OpenVPN verify-x509-name: subject, name және name-prefix

Алдымен сәйкестендіру түрін, содан кейін мәтінді оқыңыз: verify-x509-name директивасы дұрыс көрініп, бірақ сенуге ниеттенбеген сертификатты қабылдауы мүмкін. Күтілетін мәтіні бірдей, бірақ түрлері әртүрлі екі жол — екі түрлі талап. Алдымен түрді, содан кейін мәтінді оқыңыз. Директиваны қосылымға қосымша шарт ретінде қарастырыңыз, бүкіл тексеріс ретінде емес.

Опция шын мәнінде нені бекітеді

Директива қарсы тараптың сертификаты алып жүруі тиіс сәйкестікті атайды. Салыстыру сәтсіз болса, OpenVPN қол алысуды тоқтатады және туннель көтерілмейді. Профильдегі қалғанының бәрі әлі де күшінде: сертификат сенімді CA-ға тізбектелуі керек және рөл тексерісі өтуі керек, сондықтан бұл қосымша шарт, алмастырғыш емес. Атау күтуін қанағаттандырып, рөл тексерісінен өтпейтін профиль бұзылған күйінде қалады, және журнал әдетте солай дейді.

Ол браузер жасайтын хост атауын тексеруден де өзгеше. Браузер атауларды өз TLS стегінің ережелері бойынша subject-тің балама атауларымен сәйкестендіреді, ал OpenVPN сертификаттың бір өрісін сіз таңдаған түрмен салыстырады. Сондықтан браузер стиліндегі хост атауын директиваға қою сертификат қызметті шынымен қамтыса да сәйкессіздік тудыруы мүмкін.

subject: толық айрықша атау, таңба таңбамен

Түр жазылмаған кезде әдепкі subject болып табылады, ал күтілетін мән сертификаттың толық subject DN-ін қайта шығаруы керек. Өрістер реті, бөлгіштер, бос орындар және escaping бәрі есептеледі, себебі салыстыру кодталған жол бойынша жүреді. Түрді қалдырсаңыз, үш салыстырудың ең қатал біреуін таңдадыңыз. Косметикалық айырмашылықты құтқаратын қалыпқа келтіру қадамы жоқ. Мұны бірінші жаңартудан бұрын білген жөн, кейін емес.

Бұл қатаңдық жаңартулар арасында нәзік. Атрибуттарды қайта реттейтін, қосымша өріс кіргізетін немесе мәннің escaping тәсілін өзгертетін CA бірдей машина үшін жаңа жол жасайды, ал жылдар бойы жұмыс істеген директива келесі шығарылымда сәтсіз бола бастайды. Қабылданған DN-ді өзгерістер журналында ұстау келесі жаңартуды қарапайым айырмашылыққа айналдырады. Оператор толық DN жариялап, оның пішініне кепілдік берсе, subject орынды таңдау; басқа жерде тар өрісті шынайы ұстау оңайырақ.

name: бір өріс, әдетте жалпы атау

Түр name subject-тің бір өрісін салыстырады. Профиль басқаша айтпаса, бұл өріс жалпы атау, ал күтілетін мән дәл сол өріс, оның айналасындағы DN емес.

Қақпан — заманауи сертификаттар қызмет атауын әрдайым CN-ге салмайды. Көбі оны subject-тің балама атауында ұстап, CN-ді бос немесе жалпы қалдырады, сондықтан браузер қабылдайтын сертификат бұл салыстырудан өтпей қалуы мүмкін. Күтуді жазбас бұрын сізге шынымен берілген сертификатты қарап, профиль қай өрісті таңдайтынын растаңыз. Бос CN-ді атаумен салыстыру — сәйкессіздік, конфигурация апаты емес.

name-prefix: әдейі кең, сондықтан аясын шектеңіз

Түрі name-prefix күту таңдалған өрістің басына сәйкес келеді. Бұл атау схемасы үшін қолайлы және кез келген ортақ нәрсе үшін қауіпті.

Күту ретінде vpn.example алынса, vpn.example.com мен vpn.example.net екеуі де өтеді, тізбектің қалғаны сенімді болса. Кеңдік — бұл ерекшелік, әрі жазбаша негізделуі тиіс бөлік. Префикс CA мен атау схемасы сіздікі болса орынды, ал қоғамдық CA сол үлгіде шығарса әлдеқайда әлсіз. Схема икемділік қажет етсе, клиент тексерісін кеңейтудің орнына оны CA-да шектеңіз.

Түрді идентификатордан таңдап, сосын дәлелдеңіз

Оператор көздеген сәйкестіктен кейін қарай жұмыс істеңіз. Ол толық DN жариялап, оны тұрақты ұстаса, subject соны білдіреді. Қызметті жалпы атаумен атаса, пайдаланыңыз name. Атау схемасына ие болып, оның бүкіл кеңістігін қабылдаса, name-prefix мұны анық айтады.

Жаңартулар — директива сыналатын жер. Бекітілген сәйкестікті ескі файлмен емес, жаңа сертификатпен салыстырыңыз, өйткені жаңа соңғы нүкте мекенжайы жаңа сертификат сәйкестігін білдірмейді. Директиваны таныс мекенжай жауап берді деп қана жоймаңыз: қолжетімділік пен көзделген қарсы тарап — әртүрлі фактілер, ал мекенжай тек бірдеңенің жауап бергенін дәлелдейді. Нақты қатені және атаудың ашық деректерін тазартылған есепте жазыңыз, өйткені атау сәйкессіздігін жеке кілт материалынсыз көрсетуге болады.

Қолдау көрсетілген түзетуден кейін барлық көзделген тексерістер қосулы күйде қайта қосылып, шынымен қажет ресурсты тексеріңіз. Сәттілік көзделген сервердің қабылданғанын білдіреді, қандай да бір сертификаттың күшпен өткізілгенін емес. Ресми нұсқаулық OpenVPN 2.6 manual үш түрді және олардың сенім жазбаларын құжаттайды, және жеткізуші интерфейсі профильмен келіспегенде сілтеме жасалатын анықтама осы.