Nama Alternatif Subjek: bagaimana server VPN diidentifikasi

Klien Anda menolak sertifikat yang rantainya tervalidasi bersih, dan galatnya menyatakan nama tidak cocok. Pesan itu bukan tentang siapa yang menandatangani sertifikat. Pesan itu tentang ekstensi nama alternatif subjek, yang memuat identitas yang boleh diwakili sertifikat, dan tentang apakah identitas yang Anda konfigurasi muncul di sana dalam bentuk yang benar. Kepercayaan menjawab siapa yang menandatanganinya, sedangkan pemeriksaan nama menjawab host mana yang dimilikinya.

Apa yang sebenarnya dibandingkan klien

Klien mengubah konfigurasi Anda menjadi identitas acuan: nama host, alamat, atau pengenal khusus protokol. Lalu ia mencari identitas itu di sertifikat, dengan menerapkan aturan pencocokan protokol yang dipakai. Hanya entri bertipe sama yang dihitung, sehingga entri DNS tidak dapat memenuhi alamat, dan perbandingan terjadi entah ada orang yang melihat sertifikat atau tidak.

Ketika identitas acuan tidak ada di ekstensi itu, pemeriksaan gagal meskipun nama umum lama cocok. Sertifikat dapat diterbitkan secara sah untuk sebuah perusahaan dan tetap salah untuk vpn.example.com jika nama itu tidak pernah disertakan. Kegagalan itu adalah ketidakcocokan nama meskipun sertifikatnya asli.

Nama DNS dan alamat IP adalah entri terpisah

Profil yang mengarah ke 203.0.113.10 sementara sertifikat hanya mencantumkan vpn.example.com ditolak, karena paket tiba tetapi identitasnya tidak cocok. Nama DNS dan alamat literal disimpan sebagai tipe entri yang berbeda, dan yang satu tidak pernah menggantikan yang lain. Itulah sebabnya layanan bisa terjangkau lewat alamat dan tetap tidak terpakai lewat profil yang memakai alamat itu.

Karakter pengganti juga mengikuti aturannya sendiri: satu karakter pengganti mencakup satu label, bukan setiap nama di bawah domain. Perbandingan DNS tidak peka huruf besar-kecil, sedangkan tipe pengenal lain peka, sehingga nilai yang tampak identik di layar bisa gagal dalam perbandingan ketat. Periksa aturan pencocokan untuk tipe identitas yang dipakai alih-alih membandingkan string dengan mata. Menambahkan nama ke ekstensi adalah keputusan penerbitan, bukan sesuatu yang bisa disediakan pengaturan klien.

Periksa sertifikat yang benar-benar dipakai koneksi

Baca materi yang disajikan endpoint aktif, bukan berkas yang disalin dari halaman administrasi. Penyeimbang beban atau instans pengganti bisa menyajikan sesuatu yang berbeda dari sertifikat yang diunggah berbulan-bulan lalu, dan perbedaan itu tidak terlihat di konsol.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blok nama alternatif subjek, rantai penerbit, dan masa berlaku semuanya termasuk dalam satu pembacaan, karena ketidakcocokan nama dan kedaluwarsa menghasilkan galat berbeda. Bandingkan setiap nama di blok itu dengan identitas yang dikonfigurasi di profil, karakter demi karakter, dan catat tipenya. Mengulangi perintah terhadap bentuk alamat endpoint menunjukkan apakah sertifikat mencakup kedua identitas atau hanya satu. Tampilan subjek yang ramah di konsol manajemen bukan hasil validasi dan tidak mengatakan apa pun tentang nama yang dimuat ekstensi.

Nama umum bukan sumber kebenaran modern

Peramban dan sebagian besar pustaka TLS kini mengabaikan nama umum untuk pencocokan nama host dan menanyakan ekstensi. Sebagian klien VPN masih membandingkan nama umum lebih dulu atau beralih ke sana saat ekstensi tidak ada, dan begitulah satu sertifikat bisa lolos di peramban dan gagal di klien. Pemeriksaan nama yang sama bisa lolos di satu platform dan gagal di platform lain tanpa sertifikat berubah sama sekali.

Cari tahu bidang mana yang dibaca klien Anda sebelum memutuskan sertifikatnya salah. Dua klien pada endpoint yang sama dapat berbeda pendapat, dan perbedaan itu adalah informasi tentang klien, bukan tentang sertifikat.

Perbaiki penerbitan atau profil, bukan pemeriksaan

Ketika profil dibangun di sekitar alias, arahkan ulang ke nama host yang terdokumentasi atau terbitkan ulang sertifikat untuk alias dan gelar di jendela yang direncanakan. Membungkam peringatan bukan opsi ketiga, karena pemeriksaan adalah satu-satunya langkah yang mengikat sertifikat bertanda tangan ke host tertentu ini. Menghapusnya berarti sertifikat apa pun dari otoritas yang sama dapat menggantikan server yang ingin Anda capai.

Pembaruan harus mempertahankan nama dan tujuan yang dimaksud alih-alih sekadar memajukan tanggal kedaluwarsa. Pembaruan yang menghilangkan nama adalah gangguan baru yang dijadwalkan pada mulai ulang berikutnya, dan biasanya datang tanpa peringatan karena sertifikat lama masih berlaku saat perubahan dilakukan.

Catat identitas yang diharapkan, nama yang disajikan, dan rantai yang menandatanganinya. Catatan itu mengubah pembaruan berikutnya menjadi perbandingan alih-alih penyelidikan. Definisi ekstensi ada di RFC 5280 jika Anda perlu memeriksa penerbitan tertentu.