विषय के वैकल्पिक नाम: VPN सर्वर की पहचान कैसे होती है

आपका क्लाइंट ऐसा प्रमाणपत्र अस्वीकार करता है जिसकी शृंखला साफ़ तौर पर सत्यापित होती है, और त्रुटि कहती है कि नाम मेल नहीं खाता। वह संदेश इस बारे में नहीं है कि प्रमाणपत्र पर किसने हस्ताक्षर किए। वह विषय के वैकल्पिक नामों के एक्सटेंशन के बारे में है, जो उन पहचानों को रखता है जिन्हें प्रमाणपत्र प्रस्तुत कर सकता है, और इस बारे में कि आपने जो पहचान कॉन्फ़िगर की है वह वहाँ सही रूप में दिखती है या नहीं। भरोसा बताता है कि किसने हस्ताक्षर किए, जबकि नाम जाँच बताती है कि यह किस होस्ट का है।

क्लाइंट वास्तव में क्या तुलना करता है

क्लाइंट आपके कॉन्फ़िगरेशन को एक संदर्भ पहचान में बदलता है: होस्टनाम, पता, या प्रोटोकॉल-विशिष्ट पहचानकर्ता। फिर वह प्रमाणपत्र में उस पहचान को खोजता है, इस्तेमाल हो रहे प्रोटोकॉल के मिलान नियम लागू करते हुए। केवल एक ही प्रकार की प्रविष्टियाँ गिनी जाती हैं, इसलिए DNS प्रविष्टि किसी पते को संतुष्ट नहीं कर सकती, और तुलना इस बात से अलग होती है कि कोई इंसान प्रमाणपत्र देखता है या नहीं।

जब उस एक्सटेंशन में संदर्भ पहचान मौजूद नहीं होती, तो जाँच विफल हो जाती है, भले ही पुराना सामान्य नाम मेल खाता हो। प्रमाणपत्र किसी कंपनी को वैध रूप से जारी किया जा सकता है और फिर भी vpn.example.com के लिए गलत हो सकता है अगर नाम कभी शामिल नहीं किया गया। विफलता नाम की बेमेल है, भले ही प्रमाणपत्र असली हो।

DNS नाम और IP पते अलग प्रविष्टियाँ हैं

ऐसा प्रोफ़ाइल जो 203.0.113.10 की ओर इंगित करता है जबकि प्रमाणपत्र केवल vpn.example.com सूचीबद्ध करता है, अस्वीकार कर दिया जाता है, क्योंकि पैकेट पहुँचते हैं पर पहचान मेल नहीं खाती। DNS नाम और शाब्दिक पते अलग प्रविष्टि प्रकारों के रूप में संग्रहीत होते हैं, और एक कभी दूसरे का स्थान नहीं लेता। इसलिए कोई सेवा पते से पहुँचने योग्य हो सकती है और फिर भी उस पते का उपयोग करने वाले प्रोफ़ाइल से अनुपयोगी रह सकती है।

वाइल्डकार्ड भी अपने नियमों का पालन करते हैं: एक वाइल्डकार्ड एक लेबल को कवर करता है, किसी डोमेन के नीचे के हर नाम को नहीं। DNS तुलना केस-संवेदी नहीं है, जबकि अन्य पहचानकर्ता प्रकार संवेदी हैं, इसलिए स्क्रीन पर एक जैसा दिखने वाला मान कड़ी तुलना में विफल हो सकता है। इस्तेमाल हो रहे पहचान प्रकार के मिलान नियम जाँचें, आँख से स्ट्रिंग की तुलना करने के बजाय। एक्सटेंशन में नाम जोड़ना जारी करने का निर्णय है, ऐसी चीज़ नहीं जो क्लाइंट सेटिंग दे सके।

वह प्रमाणपत्र जाँचें जो कनेक्शन ने वास्तव में इस्तेमाल किया

लाइव एंडपॉइंट जो सामग्री प्रस्तुत करता है वह पढ़ें, प्रशासन पृष्ठ से कॉपी की गई फ़ाइल नहीं। लोड बैलेंसर या प्रतिस्थापन इंस्टेंस महीनों पहले अपलोड किए गए प्रमाणपत्र से कुछ अलग प्रस्तुत कर सकता है, और वह अंतर कंसोल में अदृश्य है।

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

विषय के वैकल्पिक नामों का ब्लॉक, जारीकर्ता शृंखला और वैधता अवधि एक ही पठन में आते हैं, क्योंकि नाम की बेमेल और समाप्ति अलग-अलग त्रुटियाँ पैदा करती हैं। उस ब्लॉक के हर नाम की तुलना प्रोफ़ाइल में कॉन्फ़िगर की गई पहचान से अक्षर-दर-अक्षर करें और नोट करें कि वह किस प्रकार का है। एंडपॉइंट के पता-स्वरूप के विरुद्ध कमांड दोहराने से दिखता है कि प्रमाणपत्र दोनों पहचानों को कवर करता है या केवल एक को। प्रबंधन कंसोल में मैत्रीपूर्ण विषय प्रदर्शन सत्यापन परिणाम नहीं है और इस बारे में कुछ नहीं कहता कि एक्सटेंशन में कौन से नाम हैं।

सामान्य नाम आधुनिक सत्य का स्रोत नहीं है

ब्राउज़र और अधिकांश TLS लाइब्रेरी अब होस्टनाम मिलान के लिए सामान्य नाम को नज़रअंदाज़ करते हैं और एक्सटेंशन से परामर्श लेते हैं। कुछ VPN क्लाइंट अब भी पहले सामान्य नाम की तुलना करते हैं या एक्सटेंशन न होने पर उसी पर लौट जाते हैं, और इसी तरह एक प्रमाणपत्र ब्राउज़र में पास होकर क्लाइंट में विफल हो सकता है। वही नाम जाँच एक प्लेटफ़ॉर्म पर पास होकर दूसरे पर विफल हो सकती है, बिना प्रमाणपत्र में कोई बदलाव हुए।

यह तय करने से पहले कि प्रमाणपत्र गलत है, पता लगाएँ कि आपका क्लाइंट कौन सा फ़ील्ड पढ़ता है। एक ही एंडपॉइंट पर दो क्लाइंट असहमत हो सकते हैं, और वह असहमति प्रमाणपत्र के बारे में नहीं, क्लाइंट के बारे में जानकारी है।

जाँच नहीं, जारी करना या प्रोफ़ाइल ठीक करें

जब कोई प्रोफ़ाइल उपनाम के इर्द-गिर्द बना हो, तो या तो उसे प्रलेखित होस्टनाम की ओर पुनर्निर्देशित करें या उपनाम के लिए प्रमाणपत्र फिर से जारी करें और नियोजित समय में उसे तैनात करें। चेतावनी को शांत करना तीसरा विकल्प नहीं है, क्योंकि जाँच ही वह एकमात्र कदम है जो हस्ताक्षरित प्रमाणपत्र को इस विशिष्ट होस्ट से बाँधता है। उसे हटाने का अर्थ है कि उसी प्राधिकरण का कोई भी प्रमाणपत्र उस सर्वर की जगह ले सकता है जिस तक आप पहुँचना चाहते थे।

नवीनीकरण को इच्छित नाम और उद्देश्य संरक्षित रखने चाहिए, केवल समाप्ति तिथि आगे बढ़ाने के बजाय। नाम छोड़ देने वाला नवीनीकरण अगले पुनःआरंभ के लिए निर्धारित नया व्यवधान है, और वह आमतौर पर बिना चेतावनी के आता है क्योंकि बदलाव करते समय पुराना प्रमाणपत्र अभी भी वैध था।

अपेक्षित पहचान, प्रस्तुत किए गए नाम और उन पर हस्ताक्षर करने वाली शृंखला दर्ज करें। वह अभिलेख अगले नवीनीकरण को जाँच-पड़ताल के बजाय तुलना में बदल देता है। एक्सटेंशन की परिभाषा RFC 5280 में है यदि आपको कोई विशिष्ट जारी करना जाँचना हो।