სუბიექტის ალტერნატიული სახელები: როგორ იდენტიფიცირდება VPN სერვერი

თქვენი კლიენტი უარყოფს სერტიფიკატს, რომლის ჯაჭვიც სუფთად ვალიდირდება, და შეცდომა ამბობს, რომ სახელი არ ემთხვევა. ეს შეტყობინება არ ეხება იმას, თუ ვინ მოაწერა ხელი სერტიფიკატს. ის ეხება სუბიექტის ალტერნატიული სახელების გაფართოებას, რომელიც ატარებს იმ იდენტობებს, რომელთა წარმოდგენის უფლებაც სერტიფიკატს აქვს, და იმას, ჩანს თუ არა იქ თქვენ მიერ კონფიგურირებული იდენტობა სწორი ფორმით. ნდობა პასუხობს, ვინ მოაწერა ხელი, ხოლო სახელის შემოწმება პასუხობს, რომელ ჰოსტს ეკუთვნის ის.

რას ადარებს კლიენტი სინამდვილეში

კლიენტი თქვენს კონფიგურაციას აქცევს საცნობარო იდენტობად: ჰოსტის სახელი, მისამართი ან პროტოკოლისთვის სპეციფიკური იდენტიფიკატორი. შემდეგ ის ეძებს ამ იდენტობას სერტიფიკატში, გამოიყენებს რა გამოყენებული პროტოკოლის შესაბამისობის წესებს. ითვლება მხოლოდ ერთი და იმავე ტიპის ჩანაწერები, ამიტომ DNS ჩანაწერი ვერ დააკმაყოფილებს მისამართს, და შედარება ხდება იმისდა მიუხედავად, უყურებს თუ არა ვინმე სერტიფიკატს.

როცა საცნობარო იდენტობა ამ გაფართოებაში არ არის, შემოწმება ვერ ხერხდება მაშინაც კი, თუ ძველი საერთო სახელი ემთხვევა. სერტიფიკატი შეიძლება კანონიერად გაიცეს კომპანიაზე და მაინც იყოს არასწორი vpn.example.com-ისთვის, თუ სახელი არასოდეს იქნა შეტანილი. მარცხი სახელის შეუთავსებლობაა, მაშინაც კი, როცა სერტიფიკატი ნამდვილია.

DNS სახელები და IP მისამართები ცალკე ჩანაწერებია

პროფილი, რომელიც მიუთითებს 203.0.113.10-ზე, მაშინ როცა სერტიფიკატი მხოლოდ vpn.example.com-ს ჩამოთვლის, უარყოფილია, რადგან პაკეტები აღწევს, მაგრამ იდენტობა არ ემთხვევა. DNS სახელები და ლიტერალური მისამართები სხვადასხვა ჩანაწერის ტიპად ინახება და ერთი არასოდეს ცვლის მეორეს. ამიტომ სერვისი შეიძლება მისამართით ხელმისაწვდომი იყოს და მაინც გამოუსადეგარი იყოს პროფილით, რომელიც ამ მისამართს იყენებს.

ველური ბარათების წესებიც თავისებურია: ველური ბარათი ერთ ეტიკეტს ფარავს, და არა დომენის ქვეშ არსებულ ყველა სახელს. DNS შედარება არ არის რეგისტრის მიმართ მგრძნობიარე, ხოლო სხვა იდენტიფიკატორის ტიპები მგრძნობიარეა, ამიტომ ეკრანზე იდენტურად მოჩვენებული მნიშვნელობა მკაცრ შედარებაში ვერ გაივლის. შეამოწმეთ გამოყენებული იდენტობის ტიპის შესაბამისობის წესები, ნაცვლად იმისა, რომ სტრიქონები თვალით შეადაროთ. გაფართოებაში სახელის დამატება გაცემის გადაწყვეტილებაა და არა ის, რაც კლიენტის პარამეტრს შეუძლია მოგვცეს.

შეამოწმეთ სერტიფიკატი, რომელიც კავშირმა რეალურად გამოიყენა

წაიკითხეთ ის მასალა, რომელსაც ცოცხალი ბოლო წერტილი წარმოადგენს, და არა ადმინისტრირების გვერდიდან კოპირებული ფაილი. დატვირთვის ბალანსერი ან შემცვლელი ინსტანცია შეიძლება წარმოადგენდეს რაღაცას, რაც განსხვავდება თვეების წინ ატვირთული სერტიფიკატისგან, და ეს განსხვავება კონსოლში უხილავია.

openssl s_client -connect vpn.example.com:443 -showcerts </dev/null | openssl x509 -noout -text

სუბიექტის ალტერნატიული სახელების ბლოკი, გამცემის ჯაჭვი და ვალიდობის პერიოდი ერთსა და იმავე წაკითხვას განეკუთვნება, რადგან სახელის შეუთავსებლობა და ვადის გასვლა სხვადასხვა შეცდომას იძლევა. შეადარეთ ამ ბლოკის თითოეული სახელი პროფილში კონფიგურირებულ იდენტობას, სიმბოლო-სიმბოლო, და აღნიშნეთ, რა ტიპის არის ის. ბრძანების გამეორება ბოლო წერტილის მისამართის ფორმაზე აჩვენებს, ფარავს თუ არა სერტიფიკატი ორივე იდენტობას თუ მხოლოდ ერთს. მართვის კონსოლში სუბიექტის მეგობრული ჩვენება ვალიდაციის შედეგი არ არის და არაფერს ამბობს იმაზე, თუ რა სახელები აქვს გაფართოებას.

საერთო სახელი სიმართლის თანამედროვე წყარო არ არის

ბრაუზერები და TLS ბიბლიოთეკების უმეტესობა ახლა უგულებელყოფს საერთო სახელს ჰოსტის სახელის შესაბამისობისთვის და მიმართავს გაფართოებას. ზოგი VPN კლიენტი ჯერ კიდევ ჯერ საერთო სახელს ადარებს ან ბრუნდება მასზე, როცა გაფართოება არ არის, და ასე შეიძლება ერთი სერტიფიკატი ბრაუზერში გაივლოს და კლიენტში ვერ გაივლოს. სახელის იგივე შემოწმება შეიძლება ერთ პლატფორმაზე გაივლოს და მეორეზე ვერ გაივლოს, სერტიფიკატი საერთოდ არ შეიცვალოს.

გაარკვიეთ, რომელ ველს კითხულობს თქვენი კლიენტი, სანამ გადაწყვეტთ, რომ სერტიფიკატი არასწორია. ერთსა და იმავე ბოლო წერტილზე ორი კლიენტი შეიძლება არ დაეთანხმოს, და ეს უთანხმოება ინფორმაციაა კლიენტზე და არა სერტიფიკატზე.

შეაკეთეთ გაცემა ან პროფილი და არა შემოწმება

როცა პროფილი აშენდა ფსევდონიმის გარშემო, ან გადაამისამართეთ ის დოკუმენტირებულ ჰოსტის სახელზე, ან ხელახლა გასცით სერტიფიკატი ფსევდონიმისთვის და განათავსეთ დაგეგმილ ფანჯარაში. გაფრთხილების გაჩუმება მესამე ვარიანტი არ არის, რადგან შემოწმება ერთადერთი ნაბიჯია, რომელიც ხელმოწერილ სერტიფიკატს ამ კონკრეტულ ჰოსტს უკავშირებს. მისი მოცილება ნიშნავს, რომ იმავე ორგანოს ნებისმიერი სერტიფიკატი შეიძლება ჩადგეს იმ სერვერის ადგილას, რომლის მიღწევაც გსურდათ.

განახლებამ უნდა შეინარჩუნოს განკუთვნილი სახელები და მიზანი, და არა უბრალოდ წინ გადასწიოს ვადის გასვლის თარიღი. სახელის დაკარგვით განახლება ახალი შეფერხებაა, რომელიც დაგეგმილია შემდეგ გადატვირთვაზე, და ის ჩვეულებრივ მოდის გაფრთხილების გარეშე, რადგან ცვლილების დროს ძველი სერტიფიკატი ჯერ კიდევ ძალაში იყო.

ჩაწერეთ მოსალოდნელი იდენტობა, წარმოდგენილი სახელები და ჯაჭვი, რომელმაც ისინი მოაწერა. ეს ჩანაწერი შემდეგ განახლებას გამოძიების ნაცვლად შედარებად აქცევს. გაფართოების განმარტება არის RFC 5280-ში, თუ კონკრეტული გაცემის შემოწმება გჭირდებათ.