SSTP-tanúsítvány eltérés: a név, amelyet a kiszolgálónak fel kell mutatnia

SSTP SSTP-ügyfél csak akkor fogadja el a kiszolgálót, ha a TLS-ellenőrzés sikerül, és ez az ellenőrzés egy nevet, egy láncot és egy célt hasonlít össze. A név a kapcsolati profilból származik, nem abból a címből, amelyet véletlenül pingelni tud. Ha a három közül egy sem illeszkedik, az ügyfél tanúsítványhibát jelez, és soha nem éri el a bejelentkezési felszólítást.

A profil neve dönti el, mit ellenőriznek

Az SSTP TLS-t futtat a TCP 443 fölött, ezért az ügyfél úgy viselkedik, mint bármely más TLS-ügyfél: a profilból veszi a gazdagépnevet, azt a nevet kéri, és ahhoz hasonlítja a tanúsítványt. Ha IP-címet ír a profilba, az összehasonlítás IP-címek összehasonlítása lesz, amelyet a legtöbb kiszolgálótanúsítvány nem teljesít.

Ezért a böngészős teszt sikerülhet, miközben a VPN meghiúsul, mert a böngésző a profiltól eltérő nevet használt. Ugyanez a hasadás akkor jelenik meg, amikor a split-horizon DNS a VPN gazdagépnevét belső címre oldja fel, miközben a böngésző egy nyilvános címre jutott. Először igazítsa a profilt a dokumentált gazdagépnévhez, majd hasonlítsa össze a tanúsítványokat. Bármi más, amit ez előtt módosít, találgatás.

Mit kell tartalmaznia a kiszolgáló tanúsítványának

A modern ügyfelek a tulajdonos alternatív neveinek kiterjesztéséhez hasonlítanak, ezért a gazdagépnévnek ott DNS-bejegyzésként kell szerepelnie. Önmagában egy köznapi név nem elegendő a mai ellenőrzési vermekhez, és a helyettesítő karakter egy címkét fed le, nem bármely általa kitalált aldomaint. Három tanúsítvány mutatja a határt: a helyes név rossz céllal igazolja az azonosságot, majd megbukik a cél ellenőrzésén, a helyes név és cél hiányzó köztes tanúsítvánnyal megbukik a láncon, és az a név, amely csak a köznapi névben szerepel, azelőtt megbukik, hogy a másik kettő bármit is számítana.

A tanúsítványnak szüksége van a kiszolgáló-hitelesítés céljára is, a a Microsoft SSTP-specifikációjában megnevezett kiterjesztett kulcshasználati értékre, azaz a serverAuth-ra az 1.3.6.1.5.5.7.3.1 objektumazonosítóval. A kulcshasználat és az érvényes lánc kiegészíti a készletet. Egy a kiszolgálón létező, a helyes névre kiállított, de csak ügyfélhitelesítésre szóló tanúsítvány továbbra is megbukik.

Ellenőrizze a láncot és az órát a hitelesítő adatok előtt

Idő- és bizalmi hibák ugyanazt a látható eredményt adják, mint egy névbeli eltérés, és mindkettő olcsóbban diagnosztizálható, mint egy jelszóprobléma. Ellenőrizze a kiszolgáló óráját és az ügyfél óráját, majd olvassa a láncot úgy, ahogy az ügyfél látja:

# from the client, or any host that runs openssl
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -ext subjectAltName
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -verify_return_error </dev/null
# on the Windows server that holds the SSTP listener
w32tm /query /status

Az első parancs kiírja a nevet, az érvényességi ablakot és azokat az alternatív neveket, amelyekhez az ügyfél hasonlítani fog. A második a bemutatott lánccal együtt jelenti a hitelesítési hibákat, és ott jelenik meg a hiányzó köztes tanúsítvány. Windowson az időszolgáltatás lekérdezése megmondja, hogy az óra korrigálódik-e, vagy egyszerűen elcsúszott.

Egy belső CA még egy feltételt ad: az ügyfélnek meg kell bíznia ebben a CA-ban. A szervezeti gyökeret a jóváhagyott terjesztési csatornán keresztül telepítse, ne egy csere-tanúsítványt kínáló oldalról, mert ez a döntés az egész bizalmi modell kicsiben.

A kiszolgáló ellenőrzése és a felhasználó hitelesítése egymást követő szakaszok, eltérő hibákkal. A tanúsítványhiba azt jelenti, hogy az ügyfél soha nem bízott a kiszolgálóban, míg az elutasított jelszó azt, hogy bízott benne, és a hitelesítő adatok hibásak voltak. A tanúsítvány-ellenőrzés kikapcsolása a jelszófelszólítás eléréséhez eltávolítja a garanciát ahelyett, hogy megjavítaná. Annak bizonyításához, hogy az útvonal többi része működik, tesztelje ugyanazt a gazdagépnevet és portot egy olyan ügyfélről, amely már bízik a láncban, és hagyja békén a telepített profilt.

Javítsa a nevet vagy a tanúsítványt, majd teszteljen újra

Három feltétel dönti el a javítást. Ha a profil neve hibás, javítsa a profilt, vagy adja hozzá a hiányzó nevet a tanúsítványhoz. Ha a lánc hiányos, telepítse a köztes tanúsítványt a kiszolgálóra. Ha a cél hibás, adja ki újra, ahelyett hogy körülfoltozná.

A változtatás után csatlakozzon újra a támogatott ügyféllel, és erősítse meg, hogy megjelenik a bejelentkezési felszólítás, majd hogy feljön az alagút. Jegyezze fel a jegybe a használt gazdagépnevet, a kiállítót és a lejárati dátumot. Ez a feljegyzés teszi a következő megújítást ütemezett feladattá egy újabb kiesés helyett, és megmutatja a következő embernek, hogy a három feltétel közül melyik volt valójában megsértve.