Vaihtoehtoiset kohdenimet: miten VPN-palvelin tunnistetaan

Asiakkaasi hylkää varmenteen, jonka ketju validoituu puhtaasti, ja virhe kertoo, ettei nimi täsmää. Viesti ei kerro, kuka varmenteen allekirjoitti. Se kertoo vaihtoehtoisten kohdenimien laajennuksesta, joka sisältää ne identiteetit, joita varmenne saa edustaa, ja siitä, esiintyykö määrittämäsi identiteetti siellä oikeassa muodossa. Luottamus vastaa siihen, kuka sen allekirjoitti, kun taas nimitarkistus vastaa siihen, mille isännälle se kuuluu.

Mitä asiakas todella vertaa

Asiakas muuttaa määrityksesi viiteidentiteetiksi: isäntänimeksi, osoitteeksi tai protokollakohtaiseksi tunnisteeksi. Sitten se etsii varmenteesta tätä identiteettiä soveltaen käytettävän protokollan täsmäytyssääntöjä. Vain samantyyppiset merkinnät lasketaan, joten DNS-merkintä ei voi tyydyttää osoitetta, ja vertailu tapahtuu riippumatta siitä, katsooko kukaan varmennetta.

Kun viiteidentiteetti puuttuu tästä laajennuksesta, tarkistus epäonnistuu, vaikka vanha yleisnimi täsmäisi. Varmenne voidaan myöntää laillisesti yritykselle ja olla silti väärä vpn.example.com-osoitteelle, jos nimeä ei koskaan sisällytetty. Epäonnistuminen on nimien täsmäämättömyys, vaikka varmenne olisi aito.

DNS-nimet ja IP-osoitteet ovat erillisiä merkintöjä

Profiili, joka osoittaa osoitteeseen 203.0.113.10, kun varmenne luettelee vain vpn.example.com, hylätään, koska paketit saapuvat mutta identiteetti ei täsmää. DNS-nimet ja osoiteliteraalit tallennetaan eri merkintätyyppeinä, eikä toinen koskaan korvaa toista. Siksi palvelu voi olla tavoitettavissa osoitteen kautta ja silti käyttökelvoton profiililla, joka käyttää tuota osoitetta.

Jokerimerkit noudattavat myös omia sääntöjään: jokerimerkki kattaa yhden leiman, ei jokaista nimeä verkkotunnuksen alla. DNS-vertailu ei ole kirjainkoosta riippuva, kun taas muut tunnistetyypit ovat, joten näytöllä samannäköinen arvo voi epäonnistua tiukassa vertailussa. Tarkista käytettävän identiteettityypin täsmäytyssäännöt sen sijaan, että vertailisit merkkijonoja silmämääräisesti. Nimen lisääminen laajennukseen on myöntämispäätös, ei jotain, mitä asiakkaan asetus voi tarjota.

Tarkastele varmennetta, jota yhteys todella käytti

Lue materiaali, jonka aktiivinen päätepiste esittää, älä hallintasivulta kopioitua tiedostoa. Kuormantasaaja tai korvaava instanssi voi esittää jotain muuta kuin kuukausia sitten ladattu varmenne, ja tämä ero on näkymätön konsolissa.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Vaihtoehtoisten kohdenimien lohko, myöntäjäketju ja voimassaoloaika kuuluvat samaan lukukertaan, koska nimien täsmäämättömyys ja vanheneminen tuottavat eri virheitä. Vertaa jokaista tuon lohkon nimeä profiiliin määritettyyn identiteettiin merkki merkiltä ja pane merkille, mitä tyyppiä se on. Komennon toistaminen päätepisteen osoitemuotoa vastaan näyttää, kattaako varmenne molemmat identiteetit vai vain toisen. Ystävällinen kohdenäyttö hallintakonsolissa ei ole validoinnin tulos eikä kerro mitään siitä, mitkä nimet laajennus sisältää.

Yleisnimi ei ole nykyaikainen totuuden lähde

Selaimet ja useimmat TLS-kirjastot jättävät nyt yleisnimen huomiotta isäntänimen täsmäytyksessä ja käyttävät laajennusta. Jotkin VPN-asiakkaat vertaavat edelleen ensin yleisnimeä tai turvautuvat siihen, kun laajennus puuttuu, ja siksi yksi varmenne voi mennä läpi selaimessa ja epäonnistua asiakkaassa. Sama nimitarkistus voi mennä läpi yhdellä alustalla ja epäonnistua toisella ilman, että varmenne muuttuu lainkaan.

Selvitä, mitä kenttää asiakkaasi lukee, ennen kuin päätät, että varmenne on väärä. Kaksi asiakasta samassa päätepisteessä voivat olla eri mieltä, ja erimielisyys on tietoa asiakkaasta, ei varmenteesta.

Korjaa myöntäminen tai profiili, älä tarkistus

Kun profiili rakennettiin aliaksen ympärille, joko ohjaa se dokumentoituun isäntänimeen tai myönnä varmenne uudelleen aliakselle ja ota se käyttöön suunnitellussa ikkunassa. Varoituksen vaientaminen ei ole kolmas vaihtoehto, koska tarkistus on ainoa vaihe, joka sitoo allekirjoitetun varmenteen tähän tiettyyn isäntään. Sen poistaminen tarkoittaa, että mikä tahansa saman viranomaisen varmenne voi astua sen palvelimen tilalle, johon halusit päästä.

Uudistamisen pitäisi säilyttää aiotut nimet ja tarkoitus, eikä vain siirtää vanhenemispäivää eteenpäin. Uudistaminen, joka pudottaa nimen, on uusi katkos, joka on ajoitettu seuraavaan uudelleenkäynnistykseen, ja se tulee yleensä ilman varoitusta, koska vanha varmenne oli vielä voimassa muutosta tehtäessä.

Kirjaa odotettu identiteetti, esitetyt nimet ja ketju, joka ne allekirjoitti. Tämä kirjaus tekee seuraavasta uudistamisesta vertailun tutkinnan sijaan. Laajennuksen määritelmä on RFC 5280-dokumentissa, jos sinun on tarkistettava tietty myöntäminen.