Önnur nöfn viðfangsefnis: hvernig VPN-þjónn er auðkenndur

Biðlarinn þinn hafnar vottorði þar sem keðjan staðfestist hreint, og villan segir að nafnið passi ekki. Sú skilaboð snúast ekki um hver skrifaði undir vottorðið. Þau snúast um viðbótina með öðrum nöfnum viðfangsefnis, sem ber auðkennin sem vottorðinu er heimilt að tákna, og um hvort auðkennið sem þú settir upp birtist þar í réttri mynd. Traust svarar því hver skrifaði undir, en nafnaprófið svarar því hvaða hýsil það tilheyrir.

Hvað biðlarinn ber í raun saman

Biðlarinn umbreytir uppsetningunni þinni í tilvísunarauðkenni: hýsilnafn, tölu eða auðkenni sem er sérstakt fyrir samskiptaregluna. Síðan leitar hann að því auðkenni í vottorðinu og beitir samsvörunarreglum þeirrar samskiptareglu sem er í notkun. Aðeins færslur af sömu gerð teljast, svo DNS-færsla getur ekki fullnægt tölu, og samanburðurinn fer fram hvort sem einhver lítur á vottorðið eða ekki.

Þegar tilvísunarauðkennið vantar úr þeirri viðbót mistekst prófið, jafnvel þótt gamla sameiginlega nafnið passi. Vottorð getur verið gefið út löglega fyrir fyrirtæki og samt verið rangt fyrir vpn.example.com ef nafnið var aldrei haft með. Mistökin eru nafnamisræmi þótt vottorðið sé ósvikið.

DNS-nöfn og IP-tölur eru aðskildar færslur

Snið sem bendir á 203.0.113.10 meðan vottorðið telur aðeins upp vpn.example.com er hafnað, því pakkarnir berast en auðkennið passar ekki. DNS-nöfn og tölur í bókstaflegri mynd eru geymd sem ólíkar færslugerðir, og önnur kemur aldrei í stað hinnar. Þess vegna getur þjónusta verið aðgengileg eftir tölu og samt ónothæf í gegnum snið sem notar þá tölu.

Jokerteikn fylgja einnig eigin reglum: jokerteikn nær yfir eitt merki, ekki hvert nafn undir léninu. DNS-samanburður er ekki háður há- og lágstöfum, en aðrar auðkennisgerðir eru það, svo gildi sem virðist eins á skjánum getur fallið á ströngum samanburði. Athugaðu samsvörunarreglur fyrir auðkennisgerðina sem er í notkun í stað þess að bera saman strengi með auganu. Að bæta nafni við viðbótina er útgáfuákvörðun, ekki eitthvað sem stilling biðlara getur veitt.

Skoðaðu vottorðið sem tengingin notaði í raun

Lestu efnið sem virki endapunkturinn kynnir, ekki skrá sem var afrituð af stjórnunarsíðu. Hleðslujafnari eða varatilvik getur kynnt eitthvað annað en vottorðið sem var hlaðið upp fyrir mánuðum, og sá munur er ósýnilegur í stjórnborði.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

Blokkurinn með öðrum nöfnum viðfangsefnis, keðja útgefandans og gildistíminn tilheyra sama lestri, því nafnamisræmi og útrunnið gildi gefa ólíkar villur. Berðu hvert nafn í þeim blokk saman við auðkennið sem er sett upp í sniðinu, staf fyrir staf, og taktu eftir hvaða gerð það er. Ef skipunin er endurtekin fyrir tölugerð endapunktsins sést hvort vottorðið nær yfir bæði auðkennin eða bara eitt. Vingjarnleg birting viðfangsefnis í stjórnborði er ekki niðurstaða staðfestingar og segir ekkert um hvaða nöfn viðbótin inniheldur.

Sameiginlega nafnið er ekki nútímauppspretta sannleikans

Vafrar og flest TLS-söfn hunsa nú sameiginlega nafnið við samsvörun hýsilnafna og leita í viðbótinni. Sumir VPN-biðlarar bera enn fyrst saman sameiginlega nafnið eða grípa til þess þegar viðbótin vantar, og þannig getur eitt vottorð staðist í vafra og fallið í biðlara. Sama nafnaprófið getur staðist á einum vettvangi og fallið á öðrum án þess að vottorðið breytist nokkurn tíma.

Finndu út hvaða svið biðlarinn þinn les áður en þú ákveður að vottorðið sé rangt. Tveir biðlarar á sama endapunkti geta verið ósammála, og ósammála er upplýsing um biðlarann frekar en vottorðið.

Gerðu við útgáfuna eða sniðið, ekki prófið

Þegar snið var byggt í kringum alias, annaðhvort beindu því á skjalfesta hýsilnafnið eða gefðu vottorðið út aftur fyrir aliasið og settu það í gang í skipulögðum glugga. Að þagga niður viðvörunina er ekki þriðji kosturinn, því prófið er eina skrefið sem bindur undirritað vottorð við þennan tiltekna hýsil. Að fjarlægja það þýðir að hvaða vottorð sem er frá sama yfirvaldi getur komið í stað þjónsins sem þú vildir ná til.

Endurnýjun ætti að varðveita fyrirhuguð nöfn og tilgang í stað þess að færa aðeins gildisdaginn fram. Endurnýjun sem sleppir nafni er ný truflun sem er tímasett fyrir næstu endurræsingu, og hún kemur venjulega án viðvörunar því gamla vottorðið var enn gilt þegar breytingin var gerð.

Skráðu vænt auðkenni, nöfnin sem voru kynnt og keðjuna sem skrifaði undir þau. Sú skráning gerir næstu endurnýjun að samanburði í stað rannsóknar. Skilgreining viðbótarinnar er í RFC 5280 ef þú þarft að athuga tiltekna útgáfu.