OpenVPN verify-x509-name: subject, name og name-prefix

Lestu fyrst samsvörunartegundina og svo textann: verify-x509-name tilskipun getur litið rétt út og samt tekið við skírteini sem þú ætlaðir ekki að treysta. Tvær línur með sama vænta texta en ólíkar tegundir eru ólíkar kröfur. Lestu tegundina fyrst og svo textann. Líttu á tilskipunina sem eitt skilyrði enn á tengingunni, ekki sem alla athugunina.

Hvað valkosturinn fullyrðir í raun

Tilskipunin nefnir auðkenni sem skírteini gagnaðilans verður að bera. Þegar samanburðurinn mistekst, OpenVPN stöðvar handabandið og enginn göng kemur upp. Allt annað í sniðinu gildir áfram: skírteinið verður að keðjast að treystu CA og hlutverksprófið verður að standast, svo þetta er viðbótarskilyrði en ekki staðgengill. Snið sem uppfyllir nafnavæntinguna og fellur á hlutverksprófinu er enn brotið, og annálin segir það yfirleitt.

Það er líka ólíkt hýsilnafna-prófun sem vafri framkvæmir. Vafri passar nöfn við önnur nöfn subject samkvæmt reglum TLS-stafsins, en OpenVPN ber saman eitt skírteinissvið með þeirri tegund sem þú valdir. Þess vegna getur límt vafrastíls hýsilnafn í tilskipunina valdið misræmi jafnvel þótt skírteinið nái raunverulega yfir þjónustuna.

subject: fulla aðgreinda nafnið, staf fyrir staf

Þegar engin tegund er skrifuð er sjálfgefið subject, og vænta gildið verður að endurskapa allt subject DN skírteinisins. Sviðsröð, aðgreinar, bil og escaping skipta öllu máli, því samanburðurinn gengur á strengnum eins og hann er kóðaður. Ef þú sleppir tegundinni hefur þú valið strangasta af þremur samanburðunum. Ekkert normaliseringarskref bjargar snyrtilegum mun. Það er þess virði að vita fyrir fyrstu endurnýjun, ekki eftir hana.

Sú harka er brothætt milli endurnýjana. CA sem endurraðar eigindum, setur inn aukasvið eða breytir því hvernig gildi er escaping-að framleiðir nýjan streng fyrir sömu vél, og tilskipun sem virkaði í ár byrjar að mistakast við næstu útgáfu. Að halda samþykktu DN í breytingaskránni gerir næstu endurnýjun að mun. Þar sem stjórnandinn birtir fullt DN og ábyrgist lögun þess er subject sanngjarnt val; annars staðar er þrengra svið auðveldara að halda sönnu.

name: eitt svið, venjulega algenga nafnið

Tegundin name ber saman eitt subject-svið. Nema sniðið segi annað er það svið algenga nafnið, og vænta gildið er nákvæmlega það svið, ekki DN-ið í kring.

Gildran er að nútíma skírteini setja ekki alltaf þjónustunafn í CN. Margir bera það í öðru nafni subject og láta CN vera autt eða almennt, svo skírteini sem vafri tekur við getur samt fallið á þessum samanburði. Skoðaðu skírteinið sem þér var í raun gefið út áður en þú skrifar væntinguna og staðfestu hvaða svið sniðið velur. Autt CN borið saman við nafn er misræmi, ekki stillingarslys.

name-prefix: breitt að hönnun, svo afmarkaðu umfangið

Vænting af tegundinni name-prefix passar við upphaf valda sviðsins. Það er þægilegt fyrir nafnakerfi og hættulegt fyrir allt sem er deilt.

Með vpn.example sem væntingu myndu bæði vpn.example.com og vpn.example.net standast, svo framarlega sem afgangur keðjunnar er treyst. Breiddin er eiginleikinn, og líka sá hluti sem þarf að rökstyðja skriflega. Forskeyti er sanngjarnt þegar CA og nafnakerfið eru þín, og mun veikara þegar opinbert CA gefur út í sama mynstri. Ef kerfið þarf sveigjanleika skaltu takmarka það hjá CA í stað þess að víkka biðlaraprófið.

Veldu tegundina út frá auðkenninu og sannaðu hana svo

Vinnið afturábak frá auðkenninu sem stjórnandinn hyggst nota. Ef hann birtir fullt DN og heldur því stöðugu, subject lýsir því. Ef hann nefnir þjónustuna með algenga nafninu, notið name. Ef hann á nafnakerfi og tekur við öllu rúmi þess, name-prefix segir það skýrt.

Endurnýjanir eru þar sem tilskipunin er prófuð. Berðu samþykkt auðkenni við nýja skírteinið í stað gamla skrárinnar, því ný endapunktssíða þýðir ekki nýtt skírteinisauðkenni. Ekki eyða tilskipuninni bara af því að kunnuglegt fang svarar: aðgengi og ætlaði gagnaðilinn eru ólík staðreyndir, og fangið sannar aðeins að eitthvað hafi svarað. Skráðu nákvæmu villuna og opinberu nafnaupplýsingarnar í hreinsaða skýrslu, því hægt er að sýna nafnamisræmi án nokkurs einkalykilsefnis.

Eftir studda leiðréttingu skaltu tengjast aftur með allar ætlaðar athuganir virkar og sannprófa auðlindina sem þú þarft í raun. Árangur þýðir að ætlaði þjónninn var samþykktur, ekki að einhverju skírteini hafi verið þröngvað í gegn. Opinbera handbókin OpenVPN 2.6 manual skjalfestir þrjár tegundirnar og traustsathugasemdir þeirra, og hún er tilvísunin sem vitnað er í þegar viðmót seljanda greinir á við sniðið.