SSTP-sertifikaat past net: de namme dy't jo server presintearje moat

SSTP kliïnt akseptearret de server pas nei't TLS-falidaasje slagget, en dy kontrôle fergeliket in namme, in ketting en in doel. De namme komt út it ferbyningsprofyl, net út it adres dat jo tafallich pingje kinne. As ien fan de trije net past, meldt de kliïnt in sertifikaatprobleem en berikt nea de oanmeldprompt.

De profylnamme bepaalt wat kontrolearre wurdt

SSTP draait TLS oer TCP 443, dus de kliïnt gedraacht him as elke oare TLS-kliïnt: hy nimt de hostnamme út it profyl, freget dy namme oan en fergeliket it sertifikaat dêrmei. Typ in IP-adres yn it profyl en de fergeliking wurdt in IP-adresfergeliking, dêr't de measte server-sertifikaten net oan foldogge.

Dêrom kin in browsertest slagje wylst de VPN mislearret, om't de browser in oare namme brûkt hat as it profyl. Deselde splitsing ferskynt as split-horizon-DNS de VPN-hostnamme nei in ynterne adres oplost wylst de browser in publike berikt hat. Lijn it profyl earst ôf op de dokumintearre hostnamme en fergelikje dan sertifikaten. Alles oars dat jo dêrfoar feroarje is gokken.

Wat it server-sertifikaat drage moat

Moderne kliïnten fergelikje mei de útwreiding foar alternative subjektnammen, dus de hostnamme moat dêr as DNS-ynskriuwing stean. In gewoane namme allinnich is net genôch foar hjoeddeiske falidaasjestapels, en in wildcard dekt ien label yn stee fan elke subdomein dy't jo betinke. Trije sertifikaten litte de grins sjen: de juste namme mei it ferkearde doel falidearret de identiteit en mislearret dan de doelkontrôle, de juste namme en doel mei in ûntbrekkend tuskenlizzend sertifikaat mislearje de ketting, en in namme dy't allinnich yn de gewoane namme stiet mislearret foardat ien fan dy beide fan belang is.

It sertifikaat hat ek it doel server-autentikaasje nedich, de wearde foar útwreide kaaiberik dy't yn de SSTP-spesifikaasje fan Microsoft neamd wurdt, nammentlik serverAuth mei objektidentifikaasje 1.3.6.1.5.5.7.3.1. Kaaiberik en in jildige ketting meitsje de set folslein. In sertifikaat dat op de server stiet, útjûn foar de juste namme mar allinnich foar kliïntautentikaasje, mislearret dochs.

Kontrolearje de ketting en de klok foar de oanmeldgegevens

Tiid- en fertrouwensflaters jouwe deselde sichtbere útslach as in namme-mismatch, en beide binne goedkeaper te diagnostearjen as in wachtwurdprobleem. Kontrolearje de klok fan de server en de klok fan de kliïnt, lês dan de ketting sa't de kliïnt dy sjocht:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

It earste kommando printsje de namme, it jildichheidsfinster en de alternative nammen dêr't de kliïnt mei fergelikje sil. It twadde meldt ferifikaasjeflaters mei de ketting sa't dy presintearre wurdt, en dêr ferskynt in ûntbrekkend tuskenlizzend sertifikaat. Op Windows fertelt de tiidstsjinst-query jo oft de klok korrizjearre wurdt of gewoan ôfdreaun is.

In ynterne CA foeget noch in betingst ta: de kliïnt moat dy CA fertrouwe. Ynstallearje de organisaasjewoartel fia syn goedkarde distribúsjekanaal, net fan in side dy't in ferfangsertifikaat oanbiedt, want dy beslissing is it hiele fertrouwensmodel yn it lyts.

Serverfalidaasje en brûkersautentikaasje binne opienfolgjende stadia mei ferskillende flaters. In sertifikaatflater betsjut dat de kliïnt de server nea fertroude, wylst in wegere wachtwurd betsjut dat er de server wol fertroude en de gegevens ferkeard wiene. Sertifikaatfalidaasje útsette om by de wachtwurdprompt te kommen hellet de garânsje wei yn stee fan dy te reparearjen. Om te bewizen dat de rest fan it paad wurket, test itselde hostnamme en poarte fan in kliïnt dy't de ketting al fertrouwt, en lit it útrôle profyl gewurde.

Reparearje de namme of it sertifikaat en test opnij

Trije betingsten bepale de reparaasje. As de profylnamme ferkeard is, reparearje it profyl of foegje de ûntbrekkende namme ta oan it sertifikaat. As de ketting net folslein is, ynstallearje it tuskenlizzende sertifikaat op de server. As it doel ferkeard is, jou it opnij út yn stee fan der omhinne te lapjen.

Nei de feroaring, ferbynje opnij mei de stipe kliïnt en befêstigje dat de oanmeldprompt ferskynt en dan dat de tunnel omheech komt. Notearje de brûkte hostnamme, de útjouwer en de ferfaldatum yn it ticket. Dat rekord is wat de folgjende fernijing in plande taak meitsje lit yn stee fan in nije steuring, en it lit de folgjende persoan ek sjen hokker fan de trije betingsten echt brutsen wie.