OpenVPN verify-x509-name: subject, name અને name-prefix

પહેલા મેળનો પ્રકાર વાંચો, પછી લખાણ: એક verify-x509-name સૂચના સાચી લાગી શકે અને તેમ છતાં એવું સર્ટિફિકેટ સ્વીકારી શકે જેના પર તમે ભરોસો કરવા માંગતા ન હતા. એકસમાન અપેક્ષિત લખાણ પણ જુદા પ્રકારો ધરાવતી બે લીટીઓ જુદી જરૂરિયાતો છે. પહેલા પ્રકાર વાંચો, પછી લખાણ. સૂચનાને જોડાણ પરની વધુ એક શરત તરીકે ગણો, આખી તપાસ તરીકે નહીં.

વિકલ્પ ખરેખર શું દાવો કરે છે

સૂચના એવી ઓળખ નામ આપે છે જે સામેની બાજુના સર્ટિફિકેટમાં હોવી જોઈએ. જ્યારે સરખામણી નિષ્ફળ જાય, OpenVPN હેન્ડશેક રદ કરે છે અને કોઈ ટનલ ઉપર આવતી નથી. પ્રોફાઇલમાં બાકીનું બધું હજી લાગુ પડે છે: સર્ટિફિકેટ વિશ્વસનીય CA સુધી ચેઇન થવું જોઈએ અને ભૂમિકા તપાસ પાસ થવી જોઈએ, તેથી આ વધારાની શરત છે, વિકલ્પ નહીં. જે પ્રોફાઇલ નામની અપેક્ષા પૂરી કરે પણ ભૂમિકા તપાસમાં નિષ્ફળ જાય તે હજી તૂટેલું છે, અને લોગ સામાન્ય રીતે એમ કહે છે.

તે બ્રાઉઝર જે હોસ્ટનેમ માન્યતા કરે છે તેનાથી પણ અલગ છે. બ્રાઉઝર પોતાના TLS સ્ટેકના નિયમો હેઠળ નામોને subjectના વૈકલ્પિક નામો સાથે મેળવે છે, જ્યારે OpenVPN તમે પસંદ કરેલા પ્રકાર સાથે સર્ટિફિકેટનું એક ક્ષેત્ર સરખાવે છે. તેથી બ્રાઉઝર-શૈલીનું હોસ્ટનેમ સૂચનામાં પેસ્ટ કરવાથી અસંગતિ આવી શકે, જ્યારે સર્ટિફિકેટ ખરેખર સેવાને આવરી લે છે.

subject: આખું વિશિષ્ટ નામ, અક્ષરે અક્ષરે

જ્યારે કોઈ પ્રકાર લખાયેલો ન હોય ત્યારે મૂળભૂત subject છે, અને અપેક્ષિત મૂલ્યે સર્ટિફિકેટનું આખું subject DN પુનઃઉત્પન્ન કરવું જોઈએ. ક્ષેત્રોનો ક્રમ, વિભાજકો, જગ્યાઓ અને escaping બધું ગણાય છે, કારણ કે સરખામણી એન્કોડ થયેલી સ્ટ્રિંગ પર ચાલે છે. પ્રકાર છોડી દો તો તમે ત્રણમાંની સૌથી કડક સરખામણી પસંદ કરી છે. દેખાવનો તફાવત બચાવે એવું કોઈ સામાન્યીકરણ પગલું નથી. પહેલા નવીકરણ પહેલા આ જાણવા જેવું છે, પછી નહીં.

એ કડકાઈ નવીકરણો દરમિયાન નાજુક છે. જે CA લક્ષણોનું પુનર્ગઠન કરે, વધારાનું ક્ષેત્ર દાખલ કરે અથવા મૂલ્ય escapingની રીત બદલે તે એ જ મશીન માટે નવી સ્ટ્રિંગ બનાવે છે, અને વર્ષો ચાલેલી સૂચના આગલા ઇશ્યુમાં નિષ્ફળ થવા લાગે છે. સ્વીકૃત DN બદલાવ-રેકોર્ડમાં રાખવાથી આગલું નવીકરણ એક સરળ તફાવત બની જાય છે. જ્યાં ઓપરેટર આખું DN પ્રકાશિત કરે અને તેનો આકાર ખાતરી કરે, ત્યાં subject વ્યાજબી પસંદગી છે; બીજે નાનું ક્ષેત્ર સાચું રાખવું સહેલું છે.

name: એક ક્ષેત્ર, સામાન્ય રીતે સામાન્ય નામ

પ્રકાર name subjectના એક ક્ષેત્રની સરખામણી કરે છે. પ્રોફાઇલ બીજું કંઈ ન કહે તો એ ક્ષેત્ર સામાન્ય નામ છે, અને અપેક્ષિત મૂલ્ય બરાબર એ જ ક્ષેત્ર છે, તેની આસપાસનું DN નહીં.

ઝબક એ છે કે આધુનિક સર્ટિફિકેટ સેવાનું નામ હંમેશા CNમાં મૂકતા નથી. ઘણાં તેને subjectના વૈકલ્પિક નામમાં રાખે છે અને CN ખાલી કે સામાન્ય છોડે છે, તેથી બ્રાઉઝર સ્વીકારે એવું સર્ટિફિકેટ પણ આ સરખામણીમાં નિષ્ફળ જઈ શકે. અપેક્ષા લખતાં પહેલાં તમને ખરેખર આપવામાં આવેલું સર્ટિફિકેટ તપાસો અને પ્રોફાઇલ કયું ક્ષેત્ર પસંદ કરે છે તેની ખાતરી કરો. ખાલી CNને નામ સાથે સરખાવવું એ અસંગતિ છે, કન્ફિગરેશન અકસ્માત નહીં.

name-prefix: રચનાથી પહોળું, તેથી વ્યાપ મર્યાદિત કરો

એક name-prefix પ્રકારની અપેક્ષા પસંદ કરેલા ક્ષેત્રની શરૂઆત સાથે મેળ ખાય છે. તે નામકરણ યોજના માટે અનુકૂળ છે અને વહેંચાયેલી કોઈપણ વસ્તુ માટે જોખમી છે.

અપેક્ષા તરીકે vpn.example હોય તો, બંને vpn.example.com અને vpn.example.net પસાર થાય, જો બાકીની ચેઇન વિશ્વસનીય હોય. પહોળાઈ એ લક્ષણ છે, અને એ જ ભાગ છે જે લખિતમાં વાજબી ઠેરવવો પડે. ઉપસર્ગ વ્યાજબી છે જ્યારે CA અને નામકરણ યોજના તમારી હોય, અને ઘણો નબળો જ્યારે જાહેર CA એ જ નમૂનામાં ઇશ્યુ કરે. યોજનાને લવચીકતા જોઈએ તો ક્લાયન્ટ તપાસ પહોળી કરવાને બદલે CA પર મર્યાદિત કરો.

ઓળખકર્તામાંથી પ્રકાર પસંદ કરો, પછી સાબિત કરો

ઓપરેટર જે ઓળખ ધારે છે ત્યાંથી પાછળ કામ કરો. જો તે આખું DN પ્રકાશિત કરે અને સ્થિર રાખે, subject તે વ્યક્ત કરે છે. જો સેવાને સામાન્ય નામથી ઓળખે, તો વાપરો name. જો નામકરણ યોજના ધરાવે અને તેની આખી જગ્યા સ્વીકારે, name-prefix તે સ્પષ્ટ કહે છે.

નવીકરણ એ જ જગ્યા છે જ્યાં સૂચના કસોટીમાં આવે છે. મંજૂર ઓળખને જૂની ફાઇલ સાથે નહીં, નવા સર્ટિફિકેટ સાથે સરખાવો, કારણ કે નવું એન્ડપોઇન્ટ સરનામું નવી સર્ટિફિકેટ ઓળખ નથી અર્થ કરતું. જાણીતું સરનામું જવાબ આપે છે એટલા માટે સૂચના ન દૂર કરો: પહોંચ અને ધારેલો સામેનો પક્ષ જુદી બાબતો છે, અને સરનામું ફક્ત એટલું સાબિત કરે છે કે કંઈકે જવાબ આપ્યો. સચોટ ભૂલ અને નામની જાહેર વિગતો સ્વચ્છ અહેવાલમાં નોંધો, કારણ કે નામની અસંગતિ કોઈ પણ ખાનગી કી સામગ્રી વિના દર્શાવી શકાય છે.

સમર્થિત સુધારા પછી, દરેક ધારેલી તપાસ ચાલુ રાખીને ફરી જોડાઓ અને તમને ખરેખર જરૂરી એ સંસાધન ચકાસો. સફળતા એટલે ધારેલો સર્વર સ્વીકારાયો, કોઈ સર્ટિફિકેટ બળપૂર્વક પસાર કરાયું નહીં. સત્તાવાર માર્ગદર્શિકા OpenVPN 2.6 manual ત્રણ પ્રકારો અને તેમની વિશ્વાસ-નોંધોનું દસ્તાવેજીકરણ કરે છે, અને જ્યારે વેન્ડર ઇન્ટરફેસ પ્રોફાઇલ સાથે અસહમત હોય ત્યારે એ જ ઉલ્લેખનો સંદર્ભ છે.