikompi, kun julkinen CA myöntää samaan malliin. Jos kaava tarvitsee joustavuutta, rajaa se CA:ssa äläkä laajenna asiakastarkistusta.

Valitse tyyppi tunnisteesta ja todista se sitten

Työskentele taaksepäin identiteetistä, jota operaattori tarkoittaa. Jos hän julkaisee täyden DN:n ja pitää sen vakaana, subject ilmaisee sen. Jos hän nimeää palvelun yleisnimellä, käytä name. Jos hän omistaa nimeämiskaavan ja hyväksyy sen koko avaruuden, name-prefix sanoo sen suoraan.

Uusinnat ovat paikka, jossa direktiiviä testataan. Vertaa hyväksyttyä identiteettiä uuteen sertifikaattiin äläkä vanhaan tiedostoon, koska uusi päätepisteen osoite ei tarkoita uutta sertifikaatti-identiteettiä. Älä poista direktiiviä vain siksi, että tuttu osoite vastaa: saavutettavuus ja aiottu vastapuoli ovat eri asioita, ja osoite todistaa vain, että jokin vastasi. Kirjaa tarkka virhe ja nimen julkiset tiedot puhdistettuun raporttiin, koska nimen ristiriita voidaan näyttää ilman mitään yksityisen avaimen materiaalia.

Tuetun korjauksen jälkeen yhdistä uudelleen kaikkien aiottujen tarkistusten ollessa käytössä ja varmista resurssi, jota todella tarvitset. Menestys tarkoittaa, että aiottu palvelin hyväksyttiin, ei että jokin sertifikaatti ujutettiin läpi. Virallinen käsikirja OpenVPN 2.6 manual dokumentoi kolme tyyppiä ja niiden luottamushuomautukset, ja se on viite, jota siteerataan, kun toimittajan käyttöliittymä on eri mieltä profiilin kanssa.