Tárgy alternatív nevei: hogyan azonosítható egy VPN-kiszolgáló

Az ügyfél visszautasít egy tanúsítványt, amelynek lánca tisztán érvényesül, és a hiba azt mondja, hogy a név nem egyezik. Ez az üzenet nem arról szól, ki írta alá a tanúsítványt. A tárgy alternatív neveinek kiterjesztéséről szól, amely azokat az identitásokat hordozza, amelyeket a tanúsítvány képviselhet, és arról, hogy az általad beállított identitás ott megjelenik-e a megfelelő formában. A bizalom azt válaszolja meg, ki írta alá, míg a névellenőrzés azt, melyik gazdagéphez tartozik.

Mit hasonlít össze valójában az ügyfél

Az ügyfél a konfigurációdat referenciaindentitássá alakítja: gazdagépnév, cím vagy protokollspecifikus azonosító. Ezután megkeresi ezt az identitást a tanúsítványban, alkalmazva a használt protokoll egyeztetési szabályait. Csak az azonos típusú bejegyzések számítanak, ezért egy DNS-bejegyzés nem elégíthet ki egy címet, és az összehasonlítás attól függetlenül megtörténik, hogy valaki ránéz-e a tanúsítványra.

Ha a referenciaindentitás hiányzik ebből a kiterjesztésből, az ellenőrzés meghiúsul, még akkor is, ha a régi közös név egyezik. Egy tanúsítvány jogszerűen kiállítható egy vállalatnak, és mégis rossz lehet a vpn.example.com számára, ha a nevet soha nem vették fel. A hiba név-eltérés, pedig a tanúsítvány valódi.

A DNS-nevek és az IP-címek külön bejegyzések

Egy profil, amely a 203.0.113.10 címre mutat, miközben a tanúsítvány csak a vpn.example.com bejegyzést tartalmazza, elutasításra kerül, mert a csomagok megérkeznek, de az identitás nem egyezik. A DNS-nevek és a szó szerinti címek különböző bejegyzéstípusként tárolódnak, és az egyik soha nem helyettesíti a másikat. Ezért egy szolgáltatás elérhető lehet cím alapján, és mégsem használható egy olyan profil révén, amely ezt a címet használja.

A helyettesítő karakterek is a saját szabályaikat követik: egy helyettesítő karakter egy címkét fed le, nem pedig egy tartomány alatti minden nevet. A DNS-összehasonlítás nem kis- és nagybetűérzékeny, míg más azonosítótípusok igen, ezért egy a képernyőn azonosnak tűnő érték is elbukhat egy szigorú összehasonlításon. Ellenőrizd a használt identitástípus egyeztetési szabályait ahelyett, hogy szemmel hasonlítanád össze a karakterláncokat. Egy név hozzáadása a kiterjesztéshez kiállítási döntés, nem olyasmi, amit egy ügyfélbeállítás nyújthat.

Vizsgáld meg a tanúsítványt, amelyet a kapcsolat valóban használt

Az élő végpont által bemutatott anyagot olvasd, ne egy adminisztrációs oldalról másolt fájlt. Egy terheléselosztó vagy egy cserepéldány mást mutathat, mint a hónapokkal korábban feltöltött tanúsítvány, és ez a különbség a konzolon láthatatlan.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

A tárgy alternatív neveinek blokkja, a kiállítói lánc és az érvényességi idő egyazon olvasásba tartozik, mert a név-eltérés és a lejárat különböző hibákat eredményez. Hasonlítsd össze a blokk minden nevét a profilban beállított identitással, karakterről karakterre, és jegyezd fel, milyen típusú. A parancs megismétlése a végpont címformájára megmutatja, hogy a tanúsítvány mindkét identitást lefedi-e, vagy csak az egyiket. A kezelőkonzolban megjelenő barátságos tárgynézet nem érvényesítési eredmény, és semmit sem mond arról, milyen neveket tartalmaz a kiterjesztés.

A közös név nem a modern igazságforrás

A böngészők és a legtöbb TLS-könyvtár ma már figyelmen kívül hagyja a közös nevet a gazdagépnév-egyeztetésnél, és a kiterjesztést kérdezi. Egyes VPN-ügyfelek még mindig először a közös nevet hasonlítják össze, vagy arra esnek vissza, ha a kiterjesztés hiányzik, és így egy tanúsítvány átmehet egy böngészőn, és elbukhat egy ügyfélen. Ugyanaz a névellenőrzés átmehet az egyik platformon, és elbukhat a másikon anélkül, hogy a tanúsítvány egyáltalán megváltozna.

Derítsd ki, melyik mezőt olvassa az ügyfeled, mielőtt úgy döntesz, hogy a tanúsítvány hibás. Két ügyfél ugyanazon a végponton egyet nem érthet, és ez a nézeteltérés az ügyfélről szól, nem a tanúsítványról.

A kiállítást vagy a profilt javítsd, ne az ellenőrzést

Ha egy profil egy alias köré épült, vagy irányítsd át a dokumentált gazdagépnévre, vagy állítsd ki újra a tanúsítványt az alias számára, és telepítsd egy tervezett ablakban. A figyelmeztetés elhallgattatása nem harmadik lehetőség, mert az ellenőrzés az egyetlen lépés, amely egy aláírt tanúsítványt ehhez a konkrét gazdagéphez köt. Eltávolítása azt jelenti, hogy ugyanazon hatóság bármely tanúsítványa helyettesítheti a kiszolgálót, amelyet el akartál érni.

A megújításnak meg kell őriznie a szándékolt neveket és célt, nem csupán előre kell tolnia a lejárati dátumot. Egy nevet elhagyó megújítás új kiesés, amelyet a következő újraindításra ütemeztek, és általában figyelmeztetés nélkül érkezik, mert a régi tanúsítvány a változtatás idején még érvényes volt.

Rögzítsd a várt identitást, a bemutatott neveket és az azokat aláíró láncot. Ez a feljegyzés összehasonlítássá teszi a következő megújítást vizsgálat helyett. A kiterjesztés meghatározása az RFC 5280 dokumentumban található, ha egy konkrét kiállítást kell ellenőrizned.