Alternative ûnderwerpnammen: hoe't in VPN-tsjinner identifisearre wurdt

Jo klient wegeret in sertifikaat wêrfan't de keatling suver falidearret, en de flater seit dat de namme net oerienkomt. Dat berjocht giet net oer wa't it sertifikaat ûndertekene hat. It giet oer de útwreiding fan alternative ûnderwerpnammen, dy't de identiteiten draacht dy't it sertifikaat fertsjinwurdigje mei, en oer oft de identiteit dy't jo ynsteld hawwe dêr yn 'e juste foarm ferskynt. Fertrouwen antwurdet wa't it ûndertekene hat, wylst de nammekontrôle antwurdet by hokker host it heart.

Wat de klient echt ferliket

De klient makket fan jo konfiguraasje in referinsje-identiteit: in hostnamme, in adres of in protokolspesifike identifisearder. Dêrnei siket er yn it sertifikaat nei dy identiteit, en past de oerienkomstregels fan it brûkte protokol ta. Allinnich ynskriuwings fan itselde type telle, dus in DNS-ynskriuwing kin gjin adres befredigje, en de ferliking bart itsij immen ea nei it sertifikaat sjocht of net.

As de referinsje-identiteit yn dy útwreiding ûntbrekt, mislearret de kontrôle sels as de âlde mienskiplike namme oerienkomt. In sertifikaat kin wetlik oan in bedriuw útjûn wurde en dochs de ferkearde wêze foar vpn.example.com as de namme nea opnommen is. De mislearring is in nammemiskiping, ek al is it sertifikaat echt.

DNS-nammen en IP-adressen binne aparte ynskriuwings

In profyl dat nei 203.0.113.10 wiist wylst it sertifikaat allinnich vpn.example.com listet, wurdt wegere, om't de pakketten oankomme mar de identiteit net oerienkomt. DNS-nammen en adresliteralen wurde as ferskillende ynskriuwingstypes bewarre, en ien ferfangt nea de oare. Dêrom kin in tsjinst fia adres berikber wêze en dochs ûnbrûkber wêze fia in profyl dat dat adres brûkt.

Jokertekens folgje ek har eigen regels: in jokerteken dekt ien label, net elke namme ûnder in domein. DNS-ferliking is net haadlettergefoelich, wylst oare identifiseardertypes dat wol binne, dus in wearde dy't op it skerm identyk liket kin in strikte ferliking mislearje. Kontrolearje de oerienkomstregels foar it brûkte identiteitstype ynstee fan strings mei it each te ferliken. In namme tafoegje oan 'e útwreiding is in útjaanbeslissing, net iets dat in klientynstelling leverje kin.

Undersykje it sertifikaat dat de ferbining echt brûkt hat

Lês it materiaal dat it libbene einpunt presintearret, net in bestân dat fan in behearspagina kopiearre is. In loadbalancer of in ferfangende instânsje kin wat oars presintearje as it sertifikaat dat moannen lyn opladen is, en dat ferskil is ûnsichtber yn in konsôle.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

It blok fan alternative ûnderwerpnammen, de útjouwerskeatling en de jildichheidsperioade hearre by deselde lêzing, om't in nammemiskiping en in ferrin oare flaters jouwe. Fergelykje elke namme yn dat blok mei de identiteit dy't yn it profyl ynsteld is, teken foar teken, en notearje hokker type it is. It kommando werhelje tsjin de adresfoarm fan it einpunt lit sjen oft it sertifikaat beide identiteiten dekt of mar ien. In freonlike ûnderwerpwerjefte yn in behearkonsôle is gjin falidaasje-resultaat en seit neat oer hokker nammen de útwreiding befettet.

De mienskiplike namme is net de moderne boarne fan wierheid

Browsers en de measte TLS-bilioteken negearje no de mienskiplike namme foar hostnamme-oerienkomst en rieplachtsje de útwreiding. Guon VPN-klienten ferliken noch altyd earst de mienskiplike namme of falle dêrop werom as de útwreiding ûntbrekt, en sa kin ien sertifikaat in browser helje en in klient mislearje. Deselde nammekontrôle kin op it iene platfoarm slagje en op it oare mislearje sûnder dat it sertifikaat hielendal feroaret.

Sykje út hokker fjild jo klient lêst foar't jo beslute dat it sertifikaat ferkeard is. Twa klienten op itselde einpunt kinne it net iens wêze, en it ferskil is ynformaasje oer de klient, net oer it sertifikaat.

Reparearje de útjefte of it profyl, net de kontrôle

As in profyl om in alias hinne boud is, rjochtsje it dan op 'e dokumintearre hostnamme of jou it sertifikaat foar it alias opnij út en set it yn in pland finster yn. De warskôging stil meitsje is gjin tredde opsje, om't de kontrôle de iennige stap is dy't in ûndertekene sertifikaat oan dizze spesifike host bynt. It fuortheljen betsjut dat elk sertifikaat fan deselde autoriteit yn 't plak komme kin fan de tsjinner dy't jo berikke wolden.

Fernijing moat de bedoelde nammen en it doel behâlde ynstee fan allinnich de ferrindatum foarút te skowen. In fernijing dy't in namme weilitten is in nije ûnderbrekking pland foar de folgjende werstart, en dy komt meast sûnder warskôging om't it âlde sertifikaat noch jildich wie doe't de wiziging dien waard.

Registrearje de ferwachte identiteit, de nammen dy't presintearre waarden en de keatling dy't se ûndertekene hat. Dat registro makket de folgjende fernijing in ferliking ynstee fan in ûndersyk. De definysje fan 'e útwreiding stiet yn RFC 5280 as jo in spesifike útjefte kontrolearje moatte.