OpenVPN verify-x509-name: subject, name და name-prefix

ჯერ წაიკითხეთ შედარების ტიპი, შემდეგ ტექსტი: verify-x509-name დირექტივა შეიძლება სწორად გამოიყურებოდეს და მაინც მიიღოს სერტიფიკატი, რომლის ნდობასაც არ აპირებდით. ორი სტრიქონი ერთი და იმავე მოსალოდნელი ტექსტით, მაგრამ სხვადასხვა ტიპით, ორი სხვადასხვა მოთხოვნაა. ჯერ წაიკითხეთ ტიპი, შემდეგ ტექსტი. დირექტივა განიხილეთ როგორც კიდევ ერთი პირობა კავშირზე, და არა როგორც მთელი შემოწმება.

რას აცხადებს ოფცია სინამდვილეში

დირექტივა ასახელებს იდენტობას, რომელიც მეორე მხარის სერტიფიკატს უნდა ჰქონდეს. როცა შედარება ვერ ხერხდება, OpenVPN წყვეტს ხელის ჩამორთმევას და გვირაბი არ ადის. პროფილის დანარჩენი ყველაფერი კვლავ მოქმედებს: სერტიფიკატი უნდა მიჯაჭვდეს სანდო CA-ს და როლის შემოწმება უნდა გაიაროს, ასე რომ ეს დამატებითი პირობაა და არა შემცვლელი. პროფილი, რომელიც აკმაყოფილებს სახელის მოლოდინს და ვერ გადის როლის შემოწმებას, მაინც გატეხილია, და ჟურნალი ჩვეულებრივ ამას ამბობს.

ის ასევე განსხვავდება ბრაუზერის მიერ ჰოსტის სახელის ვალიდაციისგან. ბრაუზერი ადარებს სახელებს subject-ის ალტერნატიულ სახელებს თავისი TLS სტეკის წესების მიხედვით, ხოლო OpenVPN ადარებს სერტიფიკატის ერთ ველს თქვენ მიერ არჩეული ტიპით. ამიტომ ბრაუზერის სტილის ჰოსტის სახელის დირექტივაში ჩასმამ შეიძლება გამოიწვიოს შეუსაბამობა მაშინაც კი, როცა სერტიფიკატი ნამდვილად ფარავს სერვისს.

subject: სრული განმასხვავებელი სახელი, სიმბოლო სიმბოლოდ

როცა ტიპი არ არის დაწერილი, ნაგულისხმევია subject და მოსალოდნელმა მნიშვნელობამ უნდა გაამრავლოს სერტიფიკატის მთელი subject DN. ველების რიგი, გამყოფები, ხარვეზები და escaping ყველაფერი ითვლება, რადგან შედარება მიმდინარეობს დაშიფრულ სტრიქონზე. თუ ტიპს გამოტოვებთ, თქვენ აირჩიეთ სამი შედარებიდან ყველაზე მკაცრი. არ არსებობს ნორმალიზაციის ნაბიჯი, რომელიც კოსმეტიკურ განსხვავებას იხსნიდა. ეს ღირს იცოდეთ პირველ განახლებამდე და არა მის შემდეგ.

ეს სიმკაცრე მყიფეა განახლებებს შორის. CA, რომელიც გადაალაგებს ატრიბუტებს, ამატებს დამატებით ველს ან ცვლის მნიშვნელობის escaping-ს, იმავე მანქანისთვის ახალ სტრიქონს ქმნის და წლების განმავლობაში მომუშავე დირექტივა შემდეგ გამოშვებაზე ვარდნას იწყებს. მიღებული DN-ის ცვლილებების ჟურნალში შენახვა შემდეგ განახლებას უბრალო სხვაობად აქცევს. სადაც ოპერატორი აქვეყნებს სრულ DN-ს და იძლევა მისი ფორმის გარანტიას, იქ subject გონივრული არჩევანია; სხვაგან ვიწრო ველის ჭეშმარიტად შენახვა უფრო ადვილია.

name: ერთი ველი, ჩვეულებრივ ზოგადი სახელი

ტიპი name ადარებს subject-ის ერთ ველს. თუ პროფილი სხვას არ ამბობს, ეს ველი ზოგადი სახელია, და მოსალოდნელი მნიშვნელობა ზუსტად ეს ველია, და არა მის გარშემო DN.

ხაფანგი ის არის, რომ თანამედროვე სერტიფიკატები სერვისის სახელს ყოველთვის CN-ში არ დებენ. ბევრი მას subject-ის ალტერნატიულ სახელში ატარებს და CN-ს ცარიელს ან ზოგადს ტოვებს, ამიტომ ბრაუზერის მიერ მიღებული სერტიფიკატი მაინც შეიძლება ვერ გაიაროს ეს შედარება. სანამ მოლოდინს დაწერთ, შეამოწმეთ რეალურად გაცემული სერტიფიკატი და დაადასტურეთ, რომელ ველს ირჩევს პროფილი. ცარიელი CN-ის შედარება სახელთან შეუსაბამობაა და არა კონფიგურაციის შემთხვევითობა.

name-prefix: განზრახ ფართო, ამიტომ შემოფარგლეთ

ტიპის name-prefix მოლოდინი ემთხვევა არჩეული ველის დასაწყისს. ეს მოხერხებულია დასახელების სქემისთვის და საშიში ნებისმიერი საერთოსთვის.

თუ მოლოდინია vpn.example, გაივლიდა როგორც vpn.example.com ასევე vpn.example.net , იმ პირობით, რომ ჯაჭვის დანარჩენი ნაწილი სანდოა. სიგანე თვისებაა და ამავე დროს ის ნაწილი, რომელიც წერილობით უნდა გამართლდეს. პრეფიქსი გონივრულია, როცა CA და დასახელების სქემა თქვენია, და გაცილებით სუსტი, როცა საჯარო CA იმავე ნიმუშში გამოსცემს. თუ სქემას მოქნილობა სჭირდება, შემოფარგლეთ ის CA-ზე და ნუ გააფართოვებთ კლიენტის შემოწმებას.

აირჩიეთ ტიპი იდენტიფიკატორიდან, შემდეგ დაამტკიცეთ

იმუშავეთ უკუღმა ოპერატორის განზრახული იდენტობიდან. თუ ის აქვეყნებს სრულ DN-ს და ინახავს მას სტაბილურად, subject ეს გამოხატავს. თუ სერვისს ზოგადი სახელით მოიხსენიებს, გამოიყენეთ name. თუ დასახელების სქემას ფლობს და მის მთელ სივრცეს იღებს, name-prefix ეს ცხადად ამბობს.

განახლებები არის ადგილი, სადაც დირექტივა იცდება. შეადარეთ დამტკიცებული იდენტობა ახალ სერტიფიკატს და არა ძველ ფაილს, რადგან ახალი საბოლოო წერტილის მისამართი არ ნიშნავს სერტიფიკატის ახალ იდენტობას. ნუ წაშლით დირექტივას მხოლოდ იმიტომ, რომ ნაცნობი მისამართი პასუხობს: ხელმისაწვდომობა და განზრახული მეორე მხარე ორი განსხვავებული ფაქტია, და მისამართი მხოლოდ იმას ამტკიცებს, რომ რაღაცამ უპასუხა. ჩაწერეთ ზუსტი შეცდომა და სახელის საჯარო დეტალები გასუფთავებულ ანგარიშში, რადგან სახელის შეუსაბამობა შეიძლება ნაჩვენები იყოს კერძო გასაღების მასალის გარეშე.

მხარდაჭერილი შესწორების შემდეგ ხელახლა დაუკავშირდით ყველა განზრახული შემოწმებით და გადაამოწმეთ ის რესურსი, რომელიც ნამდვილად გჭირდებათ. წარმატება ნიშნავს, რომ განზრახული სერვერი მიღებულ იქნა და არა ის, რომ რომელიმე სერტიფიკატი ძალით გაატარეს. ოფიციალური სახელმძღვანელო OpenVPN 2.6 manual აღწერს სამ ტიპს და მათ ნდობის შენიშვნებს, და სწორედ ეს არის ის ცნობარი, რომელზეც მიუთითებენ, როცა მომწოდებლის ინტერფეისი პროფილს არ ეთანხმება.