Nomes alternativos do suxeito: como se identifica un servidor VPN

O seu cliente rexeita un certificado cuxa cadea se valida limpiamente, e o erro di que o nome non coincide. Esa mensaxe non trata de quen asinou o certificado. Trata da extensión de nomes alternativos do suxeito, que leva as identidades que o certificado pode representar, e de se a identidade que vostede configurou aparece alí na forma correcta. A confianza responde quen o asinou, mentres que a comprobación do nome responde a que host pertence.

Que compara realmente o cliente

O cliente converte a súa configuración nunha identidade de referencia: un nome de host, un enderezo ou un identificador específico do protocolo. Despois busca esa identidade no certificado, aplicando as regras de coincidencia do protocolo en uso. Só contan as entradas do mesmo tipo, así que unha entrada DNS non pode satisfacer un enderezo, e a comparación ocorre tanto se alguén mira o certificado coma se non.

Cando a identidade de referencia falta nesa extensión, a comprobación falla aínda que o nome común anterior coincida. Un certificado pode emitirse lexitimamente a unha empresa e aínda así ser o incorrecto para vpn.example.com se o nome nunca se incluíu. O fallo é unha discrepancia de nome aínda que o certificado sexa auténtico.

Os nomes DNS e os enderezos IP son entradas separadas

Un perfil que apunta a 203.0.113.10 mentres o certificado só lista vpn.example.com é rexeitado, porque os paquetes chegan pero a identidade non coincide. Os nomes DNS e os enderezos literais almacénanse como tipos de entrada distintos, e un nunca substitúe o outro. Por iso un servizo pode ser accesible por enderezo e aínda así inutilizable mediante un perfil que use ese enderezo.

Os comodíns tamén obedecen as súas propias regras: un comodín cobre unha soa etiqueta, non todos os nomes baixo un dominio. A comparación DNS non distingue maiúsculas de minúsculas, mentres que outros tipos de identificador si, así que un valor que parece idéntico na pantalla pode fallar unha comparación estrita. Comprobe as regras de coincidencia do tipo de identidade en uso en lugar de comparar cadeas a ollo. Engadir un nome á extensión é unha decisión de emisión, non algo que poida achegar un axuste do cliente.

Inspeccione o certificado que a conexión usou realmente

Lea o material que presenta o punto final activo, non un ficheiro copiado dunha páxina de administración. Un balanceador de carga ou unha instancia de substitución pode presentar algo distinto do certificado que se subiu hai meses, e esa diferenza é invisible nunha consola.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

O bloque de nomes alternativos do suxeito, a cadea do emisor e o período de validez pertencen a unha mesma lectura, porque unha discrepancia de nome e unha caducidade producen erros distintos. Compare cada nome dese bloque coa identidade configurada no perfil, carácter por carácter, e anote de que tipo é. Repetir o comando contra a forma de enderezo do punto final mostra se o certificado cobre ambas as identidades ou só unha. Unha visualización amigable do suxeito nunha consola de xestión non é un resultado de validación e non di nada sobre que nomes contén a extensión.

O nome común non é a fonte moderna da verdade

Os navegadores e a maioría das bibliotecas TLS agora ignoran o nome común para a coincidencia de nomes de host e consultan a extensión. Algúns clientes VPN aínda comparan primeiro o nome común ou recorren a el cando a extensión está ausente, e así un certificado pode pasar un navegador e fallar nun cliente. A mesma comprobación de nome pode pasar nunha plataforma e fallar noutra sen que o certificado cambie en absoluto.

Averigüe que campo le o seu cliente antes de decidir que o certificado é incorrecto. Dous clientes no mesmo punto final poden discrepar, e a discrepancia é información sobre o cliente, non sobre o certificado.

Repare a emisión ou o perfil, non a comprobación

Cando un perfil se construíu arredor dun alias, ou ben rediríxao ao nome de host documentado ou ben volva emitir o certificado para o alias e despregueino nunha xanela planificada. Silenciar o aviso non é unha terceira opción, porque a comprobación é o único paso que liga un certificado asinado a este host concreto. Eliminala significa que calquera certificado da mesma autoridade pode ocupar o lugar do servidor que pretendía alcanzar.

A renovación debería preservar os nomes e o propósito previstos en lugar de só adiantar a data de caducidade. Unha renovación que perde un nome é unha nova interrupción programada para o próximo reinicio, e adoita chegar sen aviso porque o certificado antigo aínda era válido cando se fixo o cambio.

Rexistre a identidade esperada, os nomes que se presentaron e a cadea que os asinou. Ese rexistro converte a próxima renovación nunha comparación en lugar dunha investigación. A definición da extensión está en RFC 5280 se necesita comprobar unha emisión concreta.