cuspóir teastais neamhthacaithe: cén fáth a dteipeann ar an CA idirmheánach

Tá cuspóir theastas an fhreastalaí cosúil le bheith ceart, tagann an eochair le chéile, tá na dátaí ceart, agus teipeann ar an nasc fós le unsupported certificate purpose. Is gnách go mbíonn an mhionsonra a réitíonn é seo ar an líne chéanna leis an earráid: luach doimhneachta agus subject a ainmníonn teastas níos airde sa slabhra. Tá dhá thriail éagsúla á rith, agus ní bhaineann ach ceann amháin acu leis an duilleog. Míníonn comparáid idir iad cén fáth nach n-athraíonn aon rud nuair a dhéantar teastas an fhreastalaí a athsholáthar.

Cén teastas a dhiúltaigh an fíoraitheoir i ndáiríre

Ní rud amháin arís agus arís eile trí huaire é slabhra. Iompraíonn an duilleog ainm agus eochair an fhreastalaí, nascann na teastais idirmheánacha le fréamh é, agus tá a thréimhse bailíochta, a shrianta agus a úsáidí féin ag gach ceann. Nuair a ainmníonn an earráid doimhneacht, sainaithníonn an uimhir sin suíomh sa slabhra a thóg an fíoraitheoir, agus b'fhéidir nach é an suíomh a bhfuiltear ag súil leis má sheolann an freastalaí slabhra gan choinne.

Léigh réimsí an teastais ag an doimhneacht sin seachas an teastas a cheap tú a bhí ciontach. Iarr an dá síneadh a theorannaíonn eisiúint in ionad gach réimse a dhumpáil, mar is beagnach i gcónaí a bhíonn an freagra i gceann acu. Is féidir aschur na síneadh a roinnt go sábháilte; eochracha príobháideacha riamh.

openssl x509 -in issuing-ca.pem -noout -subject -issuer -ext basicConstraints -ext extendedKeyUsage

Má tá an teastas a ainmnítear ina theastas idirmheánach a luann a úsáid eochrach leathnaithe rud nach mbaineann le fíordheimhniú freastalaí TLS, leanann an chuid eile den teip go meicniúil. Ní féidir an slabhra a úsáid don chuspóir a d'iarr OpenVPN.

Cuspóir na duilleoige agus beartas an tslabhra: dhá thriail

Cuireann triail na duilleoige ceist chúng: an gceadaíonn an teastas eintitis deiridh seo fíordheimhniú freastalaí don ainm seo? Cuireann triail an tslabhra ceist níos leithne: an bhféadfaidh gach teastas sa chonair an cuspóir sin a fhreastal? Rachaidh údarás teastais a bhfuil cead aige ach teastais chliaint a eisiúint trína sheiceálacha sínithe féin agus teipfidh sé ar an dara triail mar sin féin, toisc nach n-áirítear sa chonair a údaraíonn sé an cuspóir a theastaíonn ón bhfeidhmchlár. Teipeann ar an dá thriail leis na focail chéanna agus tá deisiúcháin iomlán difriúla acu.

Sin an fáth a bhféadfadh duilleog nua-eisithe, atá ceart i ngach réimse infheicthe, teip láithreach. Sin freisin an fáth a mbaineann an ceartú le próifíl an údaráis eisitheora seachas le cumraíocht an VPN.

Ní EKU shriantach é EKU as láthair

Déanann RFC 5280 an síneadh úsáide eochrach leathnaithe a dhéanamh roghnach agus, nuair a bhíonn sé i láthair, sriantach. Mar sin níor dhúirt teastas CA gan an síneadh «níl» le fíordheimhniú freastalaí, cé go ndúirt ceann nach liostaíonn ach cuspóir neamhghaolmhar rud an-chinnte. Má dhéileáiltear leis an dá staid sin mar chomhionanna, cruthaítear an diagnóis mhícheart agus, níos measa, an deisiú mícheart. Míníonn an t-idirdhealú freisin cén fáth a n-iompraíonn dhá údarás a bhféachann cosúil le chéile i gconsól go hiomlán difriúil i slabhra.

Níl iompar na leabharlann aonfhoirmeach anseo ach an oiread. Déanann doiciméad OpenSSL faoi roghanna fíoraithe cur síos ar a chóireáil féin ar sheiceálacha cuspóra ar theastais CA, agus is beartas cur i bhfeidhm an chóireáil sin seachas riail a leanann gach stac TLS go hiomlán mar an gcéanna. Déan cur síos ar a ndéanann do fhíoraitheoir, ansin deimhnigh é i gcoinne an leagain a ritheann tú i ndáiríre.

Atáirg an teip as líne sula n-athsheoltar

Baineann fíorú as líne an feidhmchlár as an gcothromóid. Má theipeann ar an slabhra ar an mbealach céanna faoin gcuspóir céanna, is é an teastas an fhadhb agus ní cheilfidh aon chumraíocht freastalaí é. Má éiríonn leis an slabhra as líne agus an tseirbhís fós ag diúltú, tá an feidhmchlár ag iarraidh cuspóir eile nó ag úsáid slabhra eile seach an ceann a thástáil tú.

openssl verify -purpose sslserver -show_chain -CAfile root-ca.pem -untrusted issuing-ca.pem vpn-server.pem

Tá tábhacht le -show_chain toisc go gcuireann sé an chonair a thóg an uirlis i gcló, agus is minic nach é sin an t-ord comhad a chuir tú ar fáil. Is é an t-aschur sin an bealach is tapúla chun a fháil amach go bhfuil dara teastas idirmheánach á tharraingt ó stór muiníne, go seolann an freastalaí leagan tras-sínithe nár bheartaigh tú, nó go mbaineann an bhratach chuspóra a chóipeáil tú ó theagaisc le ról difriúil ón ról atá á fhreastal.

Deisigh an beartas eisiúna, ní an glao fíoraithe

Is é an deisiú marthanach teastas idirmheánach a eisíodh faoi bheartas a cheadaíonn na cuspóirí a chaithfidh sé freastal orthu, agus an srian scríofa síos agus athbhreithnithe. Ní beartas é gach cuspóir a chur le gach údarás; baineann sé an srian a thug brí don síneadh sa chéad áit, agus is gnách go maireann sé níos faide ná an eachtra a spreag é. Coisceann nóta gearr sa phróifíl a chuireann síos ar na róil ar féidir leis an údarás iad a dheimhniú go ndéanfaidh an chéad athsheoladh eile an díospóireacht chéanna a athrá.

Is é an fíorú a mhúchadh an t-aicearra cathaitheach eile, agus athraíonn sé fadhb teastais ina fadhb muiníne. Coinnigh an tseiceáil chuspóra ina háit, deisigh an slabhra agus rith an fíorú céanna as líne arís chun a dheimhniú go bhfreastalaíonn an chonair ar an ról beartaithe anois sula ndéanann tú teagmháil leis an tseirbhís arís.