Սուբյեկտի այլընտրանքային անուններ — ինչպես է նույնականացվում VPN սերվերը

Ձեր հաճախորդը մերժում է վկայական, որի շղթան մաքուր վավերացվում է, և սխալը հայտնում է, որ անունը չի համապատասխանում։ Այդ հաղորդագրությունը չի վերաբերում նրան, թե ով է ստորագրել վկայականը։ Այն վերաբերում է սուբյեկտի այլընտրանքային անունների ընդլայնմանը, որը կրում է այն ինքնությունները, որոնք վկայականին թույլատրվում է ներկայացնել, և նրան, թե արդյոք ձեր կարգավորած ինքնությունը այնտեղ հայտնվում է ճիշտ ձևով։ Վստահությունը պատասխանում է, թե ով է ստորագրել, իսկ անվան ստուգումը՝ թե որ հոսթին է այն պատկանում։

Ինչ է իրականում համեմատում հաճախորդը

Հաճախորդը ձեր կարգավորումը վերածում է հղումային ինքնության՝ հոսթի անուն, հասցե կամ արձանագրությանը հատուկ նույնացուցիչ։ Այնուհետև վկայականում փնտրում է այդ ինքնությունը՝ կիրառելով օգտագործվող արձանագրության համապատասխանեցման կանոնները։ Հաշվի են առնվում միայն նույն տիպի գրառումները, այնպես որ DNS գրառումը չի կարող բավարարել հասցե, և համեմատությունը տեղի է ունենում անկախ նրանից՝ մարդը երբևէ նայում է վկայականին, թե ոչ։

Երբ հղումային ինքնությունը բացակայում է այդ ընդլայնումից, ստուգումը ձախողվում է, նույնիսկ եթե հին ընդհանուր անունը համապատասխանում է։ Վկայականը կարող է օրինականորեն տրվել ընկերությանը և միևնույն ժամանակ սխալ լինել vpn.example.com-ի համար, եթե անունը երբեք չի ներառվել։ Ձախողումը անվան անհամապատասխանություն է, թեև վկայականը իսկական է։

DNS անունները և IP հասցեները առանձին գրառումներ են

Պրոֆիլը, որը ցույց է տալիս 203.0.113.10, մինչդեռ վկայականը թվարկում է միայն vpn.example.com, մերժվում է, քանի որ փաթեթները հասնում են, բայց ինքնությունը չի համապատասխանում։ DNS անունները և բառացի հասցեները պահվում են որպես տարբեր գրառումների տիպեր, և մեկը երբեք չի փոխարինում մյուսին։ Այդ պատճառով ծառայությունը կարող է հասանելի լինել հասցեով և միևնույն ժամանակ անօգտագործելի լինել այդ հասցեն օգտագործող պրոֆիլի միջոցով։

Նիշերի ձևանմուշները նույնպես ենթարկվում են իրենց կանոններին. ձևանմուշը ծածկում է մեկ պիտակ, ոչ թե դոմենի տակ գտնվող բոլոր անունները։ DNS համեմատությունը մեծատառ ու փոքրատառ չի տարբերում, մինչդեռ նույնացուցիչի այլ տիպերը տարբերում են, ուստի էկրանին նույնական թվացող արժեքը կարող է ձախողել խիստ համեմատությունը։ Ստուգեք օգտագործվող ինքնության տիպի համապատասխանեցման կանոնները՝ տողերը աչքով համեմատելու փոխարեն։ Ընդլայնմանը անուն ավելացնելը թողարկման որոշում է, ոչ այն, ինչ կարող է տրամադրել հաճախորդի կարգավորումը։

Ստուգեք այն վկայականը, որն իրականում օգտագործել է կապը

Կարդացեք այն նյութը, որը ներկայացնում է գործող վերջնակետը, ոչ թե ադմինիստրացիայի էջից պատճենված ֆայլ։ Բեռի հավասարակշռիչը կամ փոխարինող օրինակը կարող է ներկայացնել ամիսներ առաջ վերբեռնված վկայականից տարբեր բան, և այդ տարբերությունն անտեսանելի է վահանակում։

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Սուբյեկտի այլընտրանքային անունների բլոկը, թողարկողի շղթան և վավերականության ժամկետը պատկանում են նույն ընթերցմանը, քանի որ անվան անհամապատասխանությունը և ժամկետի լրանալը տարբեր սխալներ են առաջացնում։ Համեմատեք այդ բլոկի յուրաքանչյուր անունը պրոֆիլում կարգավորված ինքնության հետ՝ տառ առ տառ, և նշեք, թե որ տիպին է այն պատկանում։ Հրամանի կրկնումը վերջնակետի հասցեային ձևի նկատմամբ ցույց է տալիս, թե արդյոք վկայականը ծածկում է երկու ինքնությունները, թե միայն մեկը։ Կառավարման վահանակում սուբյեկտի ընկերական ցուցադրումը վավերացման արդյունք չէ և ոչինչ չի ասում այն մասին, թե ինչ անուններ է պարունակում ընդլայնումը։

Ընդհանուր անունը ժամանակակից ճշմարտության աղբյուր չէ

Զննարկիչները և TLS-ի գրադարանների մեծ մասն այժմ անտեսում են ընդհանուր անունը հոսթի անվան համապատասխանեցման համար և դիմում են ընդլայնմանը։ VPN-ի որոշ հաճախորդներ դեռ նախ համեմատում են ընդհանուր անունը կամ վերադառնում դրան, երբ ընդլայնումը բացակայում է, և այդպես մեկ վկայական կարող է անցնել զննարկիչում և ձախողվել հաճախորդում։ Նույն անվան ստուգումը կարող է անցնել մի հարթակում և ձախողվել մյուսում՝ առանց վկայականի ընդհանրապես փոխվելու։

Պարզեք, թե որ դաշտն է կարդում ձեր հաճախորդը, նախքան որոշելը, որ վկայականը սխալ է։ Նույն վերջնակետի երկու հաճախորդներ կարող են տարակարծիք լինել, և այդ տարակարծությունը տեղեկություն է հաճախորդի մասին, ոչ թե վկայականի։

Վերանորոգեք թողարկումը կամ պրոֆիլը, ոչ թե ստուգումը

Երբ պրոֆիլը կառուցվել է կեղծանվան շուրջ, կա՛մ վերաուղղեք այն փաստաթղթավորված հոսթի անվանը, կա՛մ նորից թողարկեք վկայականը կեղծանվան համար և տեղադրեք այն պլանավորված պատուհանում։ Զգուշացումը լռեցնելը երրորդ տարբերակ չէ, քանի որ ստուգումը միակ քայլն է, որը կապում է ստորագրված վկայականը հենց այս հոսթին։ Այն հեռացնելը նշանակում է, որ նույն իշխանության ցանկացած վկայական կարող է փոխարինել այն սերվերին, որին ուզում էիք հասնել։

Թարմացումը պետք է պահպանի նախատեսված անուններն ու նպատակը, այլ ոչ թե պարզապես առաջ տանի ժամկետի ավարտի ամսաթիվը։ Անուն կորցնող թարմացումը նոր ընդհատում է, որը պլանավորված է հաջորդ վերագործարկման համար, և այն սովորաբար գալիս է առանց զգուշացման, քանի որ փոփոխության պահին հին վկայականը դեռ վավեր էր։

Գրանցեք սպասվող ինքնությունը, ներկայացված անունները և դրանք ստորագրած շղթան։ Այդ գրառումը հաջորդ թարմացումը դարձնում է համեմատություն՝ հետաքննության փոխարեն։ Ընդլայնման սահմանումը գտնվում է RFC 5280-ում, եթե պետք է ստուգեք կոնկրետ թողարկում։